搜索

[1103] 2020-07-01_渗透经验分享之文件操作漏洞拓展

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2020-07-01_渗透经验分享之文件操作漏洞拓展 渗 透 经 验 分 享 之 文 件 操 作 漏 洞 拓 展 Y 4 e r   C h a B u g   2 0 2 0 - 0 7 - 0 1 上 文 分 享 了 注 入 相 关 的 东 西 ， 注 入 也 可 以 对 文 件 进 行 操 作 ， 本 文 是 对 文 件 操 作 漏 洞 的 拓 展 。 文 件 操 作 漏 洞 1 .   文 件 上 传 2 .   文 件 读 取 3 .   文 件 写 入 4 .   文 件 删 除 5 .   文 件 包 含 一 般 j a v a 的 站 点 存 在 文 件 系 列 的 洞 比 较 多 ( 除 了 文 件 包 含 ) 。 文 件 上 传 在 哪 最 容 易 发 现 上 传 点 ？ 注 册 登 陆 用 户 头 像 、 发 布 文 章 发 布 产 品 、 j s 中 的 文 件 上 传 接 口 、 一 些 编 辑 器 ， 甚 至 还 有 扫 目 录 扫 出 来 的   路 径 ， 访 问 出 现 这 种 4 0 5 的 u p l o a d e r 一 般 就 是 上 传 。 比 如 ：   这 个 时 候 本 地 构 造 P O S T 表 单 就 行 了 ， f i l e 参 数 靠 猜 ， 有 的 时 候 任 意 参 数 就 行 ， 有 的 时 候 p o s t 提 交 过 去 会 报 错 缺 失 什 么 参 数 ， 随 机 应 变 。   一 般 上 j a v a 的 站 点 扫 出 来 这 种 u p l o a d e r 比 较 多 ， 都 是 上 传 写 的 s e r v l e t 接 口 。 上 传 其 实 u p l o a d - l a b s 里 的 绕 过 姿 势 已 经 非 常 全 面 了 。 拿 到 一 个 上 传 点 ， 首 先 应 该 判 断 能 不 能 正 常 上 传 、 白 名 单 还 是 黑 名 单 、 怎 么 校 验 的 在 哪 校 验 的 ， 这 些 没 什 么 好 讲 的 。 聊 一 些 比 较 恶 心 的 文 件 上 传 。 1 .   上 传 不 返 回 路 径 2 .   上 传 不 在 w e b 目 录 上 传 不 返 回 路 径 多 出 现 在   、   这 类 功 能 中 ， 其 实 这 种 功 能 本 来 就 没 打 算 给 你 返 回 路 径 。 我 的 思 路 一 般 是 找 注 入 点 ， 只 要 没 返 回 路 径 的 文 件 上 传 并 且 返 回 给 你 一 个 I D 给 你 当 作 凭 据 的 ( 此 处 只 是 举 例 ， 类 推 ) ， 肯 定 保 存 路 径 在 数 据 库 中 。 找 到 注 入 就 等 于 找 到 了 文 件 路 径 。 / u p l o a d e r 市 长 邮 箱 投 诉 举 报
如 果 没 有 注 入 呢 ？ 找 找 日 志 。 比 如 t p 的 日 志 是 有 规 律 的 ， 你 可 以 传 一 个 非 法 文 件 名   ， 在 t p 的 日 志 中 报 错 ， 说 不 定 就 有 路 径 。 这 个 我 自 己 是 真 实 碰 到 的 ， 一 个 l a r a v e l 的 框 架 ， 在 l a r a v e l . l o g 中 报 错 返 回 了 错 误 文 件 名 的 文 件 路 径 ， 猜 出 来 了 s h e l l 的 路 径 。 如 果 没 有 日 志 呢 ？ 猜 。 形 如   、   目 录 ， 猜 要 有 根 据 的 猜 ， 观 察 网 站 的 图 片 和 文 件 地 址 ， 以 此 拼 接 你 的 s h e l l 文 件 名 ， 多 数 以 时 间 戳 命 名 ， b p 爆 破 下 就 行 了 。 再 来 说 不 在 w e b 目 录 的 ， 上 传 的 时 候 关 注 下 请 求 包 的 几 个 参 数 ， 有 没 有   、   、   、   ， 甚 至 测 一 下   文 件 名 。 如 果 上 传 不 能 跨 目 录 其 实 你 就 应 该 转 移 关 注 点 了 。 找 文 件 包 含 、 文 件 读 取 。 上 传 不 在 w e b 目 录 的 站 ， 有 这 种 功 能 的 很 多 都 有 文 件 读 取 的 洞 ， 因 为 传 上 去 的 文 件 总 归 是 要 下 回 来 的 ， 找 找 形 如   这 种 。 拓 展 思 路 ， 举 一 反 三 。 另 外 就 是 文 件 包 含 了 ， 没 啥 可 说 的 。 文 件 读 取 限 制 条 件 有 两 个 1 .   限 制 前 缀 2 .   限 制 后 缀 不 限 制 前 缀 的 时 候 可 以 通 过   协 议 读 文 件 ， p h p 可 以 通 过 伪 协 议 读 文 件 ， 当 限 制 前 缀 的 时 候 L i n u x 其 实 还 好 ， 可 以 通 过   跳 目 录 ， 但 是 w i n d o w s 没 办 法 通 过   跳 盘 符 。 限 制 后 缀 就 比 较 恶 心 了 ， p h p 好 像 可 以 用   、   符 号 去 绕 过 。 具 体 看   c h y b e t a 师 傅 的 文 章   吧 。 确 定 是 文 件 读 取 之 后 ， 如 何 进 一 步 拿 权 限 ？ 个 人 习 惯 先 读   1 . ; / F i l e s / / u p l o a d s / p a t h f i l e p a t h f i l e n a m e f i l e _ p r e f i x . . / . . / 1 . j p g d o w n l o a d ? p a t h = 1 . j p g f i l e . . / . . / # ? h t t p s : / / c h y b e t a . g i t h u b . i o / 2 0 1 7 / 1 0 / 0 8 / p h p % E 6 % 9 6 % 8 7 % E 4 % B B % B 6 % E 5 % 8 C % 8 5 % E 5 % 9 0 % A B % E 6 % B C % 8 F % E 6 % B 4 % 9 E / # % E 6 % 8 C % 8 7 % E 5 % A E % 9 A % E 5 % 9 0 % 8 E % E 7 % B C % 8 0 / e t c / p a s s w d
， 权 限 够 大 直 接 读   ， 然 后 根 据   读 每 个 用 户 的   ， 读 中 间 件 的 配 置 文 件 ， 以 此 判 断 w e b 的 绝 对 路 径 。 然 后 逐 个 读 源 码 ， j a v a 的 话 可 以 读 一 下 w a r 包 ， 搞 到 代 码 之 后 就 变 得   了 。 举 个 例 子 ： 文 件 读 取 读 到 了 旁 站 的 w a r 包 ， 旁 站 是 一 个 监 控 ， 就 一 个 登 陆 框 ， 而 w a r 包 中 配 置 文 件 里 写 死 了 密 码 ， 刚 好 登 陆 进 去 直 接 可 以 执 行 命 令 r c e 。 w e b l o g i c 的 话 可 以 直 接 读 c o n s o l e 账 号 密 码 ， 登 陆 c o n s o l e 部 署 w a r 包 g e t s h e l l 。 反 正 就 是 文 件 读 取 = 6 0 % 中 间 件 特 性 + 1 0 % 猜 + 3 0 % 运 气 。 文 件 写 入 文 件 写 入 拿 s h e l l 很 简 单 ， 直 接 指 定 w e b 目 录 和 内 容 就 行 了 。 但 是 这 个 一 般 上 会 有 限 制 ， 比 如 内 容 检 测 ( 不 能 写 p h p 标 签 之 类 ) ， 文 件 名 检 测 ( 不 能 写   ) 。 1 .   写 计 划 任 务 或 许 或 许 为 一 个 好 的 选 择 2 .   覆 盖 原 有 配 置 文 件 ( 比 如 覆 盖 安 装 锁 ) 3 .   写 s s h 文 件 写 入 好 像 没 什 么 好 说 的 ， 先 就 这 样 ， 想 到 什 么 补 充 什 么 。 文 件 删 除 实 战 没 怎 么 遇 到 过 这 个 洞 1 .   删 除 配 置 文 件 2 .   删 除 安 装 锁 ( 造 成 重 装 ) 3 .   删 除 w a f 文 件   文 件 包 含 文 件 包 含 多 为 p h p 站 点 ， 所 以 伪 协 议 读 文 件 这 些 都 是 基 本 操 作 。 不 过 有 一 说 一 ， 除 了 c t f 中 碰 到 过 文 件 包 含 ， 实 战 中 没 遇 到 过 。 具 体 看   c h y b e t a 师 傅 的 文 章 - p h p 文 件 包 含 漏 洞 需 要 提 一 嘴 的 是 p h a r 可 以 伪 装 为 图 片 ， 你 可 以 传 一 个 1 . j p g ， 绕 过 内 容 检 测 ， 然 后 用   协 议 包 含 。 还 有 就 是 s m b 包 含 ， p h p 缓 存 文 件 包 含 。 或 许 渗 透 变 化 万 千 的 思 路 才 是 我 真 正 喜 欢 他 的 原 因 。 / e t c / p a s s w d / e t c / s h a d o w / e t c / p a s s w d . b a s h _ h i s t o r y s o   e a s y . p h p i n c l u d e   w a f . p h p h t t p s : / / c h y b e t a . g i t h u b . i o / 2 0 1 7 / 1 0 / 0 8 / p h p % E 6 % 9 6 % 8 7 % E 4 % B B % B 6 % E 5 % 8 C % 8 5 % E 5 % 9 0 % A B % E 6 % B C % 8 F % E 6 % B 4 % 9 E / p h a r : / /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理