搜索

[11156] 2017-03-22_渗透测试中利用基于时间差反馈的远程代码执行漏洞（TimedBasedRCE）进行数据获取

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2017-03-22_渗透测试中利用基于时间差反馈的远程代码执行漏洞（TimedBasedRCE）进行数据获取 渗 透 测 试 中 利 用 基 于 时 间 差 反 馈 的 远 程 代 码 执 行 漏 洞 （ T i m e d   B a s e d   R C E ） 进 行 数 据 获 取 c l o u d s   F r e e B u f   2 0 1 7 - 0 3 - 2 2 在 最 近 的 渗 透 测 试 项 目 中 ， 为 了 进 一 步 验 证 漏 洞 的 可 用 性 和 危 害 性 ， 我 们 遇 到 了 这 样 一 种 情 形 ： 构 造 基 于 时 间 差 反 馈 的 系 在 最 近 的 渗 透 测 试 项 目 中 ， 为 了 进 一 步 验 证 漏 洞 的 可 用 性 和 危 害 性 ， 我 们 遇 到 了 这 样 一 种 情 形 ： 构 造 基 于 时 间 差 反 馈 的 系 统 注 入 命 令 （ 统 注 入 命 令 （ O S   c o m m a n d   i n j e c t i o n   t i m e   b a s e d   ） ， 从 某 逻 辑 隔 离 的 服 务 器 中 实 现 数 据 获 取 。 ） ， 从 某 逻 辑 隔 离 的 服 务 器 中 实 现 数 据 获 取 。 以 下 是 测 试 过 程 中 的 相 关 思 路 整 理 ， 仅 供 借 鉴 参 考 以 下 是 测 试 过 程 中 的 相 关 思 路 整 理 ， 仅 供 借 鉴 参 考 （ 渗 透 测 试 最 终 利 用 工 具 请 移 步 （ 渗 透 测 试 最 终 利 用 工 具 请 移 步 G i t H u b - T B D E x ） 。 ） 。 漏 洞 说 明 漏 洞 说 明 由 于 该 逻 辑 隔 离 服 务 器 仅 能 通 过 A P I 服 务 提 供 的 程 序 接 口 实 现 特 定 服 务 访 问 ， 而 在 对 该 A P I 接 口 的 测 试 过 程 中 ， 我 们 发 现 了 一 个 有 趣 的 G E T   r e q u e s t 请 求 ， 其 中 包 含 了 两 个 参 数 ， 一 个 为 字 符 串 ， 另 一 个 为 请 求 包 的 I D 号 。 之 后 在 对 参 数 的 f u z z i n g 中 ， 其 对 单 引 号 的 处 理 方 式 和 特 征 貌 似 像 是 S Q L 注 入 漏 洞 ， 但 在 漏 洞 利 用 过 程 中 却 不 能 成 功 实 现 注 入 攻 击 ， 然 而 ， 当 我 们 执 行 了 ‘ s l e e p   1 0 ′ 命 令 后 ， H T T P   r e s p o n s e 在 1 0 秒 钟 之 后 有 了 回 应 ， 这 下 可 能 有 戏 了 ！ 我 们 首 先 想 到 的 是 ， 该 A P I 程 序 完 蛋 了 ， 因 为 这 样 就 可 以 对 A P I 服 务 端 执 行 远 程 代 码 了 。 P a y l o a d 不 能 有 效 执 行 不 能 有 效 执 行 但 一 切 都 高 兴 得 太 早 ， 本 来 我 们 通 过 H T T P 响 应 头 判 断 A P I 服 务 应 该 是 架 设 在 W i n d o w s 平 台 上 ， 但 漏 洞 利 用 p a y l o a d 只 在 B a s h 或 P o w e r S h e l l 下 可 用 ， 所 以 ， 只 能 重 新 在 B a s h 或 P o w e r S h e l l 模 式 下 进 行 可 行 性 测 试 。 为 了 模 拟 实 际 测 试 效 果 ， 我 们 通 过 在 l i n u x 环 境 下 运 行 形 如 以 下 、 包 含 s l e e p 命 令 的 “ t i m e   i f ” 判 断 语 句 来 查 看 系 统 反 馈 信 息 ： l i n u x 下 t i m e 命 令 可 以 获 取 到 一 个 程 序 的 执 行 时 间 ， 包 括 程 序 的 实 际 运 行 时 间 ( r e a l   t i m e ) ， 以 及 程 序 运 行 在 用 户 态 的 时 间 ( u s e r   t i m e ) 和 内 核 态 的 时 间 ( s y s   t i m e ) 。
利 用 这 种 方 式 ， 我 们 在 模 拟 服 务 器 上 进 行 了 各 种 n c a t 、 w g e t 、 c u r l 测 试 和 其 它 数 据 窃 取 动 作 ， 如 F T P   连 接 、   D N S 请 求 ， 甚 至 是 I C M P 请 求 ， 但 依 然 不 能 成 功 ， 没 有 效 果 。 后 来 ， 我 们 才 意 识 到 ， 由 于 目 标 服 务 器 主 机 处 于 有 防 火 墙 的 逻 辑 隔 离 网 络 内 ， 我 们 执 行 的 命 令 估 计 被 防 火 墙 阻 挡 了 。 构 造 基 于 时 间 延 迟 的 判 断 执 行 命 令 构 造 基 于 时 间 延 迟 的 判 断 执 行 命 令 之 后 ， 一 个 同 事 建 议 可 以 尝 试 用 形 如 以 下 s l e e p 语 句 来 运 行 包 含 的 任 务 命 令 ， 这 样 一 方 面 可 以 通 过 时 间 延 迟 来 逐 字 符 判 断 输 出 值 ， 又 能 实 现 命 令 自 动 化 ， 就 像 从 基 于 时 间 （ t i m e - b a s e d ） 的 S Q L 注 入 中 获 取 输 出 信 息 一 样 。 考 虑 到 网 络 延 迟 ， 我 们 首 先 想 到 的 是 ， 构 造 一 个 包 含 以 下 命 令 ， 按 字 符 位 置 进 行 猜 解 判 断 的 脚 本 ， 可 以 看 到 ， 以 下 黄 色 框 内 命 令 中 : 如 果 系 统 用 户 为 如 果 系 统 用 户 为 r o o t ， 通 过 ， 通 过 w h o a m i   |   c u t   - c   1   = =   r   方 式 取 方 式 取 r o o t 的 第 一 个 字 符 的 第 一 个 字 符 “ r ” 成 功 ， 则 相 应 的 时 间 延 迟 为 成 功 ， 则 相 应 的 时 间 延 迟 为 5 秒 ， 与 判 断 命 令 中 秒 ， 与 判 断 命 令 中 的 的 s l e e p   5 结 果 一 致 ， 以 此 方 式 猜 解 出 系 统 用 户 为 结 果 一 致 ， 以 此 方 式 猜 解 出 系 统 用 户 为 r o o t 。 L i n u x 系 统 c u t 命 令 从 文 件 的 每 一 行 剪 切 字 节 、 字 符 和 字 段 并 将 这 些 字 节 、 字 符 和 字 段 写 至 标 准 输 出 。 - b   ： 以 字 节 为 单 位 进 行 分 割 - c   ： 以 字 符 为 单 位 进 行 分 割 ， c u t   - c   1   取 第 1 个 字 符 - d   ： 自 定 义 分 隔 符 ， 默 认 为 制 表 符 t i m e   i f   [   $ （ w h o a m i   |   c u t   - c   1   = =   r ） ] ;   t h e n   s l e e p   5 ;   f i
- f     ： 与 - d 一 起 使 用 ， 指 定 显 示 哪 个 区 域 - n   ： 取 消 分 割 多 字 节 字 符 突 破 限 制 构 造 有 效 突 破 限 制 构 造 有 效 P a y l o a d 命 令 命 令 你 可 以 想 像 用 这 种 方 式 是 多 么 的 繁 杂 ， 更 烦 人 的 是 ， 前 述 发 现 的 G E T 请 求 参 数 中 竟 然 有 4 8 个 字 符 的 最 大 限 制 ，   而 我 们 构 造 的 p a y l o a d 远 远 超 过 4 8 个 字 符 。 为 了 绕 过 这 种 限 制 ， 我 们 只 有 把 任 务 命 令 的 输 出 结 果 重 定 向 到 系 统 某 个 临 时 文 件 中 ， 然 后 用 c u t 方 式 分 割 这 些 输 出 结 果 ， 取 出 需 要 的 位 置 字 符 ， 结 合 t i m e 命 令 的 时 间 延 迟 方 式 判 断 猜 解 ， 大 概 方 法 如 下 ： 使 用 以 上 方 法 构 造 的 p a y l o a d 可 以 控 制 在 4 8 个 字 符 以 内 ， 但 是 在 p a y l o a d 获 取 数 据 时 候 又 遇 到 字 符 限 制 的 问 题 ： 只 能 获 取 9 个 字 符 以 内 的 数 据 。 之 后 ， 我 们 想 到 可 以 向 远 程 主 机 中 分 段 写 入 命 令 ， 形 成 脚 本 ， 之 后 ， 利 用 这 个 过 渡 脚 本 就 可 以 执 行 某 种 命 令 。 我 们 最 终 把 以 上 这 些 所 有 想 法 和 思 路 集 成 为 了 一 个 p y t h o n 工 具 T B D E x （ T i m e   B a s e d   D a t a   E x f i l t r a t i o n   T o o l ） ， 另 外 ， 为 了 提 高 运 行 效 率 ， 用 猜 解 判 断 字 符 的 A S C I I 码 值 方 式 替 代 了 单 纯 的 字 符 判 断 。 为 什 么 不 用 为 什 么 不 用 C o m m i x ? C o m m i x 是 一 款 系 统 命 令 注 入 漏 洞 自 动 化 测 试 工 具 ， 它 具 有 包 含 T i m e - b a s e d 在 内 的 很 多 数 据 获 取 技 术 。 可 能 有 人 会 问 ， 怎 么 不 用 C o m m i x 呢 ？ 这 主 要 有 两 方 面 原 因 ： C o m m i x 形 成 的 p a y l o a d 非 常 长 而 且 在 我 们 的 渗 透 场 景 中 执 行 不 成 功 C o m m i x 对 我 们 特 定 命 令 的 执 行 非 常 耗 时 ， 读 取 一 个 w h o a m i 命 令 都 很 慢 T B D E x 如 何 使 用 ？ 如 何 使 用 ？ 该 工 具 包 含 三 个 部 分 ： l e n g t h . p y 或 l e n g t h . b a t ： 猜 测 判 断 重 定 向 输 出 文 件 中 包 含 的 执 行 命 令 结 果 长 度 a s c i i . p y 或 a s c i i . b a t ： 猜 测 判 断 特 定 位 置 字 符 的 A S C I I 码 值 t i m e b a s e d . p y ： 程 序 执 行 主 文 件 ， 发 送 命 令 请 求 并 分 析 响 应 时 间 是 否 满 足 漏 洞 利 用 条 件
数 据 获 取 过 程 ： 数 据 获 取 过 程 ： 把 执 行 命 令 结 果 重 定 向 输 出 到 某 个 文 件 用 l e n g t h . p y 或 l e n g t h . b a t 猜 测 判 断 执 行 命 令 结 果 输 出 长 度 猜 解 判 断 获 取 数 据 的 实 际 A S C I I 码 值 对 执 行 命 令 结 果 输 出 长 度 的 判 断 ， 请 遵 循 以 下 几 个 综 合 判 断 步 骤 ： 1 . 输 出 长 度 是 否 大 于   0 ?   :   p y t h o n   l . p y   0   0   0   4           = > 没 有 检 测 到 延 迟 ， 这 意 味 着 它 是 真 的 ； 2 . 输 出 长 度 是 否 大 于 1 0 ? :   p y t h o n   l . p y   1 0   0   0   4         = > 检 测 到 4 秒 延 迟 ， 这 意 味 着 这 是 假 的 3 . 输 出 是 否 等 于 1 0 ? :   p y t h o n   l . p y   1 0   1   0   4                       = > 没 有 检 测 到 延 迟 ， 这 意 味 着 是 假 的 4 . 输 出 是 否 等 于 9 ？ ：   p y t h o n   l . p y   9   1   0   4                     = >   检 测 到 4 秒 延 迟 ， 这 意 味 着 我 们 找 到 了 实 际 的 输 出 长 度 得 到 执 行 命 令 输 出 结 果 长 度 之 后 ， 我 们 就 可 以 用 程 序 进 行 实 际 的 A S C I I 码 值 猜 解 ： p y t h o n   a s c i i . p y   { C H A R _ P O S }   { A S C I I _ V A L U E }   { I S _ G R E A T E R }   { W H E R E _ T H E _ O U T P U T _ I S _ A T }   { T I M E _ D E L A Y } 当 然 ， 用 主 程 序 来 执 行 的 例 子 如 下 ： p y t h o n   t i m b e s e d . p y   - u r l   h t t p : / / 1 9 2 . 1 6 8 . 2 0 7 . 1 2 8 / m l . p h p ? c = % h e r e %   - p a y l o a d _ l i m i t   4 8   - t m p
执 行 u n a m e   - a :
完 美 获 取 长 度 达 2 8 6 3 字 符 的 / e t c / p a s s w o r d 结 果 ： 测 试 链 接 h t t p : / / 1 9 2 . 1 6 8 . 2 0 7 . 1 2 8 / m l . p h p 中 的 m l . p h p 可 以 是 以 下 内 容 ， 感 兴 趣 的 话 ， 可 以 自 行 尝 试 ：
运 行 运 行 T B D E x 工 具 的 必 备 安 装 组 件 工 具 的 必 备 安 装 组 件 p y c u r l ： ： p i p   i n s t a l l   p y c u r l 或 a p t - g e t   i n s t a l l   p y c u r l 或 a p t - g e t   i n s t a l l   p y t h o n - p y c u r l T B D E x 的 使 用 命 令 和 运 行 参 数 ： 的 使 用 命 令 和 运 行 参 数 ：     - h ,   – h e l p                         s h o w   t h i s   h e l p   m e s s a g e   a n d   e x i t     - u r l   U R L                             U R L     - p o s t   P O S T                         P O S T     - t h r e a d s   T H R E A D S                   T h r e a d s     - c o o k i e   C O O K I E   F I L E             C o o k i e   F i l e     - f i l e   H E A D E R   F I L E                 B u r p   r e q u e s t   f i l e     - r e t r y   R E T R Y                           R e t r y   r e q u e s t   N   t i m e s   i n   c a s e   o f   n e t w o r k   e r r o r s     - t i m e o u t   T I M E O U T                   G e n e r a l   t i m e o u t   r e q u e s t     - t i m e   A V G T I M E                         A d d e d   t i m e o u t   t o   r e q u e s t     - o s   O S                                       O S   t y p e   ( U   u n i x / l i n u x   ,   W   w i n d o w s )     - p a y l o a d   l i m i t   L I M I T           I f   t h e r e   i s   a n y   c o m m a n d   l e n g t h   l i m i t a t i o n     - f o r c e   w r i t e                           F o r c e   w r i t i n g   a u x i l i a r y   f i l e s     - t m p                                           W r i t i n g   a u x i l i a r y   f i l e s   i n   t m p   f o l d e r T B D E x 工 具 下 载 ： 工 具 下 载 ： G i t h u b * 参 考 来 源 ： s e c u r i t y c a f e ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理