搜索

[28573] 2020-09-11_一次挖掘SRC漏洞-从0到有

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-09-11_一次挖掘SRC漏洞-从0到有 一 次 挖 掘 S R C 漏 洞   -   从 0 到 有 陈 祝 0 n e   O t s 安 全   2 0 2 0 - 0 9 - 1 1 转 先 知 社 区   作 者 ： 陈 祝 陈 祝 0 n e 对 一 次 S R C 平 台 漏 洞 挖 掘   全 程 文 字 描 述 多 一 点 。 测 试 范 围 : X X X X X 平 台 :   w w w . A . c o m X x x x x x x 平 台 :   w w w . B . c o m 本 人 信 息 搜 集 不 是 很 6 ,   我 这 里 直 接 测 他 的 某 个 站 的 主 站 。 所 以 我 决 定 一 个 一 个 测 ， 防 止 漏 过 ， 很 多 人 一 般 都 是 先 搜 集 子 域 名 ,   因 为 子 域 名 的 防 护 相 对 薄 弱 一 点 。 而 且 奖 金 也 一 样 的 高 。 我 就 先 打 开 了 A . c o m 的 主 站   先 用 l a y e r 先 跑 他 的 子 域 。 在 信 息 搜 集 中 ， 我 先 测 测 A . c o m 看 看 能 不 能 捡 个 漏 。 第 一 眼 就 相 中 了 这 个 搜 索 框   习 惯 性 先 测 高 危 测 起 ， 先 测 S Q L 注 入 。 在 参 数   输 入   1 ’   发 现 只 返 回 了 1 发 现 只 返 回 了 1   没 有 返 回   1 ’ 那 这 里 S Q L 注 入   就 不 存 在 了 ， 但 是 我 们 可 以 联 想 到 1 .   这 个 站 可 能 全 局 过 滤 了 单 引 号 ？ 1 . 1 .   如 果 真 是 这 样   我 只 能 找 i n t 类 型 注 入 1 . 2 .   如 果 真 是 这 样   这 个 可 以 帮 我 过 W a f   利 用 全 局 特 性 过 滤   s e ' l ' e ' c ' t = s e l e c t 2 .   如 果 不 是 全 局 ， 那 我 们 换 个 点 来 测 然 后 我 就 这 个 搜 索 框 来 继 续 测 X S S ， 发 现 失 败 了 。 他 过 滤 了 。 然 后 从 其 他 点 发 现 ， 他 不 是 全 局 过 滤 单 引 号 的 ， 那 我 们 实 行 p l a n   B 。 测 试 的 时 候 发 现 有 w a f 毕 竟 是 主 站 ， 我 们 可 以 看 看 他 是 什 么 样 的 毕 竟 是 主 站 ， 我 们 可 以 看 看 他 是 什 么 样 的 W A F , 1 . 代 码 代 码 w a f   （ 对 有 效 参 数 的 参 数 值 进 行 拦 截 ） （ 对 有 效 参 数 的 参 数 值 进 行 拦 截 ）
2 . 硬 硬 w a f ( 拦 截 流 量 拦 截 流 量 ) 我 输 入 一 个 不 存 在 的 参 数 ， ? x = 1   u n i o n   s e l e c t 直 接 给 我 拦 了 。 说 明 存 在 W a f   拦 截 的 是 流 量 。 那 我 就 先 来 绕 W a f 最 后 发 现 这 是 智 能 型 W A F , 他 不 会 管 注 释 里 的 内 容 他 不 会 管 注 释 里 的 内 容 那 我 的 思 路 就 来 了   直 接 给 他 安 排 两 个 虚 假 的 参 数 a   和 b 程 序 只 接 收 的 到 i d 参 数 发 现 页 面 显 示 正 常 ！ 轻 松 b y p a s s   可 以 用 来 测 注 入   也 能 用 来 测 X S S ， 毫 无 阻 拦 一 顿 操 作 下 来   一 个 漏 洞 都 没 测 到 然 后 我 们 开 始 目 录 扫 描   选 择 扫 描 3 0 2   4 0 3   2 0 0   这 些   我 用 的 B U R P   因 为 怕 其 他 软 件 的 特 征 被 封 I P 一 分 钟 过 去 后   我 们 看 到 了 结 果 。
发 现 扫 什 么 都 是 3 0 2   但 是 发 现 了 t z 这 个 目 录 不 一 样 返 回 的 是 这 个 ， 那 这 个 t z 目 录 绝 对 有 猫 腻 呀 ！ ！ 然 后 我 们 观 察 他 的 u r l 结 构   后 面 都 是 跟 方 法 名   那 我 们 不 扫 文 件   直 接 扫 方 法 F u z z 一 波 啊 哈   扫 到 另 一 个 a d d 字 典 呢   这 里 用 的 是   h t t p s : / / g i t h u b . c o m / T h e K i n g O f D u c k / f u z z D i c t s   下 载 的 返 回 结 果 是 用 户 名 不 能 为 空 ， 那 我 们 就 构 造 用 户 名 的 参 数 F u z z 一 波   比 如 u s e r n a m e = 1 啊 哈 ？ 有 不 同 的 的 返 回 结 果 了 ， 让 我 们 真 实 姓 名 不 能 为 空   继 续 用 & 来 构 造 参 数 当 我 输 入 n a m e = 1   它 还 是 提 示 这 个 ， 说 明 我 们 参 数 名 不 对 ， 那 我 们 百 度 一 下 真 实 姓 名 的 英 文   发 现 是 r e a l n a m e   这 个 参 数
O K   有 了 新 的 返 回 结 果 ， 感 觉 就 像 是 在 猜 谜 语 一 样 哈 哈 。 当 我 们 把 身 份 证 的 英 文 字 母 都 填 进 去 的 时 候   发 现 答 案 都 不 对 这 时 候 我 有 点 丧 气 了   躺 了 一 会 想 想   想 起 以 前 日 站 的 时 候   身 份 证 号 参 数 基 本 上 都 是 i d c a r d 呀   这 些 , 突 然 想 起 来   会 不 会 用 的 是 拼 音 呢 ？ 然 后 索 性 我 就 用 s f z = 1   发 信 还 是 提 示 的 这 个 我 们 注 意 到   是 4 个 字   那 我 改 为 s f z h = 1 然 后 就 返 回 了 这 个   说 明 参 数 全 部 猜 对 了 。 返 回 用 户 名 1   已 存 在 ， 我 脑 海 中 飞 速 运 转 。 它 为 什 么 知 道   用 户 名 已 经 存 在 ？ 答 案 一 个 ： 他 和 数 据 库 交 互 了 。 那 这 里 就 可 能 存 在 S Q L 注 入 。 一 个 单 引 号 过 去 了   果 然 报 错 了   然 后 试 着 用 a n d   来 闭 合
发 现 忘 记 了   有 w a f   但 是 我 们 不 是 已 经 过 w a f 了 吗 指 哪 打 哪 a = / & u s e r n a m e = 1 '   a n d   1 = ' 1 & r e a l n a m e = 1 & s f z h = 1 1 1 ' & b = / 构 造 p a y l o a d 1 = 2   的 时 候   返 回 这 个 这 不 就 百 分 百 存 在 S Q L 注 入 吗 ， 然 后 我 绞 经 脑 汁   测 不 出 数 据 来   不 知 道 他 是 啥 数 据 库 用 s q l m a p 跑 直 接 给 我 I P 给 封 了 最 后   a n d   1 = ‘ d d d d 刚 开 始 我 看 到 这 个   搜 索 了 一 波   刚 开 始 以 为 是 m s s q l   但 是 没 测 出 来   用 了 w a i t f o r   d e l a y   还 报 错 了 还 以 为 是 H Q L 注 入   最 后 测 了   老 半 天 .   去 下 了 个 h q l m a p 但 是 开 始 就 卡 死 了 当 时 我 还 坚 认 为 是 H Q L 注 入   哈 哈 哈   因 为 当 时 我 是 这 么 测 的 a n d   u s e r = ’ 1   （ 这 是 错 误 的 规 范 哦   因 为 这 里 的 1   也 是 字 符 串   只 有 i n t 类 型   才 会 出 数 据 ） 当 时 用 s u b s t r i n g   加 上 盲 猜 用 户 名 函 数 是 u s e r   破 解 出 u s e r 是 d b o
我 靠 ？ 是 d b o   那 还 不 是 m s s q l 数 据 库 吗 继 续 测   看 到 原 因 了   修 改 p a y l o a d 可 以 看 到 是 报 错 m s s q l 报 错 注 入   可 以 欢 快 的 出 数 据 啦 后 续 后 续 一 个 S Q L 注 入 到 手 ， 后 续 测 了 很 多 东 西 , 一 顿 手 工 操 作 定 位 到 账 号 密 码 拿 到 了 账 号 密 码 去 其 他 平 台 撞 库 了 。 是 一 个 P H P 的 站 点 进 了 后 台   然 后 有 一 处 任 意 文 件 上 传   是 有 W A F   检 测 后 缀 首 先 上 传 个 j p g   然 后 直 接 抓 包 改 后 缀   ( 是 前 端 认 证 的 话   抓 包 可 以 直 接 绕 过 ) 换 行 直 接 绕 过   发 现 能 上 传 绕 过 。 可 开 心 死 我 了 。 心 想 着 一 处 G e t s h e l l 到 手 了 呀   然 后 再 图 片 内 容 后 面 加 上 一 句 话 木 马 啊 哈 ？ g o   一 直 是 没 反 应   说 明 了 他 还 检 测 内 容 .   那 我 直 接 把 代 码 内 容 删 了   从 < ? p h p   开 始 测 首 先 想 上 传 个 p h p i n f o   都 被 拦 截 了   那 我 用 短 标 签 试 试 < ? = ? > < ? = p h p i n f o ( ) ? > 发 现 上 传 成 功 了   解 释 一 下   这 是 p h p 的 短 标 签 风 格   “ = ” 号   这 里 相 当 于 e c h o
之 后 发 现 是 p h p 5 . 6 那 可 好 绕 了   p h p 7 . 0 下 面 的 p h p 都 能 用 a s s e r t 拼 接   他 是 拦 截 关 键 字 的 直 接 $ a = ' a ' . ' s ' . ' s e r t ' ; 最 后 发 现 $ _ G E T [ ' a ' ] , $ _ P S O T [ ' b ' ] . . . .   这 种 传 参 方 式 被 拦 截 了 ， 继 续   F U Z Z   删 到   他 不 拦 截 为 止   删 到 了 $ _ G E T   他 不 拦 截 了   思 路 来 了 ， 那 我 可 以 用 f o r e a c h 。 f o r e a c h   ( $ _ G E T   a s   $ k e y = > $ v a l u e ) {         $ $ k e y = $ v a l u e ; } 伪 全 局 , 最 后 $ k e y   相 当 于   $ _ G E T [ ' k e y ' ] 最 后 直 接   $ a ( $ k e y ) ;   原 生 代 码 就 等 于 a s s e r t ( $ _ G E T [ ' k e y ' ] ) 然 后 久 违 的 S H E L L   就 到 手 了 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理