搜索

[11600] 2017-07-29_挖洞经验看我如何利用上传漏洞在PayPal服务器上实现RCE执行

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-07-29_挖洞经验看我如何利用上传漏洞在PayPal服务器上实现RCE执行 挖 洞 经 验   |   看 我 如 何 利 用 上 传 漏 洞 在 P a y P a l 服 务 器 上 实 现 R C E 执 行 c l o u d s   F r e e B u f   2 0 1 7 - 0 7 - 2 9 当 你 看 到 这 篇 文 章 标 题 时 ， 是 不 是 很 吃 惊 ， 当 你 看 到 这 篇 文 章 标 题 时 ， 是 不 是 很 吃 惊 ， P a y P a l 服 务 器 的 服 务 器 的 R C E 漏 洞 ？ 漏 洞 ？ D a f a q ？ ？ W T F ？ 真 的 吗 ？ 这 当 然 是 真 ？ 真 的 吗 ？ 这 当 然 是 真 的 ， 很 幸 运 ， 我 通 过 枚 举 和 域 名 查 找 方 法 发 现 了 该 漏 洞 。 的 ， 很 幸 运 ， 我 通 过 枚 举 和 域 名 查 找 方 法 发 现 了 该 漏 洞 。 从 头 说 起 从 头 说 起 最 近 ， 我 通 过 4 个 月 夜 以 继 日 的 学 习 努 力 ， 突 破 重 重 考 验 ， 终 于 获 得 了 O S C P 渗 透 测 试 认 证 。 这 么 长 时 间 的 花 费 ， 以 至 于 我 根 本 没 时 间 参 与 一 些 漏 洞 众 测 项 目 。 所 以 ， 接 下 来 打 算 挖 挖 漏 洞 赚 点 零 花 钱 。 正 常 人 的 周 末 是 这 样 的 ： 聚 会 、 喝 酒 、 玩 乐 、 视 频 聊 天 等 等 ， 或 者 ， 走 ， 去 看 《 蜘 蛛 侠 : 英 雄 归 来 》 ！ 在 家 追 剧 《 权 力 的 游 戏 》 … . . 我 的 周 末 则 是 这 样 的 ： 忙 ！ 上 传 漏 洞 发 现 上 传 漏 洞 发 现 某 个 周 末 ， 我 和 往 常 一 样 在 博 客 和 Y o u t u b e 上 研 究 技 术 ， 碰 到 了 关 于 P a y P a l 漏 洞 的 一 些 w r i t e u p ， 于 是 ， 打 算 在 P a y P a l 的 漏 洞 赏 金 项 目 中 查 点 资 料 。 在 B u r p 拦 截 器 关 闭 状 态 下 ， 我 访 问 了 P a y P a l 漏 洞 赏 金 项 目 主 页 ， 发 现 了 一 些 东 西 ， 如 下 ：
打 开 主 页 后 ， 在 B u r p 中 可 以 得 到 以 上 响 应 信 息 ， 仔 细 观 察 ， 其 响 应 头 的 内 容 安 全 策 略 （ C S P ） 保 护 中 包 了 多 个 P a y P a l 域 名 ， 其 中     “ h t t p s : / / * . p a y p a l c o r p . c o m “   让 我 很 感 兴 趣 。 在 漏 洞 挖 掘 中 ， 一 般 来 说 ， 尽 可 能 多 的 去 发 现 一 些 有 效 子 域 名 非 常 有 用 ， 因 这 这 些 子 域 名 的 安 全 最 容 易 被 忽 视 。 大 家 可 以 使 用 S u b b r u t e 、 K n o c k p y 、 e n u m a l l 等 多 种 域 名 枚 举 工 具 ， 在 这 里 我 使 用 了   V i r u s T o t a l 的 子 域 名 枚 举 功 能 ， 对 P a l P a l 域 名 进 行 了 枚 举 ， 具 体 如 下 ： h t t p s : / / w w w . v i r u s t o t a l . c o m / e n / d o m a i n / p a y p a l c o r p . c o m / i n f o r m a t i o n / 之 后 ， 复 制 枚 举 出 来 的 子 域 名 ， 利 用 命 令 ” d i g   - f   p a y p a l   + n o a l l   + a n s w e r ”   进 行 域 名 指 向 分 析 ： 其 中 一 个 域 名   b r a n d p e r m i s s i o n . p a y p a l c o r p . c o m   的 实 际 指 向 网 站 为   h t t p s : / / w w w . p a y p a l - b r a n d c e n t r a l . c o m / ， 该 网 站 是 P a y P a l 的 一 个 支 持 工 单 系 统 ， 通 过 该 系 统 ， 卖 主 、 供 应 商 和 合 作 方 可 以 申 请 P a y P a l 品 牌 授 权 并 上 传 商 品 的 L o g o 图 片 。 上 传 ！ 每 个 挖 洞 人 看 到 上 传 后 的 反 应 都 是 非 常 激 动 的 ： 好 吧 ， 上 传 试 试 ！ 我 上 传 了 一 副 名 为 ” f i n i s h e d . j p g ”   的 图 片 ， 后 被 系 统 以   “ f i n i s h e d _ _ t h u m b . j p g ” 为 名 存 储 在 以 下 目 录 中 ： “ / c o n t e n t / h e l p d e s k / 3 6 8 / 8 6 7 / f i n i s h e d _ _ t h u m b . j p g ” 可 以 看 到 ，   f i n i s h e d _ _ t h u m b . j p g 是 上 传 后 被 在 目 录 8 6 7 下 重 新 转 储 的 图 片 文 件 ， 于 是 ， 我 想 看 看 在 该 目 录 下 是 否 还 存 有 我 们 原 来 上 传 的 ” f i n i s h e d . j p g ” 图 片 ， 太 幸 运 了 ， ” f i n i s h e d . j p g ” 竟 然 还 在 8 6 7 目 录 下 ， L U C K Y ！ （ 请 看 后 续 分 解 ）
经 过 对 该 系 统 实 际 工 作 流 程 和 文 件 目 录 命 令 约 定 等 情 况 进 行 了 解 后 ， 知 道 上 述 链 接 中 的 ” 3 8 6 ” 是 我 们 上 传 时 分 配 的 工 单 号 ， ” 8 6 7 ” 则 是 与 此 工 单 号 相 关 的 商 品 文 件 存 储 目 录 。 接 着 ， 我 又 以 相 同 的 方 式 创 建 了 另 一 个 上 传 工 单 ， 只 不 过 这 次 我 把 其 中 的 图 片 文 件 换 成 了 一 个 ” s u c c e s s . p h p “ 文 件 ， 该 p h p 文 件 中 包 含 了 以 下 命 令 执 行 脚 本 ： 执 行 后 ， 竟 然 出 现 了 重 定 向 3 0 2 响 应 （ 这 也 说 明 会 发 生 访 问 成 功 的 2 0 0   o k 啦 ） ， 当 然 也 就 意 味 着 该 系 统 肯 定 没 对 上 传 文 件 类 型 和 内 容 作 出 验 证 。 哦 ， 有 点 意 思 ！ 深 入 挖 掘 实 现 深 入 挖 掘 实 现 R C E 当 p h p 文 件 上 传 出 现 3 0 2 响 应 时 ， 我 第 一 反 应 是 复 制 图 片 上 传 后 产 生 的 路 径 来 进 行 对 比 执 行 ， 但 是 ， 在 这 里 我 们 只 能 看 到 工 单 目 录 ， 无 法 得 知 存 储 目 录 。 在 这 里 得 到 的 工 单 号 目 录 为 / 3 6 6 / ， 由 于 不 知 道 存 储 目 录 ， 所 以 具 体 的 p h p 文 件 也 无 人 知 晓 。 但 是 ， 从 前 述 的 J P G 上 传 过 程 中 ， 我 们 知 道 系 统 在 把 上 传 文 件 转 储 后 还 会 仍 然 在 同 一 个 目 录 下 保 存 原 文 件 。 所 以 ， 我 们 后 续 上 传 的 s u c c e s s . p h p 原 文 件 仍 然 存 在 于 系 统 的 存 储 目 录 下 。 （ L U C K Y 之 处 ） 仔 细 观 察 工 单 目 录 和 存 储 目 录 后 ， 由 于 我 们 p h p 文 件 的 上 传 工 单 号 为 3 6 6 ， 所 以 在 此 ， 我 们 可 以 尝 试 对 存 储 目 录 进 行 暴 力 猜 解 ， 就 先 定 个 5 0 0 - 1 0 0 0 的 目 录 号 吧 ： h t t p s : / / w w w . p a y p a l - b r a n d c e n t r a l . c o m / c o n t e n t / _ h e l p d e s k / 3 6 6 / / s u c c e s s . p h p B u r p S u i t e 拉 出 来 跑 一 遍 ， 哇 ， 不 出 所 料 ， 返 回 了 一 个 2 0 0 响 应 的 8 6 5 目 录 i d :
此 时 我 的 心 情 是 这 样 的 ： 有 了 工 单 目 录 、 存 储 目 录 和 可 执 行 的 p h p 文 件 ， 还 有 什 么 是 不 可 能 的 呢 ？ ！ 来 个 R C E 试 试 ： h t t p s : / / w w w . p a y p a l - b r a n d c e n t r a l . c o m / c o n t e n t / _ h e l p d e s k / 3 6 6 / 8 6 5 / s u c c e s s . p h p ? c m d = u n a m e - a ; w h o a m i
再 来 个 c a t + / e t c / p a s s w d ， 哇 … . ： 后 经 发 现 ， 该 系 统 竟 然 还 包 括 P a y P a l 的 一 个 员 工 登 录 界 面 ， 漏 洞 危 害 可 想 而 知 ！ 漏 洞 报 送 漏 洞 报 送 2 0 1 7 年 7 月 8 日   1 8 : 0 3   -   漏 洞 提 交 2 0 1 7 年 7 月 1 1 日   1 8 : 0 3   -   漏 洞 修 复 我 还 以 上 述 方 式 在 其 它 网 站 中 发 现 了 同 样 的 漏 洞 ， 敬 请 关 注 我 下 周 的 博 客 更 新 。 * 参 考 来 源 ： p e n t e s t b e g i n s ， f r e e b u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理