搜索

[29034] 2021-06-25_从Git文件夹泄露到远程代码执行

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-06-25_从Git文件夹泄露到远程代码执行 从   G i t   文 件 夹 泄 露 到 远 程 代 码 执 行 O t s 安 全   2 0 2 1 - 0 6 - 2 5 点 击 上 方 蓝 字 “ O t s 安 全 ” 一 起 玩 耍           - 点 击 图 文 广 告   =   打 赏 不 久 前 ， 我 在   B u g c r o w d   的 一 个 私 人 项 目 中 进 行 了   B u g   H u n t i n g   活 动 。 像 往 常 一 样 ， 狩 猎 过 程 从 侦 察 和 枚 举 开 始 。 在   B l a c k b o x   中 对 这 个 目 标 执 行 狩 猎 过 程 。 不 提 供 凭 据 ， 应 用 程 序 的 首 页 只 是 一 个 登 录 页 面 。 一 、 一 、 G I T 文 件 夹 泄 露 文 件 夹 泄 露 在 枚 举 过 程 中 ， 我 发 现 了 一 个 . g i t 公 开 的 目 录 。 通 过 使 用 这 个 工 具 ， 我 能 够 从 . g i t 目 录 中 下 载 应 用 程 序 的 源 代 码 。 h t t p s : / / g i t h u b . c o m / a r t h a u d / g i t - d u m p e r / b l o b / m a s t e r / r e q u i r e m e n t s . t x t
二 、 查 找 凭 据 二 、 查 找 凭 据 即 使 我 得 到 了 源 代 码 ， 我 也 没 有 得 到 任 何 凭 据 。 此 外 ， 此 应 用 程 序 不 易 受 到   S Q L   注 入 攻 击 ， 因 此 无 法 绕 过 登 录 页 面 。 检 查 了 几 个 文 件 夹 后 ， 我 找 到 了 一 个 d a t a b a s e 目 录 和 一 个 名 为   . s q l   的   S Q L   文 件 s t r u c t u r e . s q l 。 但 是 ， 在 那 些   S Q L   文 件 中 ， 只 有 一 个 默 认 用 户 无 法 破 解   m d 5   哈 希 密 码 。 幸 运 的 是 ， 在 应 用 程 序 中 ， 目 录 列 表 已 启 用 。 当 我 打 开 d a t a b a s e 目 录 时 ， 它 显 示 了 一 些 数 据 库 文 件 ， 而 不 仅 仅 是 . g i t 目 录 中 的 一 个 文 件 。
我 快 速 获 取 最 新 文 件 并 检 查 其 内 容 。 上 面 有 几 个 具 有 多 个 角 色 的 用 户 。 不 幸 的 是 ， 只 有   2   个 用 户 具 有 a d m i n   角 色 ， 密 码 无 法 破 解 。 然 后 我 移 动 到 具 有 非 管 理 员 角 色 的 用 户 ， 我 能 够 破 解 一 些 非 管 理 员 用 户 ， 最 后 ， 我 可 以 登 录 到 应 用 程 序 。 三 、 绕 过 受 限 文 件 上 传 三 、 绕 过 受 限 文 件 上 传 该 应 用 程 序 有 一 个 名 为 C r e a t e   A v a t a r .   通 过 该 功 能 ， 用 户 可 以 通 过 选 择 多 个 选 项 来 创 建 自 定 义 头 像 。
选 择 图 像 选 项 后 ， 浏 览 器 将 向 服 务 器 发 送 一 个 带 有   2   个 参 数 的 请 求 ， i m g d a t a 以 及 f i l e n a m e .   该 i m g d a t a 参 数 包 含 我 们 从 C r e a t e   A v a t a r   F e a t u r e 生 成 的 B a s e 6 4   编 码 图 像 文 件 ， 它 是 将 存 储 在 服 务 器 中 的 文 件 名 。 f i l e n a m e 应 用 程 序 已 经 实 施 了 一 些 限 制 来 防 止 用 户 上 传 恶 意 文 件 ： 1 .   服 务 器 只 接 受 与 文 件 . p n g ，   . j p g 以 及 . g i f 扩 展 2 .   服 务 器 只 接 受 图 像 数 据 类 型 的 文 件 如 果 我 们 尝 试 上 传 带 有 . p h p 扩 展 名 的 文 件 ， 服 务 器 将 返 回 一 条 e r r o r 消 息 。
但 是 ， 在 查 看 我 之 前 获 得 的 源 代 码 后 ， 可 以 通 过 使 用 双 扩 展 名 轻 松 绕 过 此 过 滤 器 ， 例 如 ： f i l e n a m e . p n g . p h p . 第 二 个 过 滤 器 被 检 查 的 内 容 i m g d a t a ， 并 且 必 须 含 有 d a t a : i m a g e / p n g ， d a t a : i m a g e / j p g 或 d a t a : i m a g e / g i f 。 这 不 是 问 题 ， 因 为 即 使 内 容 类 型 设 置 为 图 像 文 件 ， 我 们 仍 然 可 以 执 行   P H P   文 件 。 对 于 初 始 测 试 ， 我 尝 试 上 传   P H P   I n f o   函 数 ： d a t a % 3 A i m a g e % 2 F p n g % 3 B b a s e 6 4 % 2 C P D 9 w a H A g c G h w a W 5 m b y g p O y A / P g % 3 d % 3 d 这 P D 9 w a H A g c G h w a W 5 m b y g p O y A / P g 是 一 个   B a s e 6 4   编 码 的 < ? p h p   p h p i n f o ( ) ;   ? > 并 且 文 件 上 传 成 功 ！
通 过 使 用 相 同 的 方 式 ， 我 能 够 上 传   P H P   S h e l l   并 成 功 执 行 操 作 系 统 命 令 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理