搜索

[10342] 2016-07-27_我是如何黑进成人生活网站Pornhub拿到2万美元赏金的

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2016-07-27_我是如何黑进成人生活网站Pornhub拿到2万美元赏金的 我 是 如 何 黑 进 成 人 生 活 网 站 P o r n h u b 拿 到 2 万 美 元 赏 金 的 b a n i s h   F r e e B u f   2 0 1 6 - 0 7 - 2 7 老 司 机 们 对 老 司 机 们 对 P o r n h u b 也 不 会 陌 生 了 也 不 会 陌 生 了 ( / / ∇ ∇ / / ) ， 此 处 略 去 一 万 字 ， 此 处 略 去 一 万 字 … 作 者 是 如 何 黑 进 作 者 是 如 何 黑 进 p o r n h u b 的 呢 ？ 这 一 切 都 要 从 那 日 作 者 打 开 的 呢 ？ 这 一 切 都 要 从 那 日 作 者 打 开 p o r n h u b 说 起 说 起 … 概 要 ： 0 × 0 1   漏 洞 发 掘 漏 洞 发 掘 大 体 “ 分 析 ” 了 平 台 之 后 ， 笔 者 快 速 检 测 了 该 网 站 的 反 序 列 化 使 用 情 况 ， 发 现 多 种 路 径 受 到 影 响 （ 比 如 你 上 传 性 感 图 片 的 路 径 ） ： h t t p : / / w w w . p o r n h u b . c o m / a l b u m _ u p l o a d / c r e a t e   h t t p : / / w w w . p o r n h u b . c o m / u p l o a d i n g / p h o t o 在 这 套 程 序 中 ， 当 你 p o s t 数 据 中 包 含 名 为 c o o k i e 的 参 数 时 ， 会 将 c o o k i e 参 数 的 值 进 行 反 序 列 化 操 作 ， 并 且 其 相 关 的 数 据 会 在 S e t - c o o k i e 头 中 有 所 体 现 。 这 可 以 通 过 发 送 包 含 一 个 对 象 的 特 定 数 组 来 进 一 步 验 证 ： 笔 者 获 取 了 p o r n h u b . c o m 的 远 程 执 行 代 码 ， 并 且 在 H a c k o n e 上 赚 取 了 2 万 美 元 的 漏 洞 赏 金 。 笔 者 在 P H P 的 垃 圾 回 收 算 法 中 发 现 了 U A F 漏 洞 此 漏 洞 均 可 以 通 过 利 用 P H P 的 反 序 列 化 功 能 进 行 远 程 利 用 笔 者 还 获 取 了 互 联 网 漏 洞 悬 赏 协 会 的 2 0 0 0 美 元 赏 金
响 应 布 局 ： 第 一 眼 看 上 去 可 能 会 觉 得 它 只 是 造 成 信 息 泄 露 危 害 ， 但 一 般 情 况 下 大 家 都 清 楚 反 序 列 化 用 户 输 入 是 不 明 智 的 ： R O P   i n   P H P   a p p l i c a t i o n s S h o c k i n g   N e w s   i n   P H P   E x p l o i t a t i o n 开 发 技 术 标 准 中 要 求 所 谓 合 适 的 面 向 对 象 的 编 程 （ P r o p e r t y - O r i e n t e d - P r o g r a m m i n g   ） 意 味 着 可 能 会 因 为 滥 用 已 经 存 在 的 类 而 触 发 不 必 要 的 恶 意 代 码 。 但 不 幸 的 是 ， 笔 者 很 难 收 集 到 总 体 上 p o r n h u b 使 用 的 所 有 框 架 和 P H P 对 象 ， 对 多 个 类 别 的 框 架 进 行 了 测 试 之 后 都 无 功 而 返 。 0 × 0 2   漏 洞 描 述 漏 洞 描 述 反 序 列 化 的 核 心 相 对 来 说 比 较 复 杂 ， 涉 及 到 了 P H P 5 . 6   1 2 0 0 多 行 的 代 码 ， 此 外 ， 许 多 P H P 类 有 自 己 的 反 序 列 化 的 方 法 。 为 了 支 持 像 对 象 ， 数 组 ， 整 型 ， 字 符 串 ， 甚 至 是 引 用 这 样 的 数 据 类 型 ， P H P 的 记 录 中 显 示 了 一 些 b u g 和 内 存 损 坏 的 漏 洞 。 目 前 P H P 的 新 版 本 中 （ P H P 5 . 6 或 者 P H P 7 ） 并 没 有 发 现 类 似 的 漏 洞 ， 特 别 是 现 在 反 序 列 化 受 到 了 更 多 的 关 注 ， 好 比 再 去 榨 已 经 榨 干 的 柠 檬 ， 已 经 没 有 太 多 的 漏 洞 可 以 被 挖 掘 了 。 f u z z i n g   反 序 列 化 反 序 列 化 为 了 找 到 最 终 的 答 案 笔 者 的 基 友 D a r i o 针 对 传 递 给 反 序 列 化 的 序 列 串 “ 特 制 ” 了 一 个 f u z z e r 工 具 ， 在 P H P 7 上 运 行 这 个 f u z z e r 工 具 将 会 得 到 不 可 预 料 的 结 果 ， 而 且 这 种 结 果 在 测 试 p o r n h u b 的 网 站 时 是 不 可 复 制 的 。 因 此 笔 者   把 目 标 放 在 了 P H P 5 的 版 本 上 ， 然 而 在 P H P 5 的 版 本 中 这 个 f u z z e r 生 成 了 1 T B 的 日 志 还 是 没 有 什 么 结 果 。 当 笔 者 把 越 来 越 多 的 精 力 放 在 f u z z i n g 上 并 且 毫 无 收 获 之 后 ， 笔 者 开 始 质 疑 自 己 了 ： 这 是 一 个 安 全 相 关 问 题 吗 ？ 如 果 是 的 话 是 只 能 本 地 利 用 还 是 可 以 远 程 利 用 呢 ？   为 了 深 入 调 查 笔 者 又 用 f u z z e r 工 具 收 集 了 超 过 2 0 0 k b 的 非 打 印 b l o b s 数 据 。 分 析 意 外 结 果 分 析 意 外 结 果 接 下 来 笔 者 用 了 大 量 时 间 来 分 析 症 结 所 在 。 笔 者 已 经 提 取 了 工 作 内 存 损 坏 漏 洞 的 简 略 证 据 ， 最 终 发 现 了 一 个 U A F 漏 洞 ！ 经 过 进 一 步 调 查 ， 笔 者 发 现 根 本 源 头 来 自 P H P 的 垃 圾 回 收 算 法 ， 与 反 序 列 化 根 本 毫 无 关 系 ， 这 个 P H P 的 两 个 组 成 部 件 在 解 序 列 化 后 才 相 互 作 用 , 因 此 ， 不 是 很 适 用 于 远 程 利 用 。 经 过 进 一 步 的 分 析 后 ， 笔 者 对 问 题 的 根 源 有 了 更 深 的 理 解 ， 并 且 发 现 了 更 多 的 U A F 漏 洞 ， 而 且 是 可 以 用 来 远 程 利 用 的 。   漏 洞 链 接 ： P H P   B u g   –   I D   7 2 4 3 3 － － C V E - 2 0 1 6 - 5 7 7 1 P H P   B u g   –   I D   7 2 4 3 4 － －   C V E - 2 0 1 6 - 5 7 7 3 0 × 0 3   远 程 利 用 远 程 利 用 即 便 是 这 个 让 人 充 满 “ 希 望 ” 的 U A F 漏 洞 也 是 非 常 难 以 远 程 利 用 的 ， 特 别 是 它 涉 及 到 了 多 个 开 发 平 台 。   明 确 了 我 们 的 目 标 是 能 够 远 程 执 行 任 意 代 码 后 ， 我 们 需 要 找 到 控 制 C P U 指 令 指 针 到 R I P 寄 存 器 的 方 法 ， 通 常 会 有 以 下 障 碍 ：
第 一 个 问 题 可 以 通 过 使 用 返 回 导 向 编 程 （ R O P ） 利 用 现 有 的 可 执 行 记 忆 片 段 来 解 决 。 第 二 个 问 题 需 要 找 到 z e n d _ e v a l _ s t r i n g 的 正 确 地 址 。 通 常 当 一 个 动 态 链 接 程 序 被 执 行 时 加 载 程 序 将 会 映 射 此 过 程 到 0 × 4 0 0 0 0 0   （ x 8 6 _ 6 4 标 准 负 载 地 址 ） ， 如 果 你 已 经 以 其 他 方 式 获 取 了 执 行 权 限 ， 你 可 以 本 地 查 找 你 想 要 的 任 何 功 能 。 笔 者 发 现 了 p o r n h u b 使 用 的 是 P H P 5 - C G I 的 编 译 版 本 ， 因 此 难 以 确 定 确 切 的 P H P 版 本 。 具 体 的 利 用 过 程 因 为 比 较 繁 杂 小 编 在 这 并 不 赘 述 ， 笔 者 利 用 漏 洞 具 体 能 实 现 的 是 ： 0 × 0 4   规 避 建 议 规 避 建 议 笔 者 给 出 的 建 议 是 ： 即 使 是 在 不 同 类 型 的 即 使 是 在 不 同 类 型 的 P H P 环 境 中 ， 仍 然 可 以 利 用 反 序 列 化 实 现 远 程 代 码 执 行 ， 因 此 不 要 在 反 序 列 化 中 涉 及 使 用 用 户 数 据 ， 环 境 中 ， 仍 然 可 以 利 用 反 序 列 化 实 现 远 程 代 码 执 行 ， 因 此 不 要 在 反 序 列 化 中 涉 及 使 用 用 户 数 据 ， 少 用 复 杂 的 序 列 化 方 法 例 如 少 用 复 杂 的 序 列 化 方 法 例 如 j s o n 。 。 最 新 的 最 新 的 P H P 版 本 已 经 修 复 了 漏 洞 ， 因 此 读 者 们 需 尽 快 更 新 版 本 已 经 修 复 了 漏 洞 ， 因 此 读 者 们 需 尽 快 更 新 P H P 版 本 。 版 本 。 * 参 考 来 源 ： e v o n i d e ， 编 译 / b a n i s h ， 有 删 改 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 1 . 栈 和 堆 以 及 任 何 其 他 的 可 写 入 段 被 标 记 为 不 可 执 行 （ 可 执 行 空 间 保 护 ） 2 . 即 使 你 能 够 控 制 指 令 指 针 ， 你 也 需 要 有 一 个 可 执 行 内 存 段 的 有 效 地 址 。 之 后 调 用 l i b c 函 数 系 统 执 行 一 个 s h e l l 命 令 行 。 在 P H P 中 ， 通 常 是 很 容 易 执 行 z e n d _ e v a l _ s t r i n g 的 ， 例 如 你 在 一 个 P H P 脚 本 中 写 上 “ e v a l ( ‘ e c h o   1 3 3 7 ; ’ ) ; ” 时 ， 它 可 以 让 我 们 无 需 转 换 而 执 行 任 意 代 码 。 1 . 下 载 p o r n h u b . c o m 的 完 整 数 据 库 （ 包 括 敏 感 数 据 ） 2 . 可 在 平 台 上 跟 踪 用 户 操 作 行 为 3 . 网 站 托 管 在 服 务 器 上 的 所 有 代 码 皆 可 被 泄 露 4 . 深 入 内 网
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理