搜索

[12566] 2018-04-09_一名代码审计新手的实战经历与感悟

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-04-09_一名代码审计新手的实战经历与感悟 一 名 代 码 审 计 新 手 的 实 战 经 历 与 感 悟 K a 1 i e r   F r e e B u f   2 0 1 8 - 0 4 - 0 9 b l u e C M S 介 绍 介 绍 个 人 认 为 ， 作 为 一 个 要 入 门 代 码 审 计 的 人 ， 审 计 流 程 应 该 从 简 单 到 困 难 ， 逐 步 提 升 。 因 此 我 建 议 大 家 的 审 计 流 程 为 个 人 认 为 ， 作 为 一 个 要 入 门 代 码 审 计 的 人 ， 审 计 流 程 应 该 从 简 单 到 困 难 ， 逐 步 提 升 。 因 此 我 建 议 大 家 的 审 计 流 程 为 — — D V W A — — b l u e C M S — — 其 他 小 众 其 他 小 众 C M S — — 框 架 。 同 时 做 总 结 ， 搞 清 楚 漏 洞 原 理 。 好 ， 进 入 正 文 ！ 框 架 。 同 时 做 总 结 ， 搞 清 楚 漏 洞 原 理 。 好 ， 进 入 正 文 ！ b l u e C M S 是 一 款 小 众 的 C M S ， 在 2 0 1 2 年 左 右 的 时 候 ， 就 有 人 发 布 其 相 关 漏 洞 。 但 是 ， 我 个 人 感 觉 用 b l u e C M S 进 行 新 手 实 战 代 码 审 计 入 门 ， 是 一 个 非 常 不 错 的 选 择 。 而 我 在 进 行 b l u e C M S 审 计 之 前 ， 网 上 也 搜 索 了 b l u e C M S 的 审 计 文 章 。 那 些 文 章 可 能 都 是 你 转 过 来 ， 我 转 过 去 的 ， 一 般 都 是 文 章 中 只 提 到 了 两 个 漏 洞 ， 一 个 是 位 于 根 目 录 下 的 a d _ j s . p h p 文 件 中 ， 存 在 s q l 注 入 。 另 一 个 就 是 ， 在 c o m m o n . f u n . p h p 中 ， 自 定 义 函 数 g e t i p ( ) 可 以 伪 造 I P 地 址 ， 造 成 注 入 。 而 我 ， 作 为 一 个 新 手 ， 很 清 楚 新 手 在 初 学 代 码 审 计 的 时 候 ， 会 遇 到 什 么 样 的 困 惑 ， 因 此 ， 决 定 花 一 些 时 间 ， 认 真 记 录 下 自 己 实 战 过 程 中 的 所 见 所 闻 所 想 ， 以 及 解 决 思 路 的 方 法 。 争 取 给 新 手 一 个 非 常 全 面 的 借 鉴 过 程 。 环 境 准 备 环 境 准 备 B l u e C M S   v 1 . 6   s p 1 p h p s t u d y   p h p 5 . 4 . 4 5 + a p a c h e + m y s q l 操 作 系 统   W I N 7   6 4 位   专 业 版 B l u e C M S 资 源 在 i 春 秋 上 有 一 篇 文 章 ， 上 面 有 下 载 地 址 。 其 他 的 文 章 中 出 现 的 工 具 自 己 完 全 可 以 独 立 解 决 。 因 此 文 章 中 不 再 详 述 这 部 分 内 容 。 若 不 会 搭 建 本 地 网 站 环 境 ， 百 度 一 下 即 可 。 开 始 实 战 ！ 开 始 实 战 ！ 代 码 审 计 有 好 几 种 办 法 ， 有 人 习 惯 于 追 踪 数 据 流 ， 有 人 习 惯 追 踪 危 险 函 数 ， 然 后 回 溯 。 有 人 喜 欢 按 功 能 点 来 进 行 审 计 。 当 然 也 有 人 直 接 通 读 全 文 。 我 作 为 一 个 新 手 ， 按 道 理 讲 最 好 通 读 全 文 ， 熟 悉 架 构 。 但 是 ， 我 发 现 我 的 性 格 和 习 惯 ， 更 偏 向 于 追 踪 数 据 流 。 俗 话 说 ， 适 合 自 己 的 才 是 最 好 的 。 因 此 ， 作 为 新 手 ， 读 者 应 当 结 合 自 己 的 习 惯 ， 去 进 行 代 码 审 计 。 我 之 所 以 选 择 追 踪 数 据 流 ， 一 方 面 是 个 人 习 惯 ， 另 一 方 面 是 因 为 余 弦 大 佬 曾 经 说 过 ， w e b 安 全 重 点 就 三 个 词 — — “ 输 入 ” ， “ 输 出 ” ， “ 数 据 流 ” 。 虽 然 我 是 追 踪 数 据 流 ， 但 是 基 本 的 网 站 结 构 该 看 还 是 要 看 的 。 因 此 ， 我 做 的 第 一 件 事 ， 就 是 简 单 浏 览 网 站 目 录 结 构 。
实 际 上 ， 很 多 情 况 下 ， 根 据 命 名 ， 就 可 以 猜 出 来 这 部 分 的 文 件 具 体 是 干 嘛 的 了 。 比 如 a d m i n 文 件 夹 ， 那 么 里 面 的 文 件 肯 定 是 和 管 理 员 的 操 作 有 关 。 i n c l u d e 文 件 夹 ， 里 面 肯 定 包 含 了 一 些 常 用 的 函 数 文 件 。 简 单 看 完 目 录 后 ， 我 会 看 主 页 的 i n d e x . p h p ， 在 看 这 个 文 件 的 同 时 ， 我 还 会 打 开 它 的 网 页 ， 做 到 一 边 看 代 码 ， 一 边 看 网 页 的 效 果 。 这 种 方 法 可 以 让 我 们 这 些 对 代 码 不 熟 悉 的 新 手 脑 海 中 可 以 构 建 相 应 的 情 景 图 。 以 后 即 使 做 渗 透 ， 也 不 会 手 足 无 措 。 接 着 ， 我 会 打 开 主 页 i n d e x . p h p ， “ 装 模 作 样 ” 的 浏 览 一 番 。 实 际 上 ， 我 也 就 是 看 看 里 面 的 注 释 罢 了 。 。 。 。 。 因 为 在 I n d e x . p h p 里 面 ， 往 往 不 需 要 获 取 用 户 输 入 。 之 所 以 看 它 ， 是 想 知 道 在 这 个 主 页 上 ， 会 引 用 哪 些 操 作 文 件 ， 一 个 网 站 的 大 概 样 子 是 啥 样 子 。 比 如 说 b l u e C M S 中 ， 根 据 主 页 ， 我 就 猜 测 ， 如 果 将 一 些 x s s 语 句 存 到 数 据 库 ， 那 么 他 主 页 显 示 的 时 候 ， 是 不 是 就 会 有 存 储 型 x s s 呢 ？ 另 外 ， 主 页 还 引 入 了 一 些 文 件 ， 但 是 ， 我 个 人 是 没 有 去 看 的 。 个 人 习 惯 吧 ， 尽 管 那 本 《 代 码 审 计 ： 企 业 级 w e b 安 全 》 中 ， 建 议 大 家 是 看 看 常 用 函 数 库 文 件 ， 看 看 配 置 文 件 的 。 不 过 ， 我 本 人 更 喜 欢 在 用 到 相 关 函 数 、 相 关 配 置 的 时 候 再 去 查 看 。 接 下 来 ， 有 两 种 审 计 思 路 ， 一 种 是 通 过 点 击 网 页 ， 看 网 页 如 何 跳 转 ， 来 追 踪 审 计 。 比 如 下 面 这 幅 图 ： 我 一 旦 点 击 主 页 上 的 登 录 按 钮 ， 那 么 我 就 会 跳 转 到 u s e r . p h p 中 ， 执 行 a c t = i n d e x _ l o g i n 的 操 作 。 那 么 这 时 候 ， 你 就 可 以 打 开 相 关 的 文 件 ， 查 看 该 操 作 是 如 何 进 行 的 即 可 。
可 以 看 到 ， 先 是 获 取 了 用 户 的 输 入 ， 然 后 有 的 地 方 过 滤 了 ， 有 的 地 方 没 有 。 实 际 上 ， 这 里 咋 一 看 是 好 像 存 在 漏 洞 ， 但 是 ， 当 你 仔 细 看 的 时 候 ， 就 会 发 现 U C _ A P I ， 并 且 引 用 了 c l i e n t . p h p 中 的 函 数 。 可 以 这 么 说 ， 由 于 我 没 有 网 站 开 发 能 力 ， 导 致 我 在 看 c l i e n t . p h p 中 的 一 些 函 数 时 ， 是 看 不 懂 的 。 就 比 如 下 面 这 个 ， 即 使 我 知 道 是 将 那 些 参 数 全 都 传 入 U C _ A P I _ F U N C 中 ， 可 是 依 旧 不 清 楚 返 回 值 是 什 么 类 型 。 “ 当 你 遇 到 问 题 的 时 候 ， 就 是 你 成 长 的 契 机 ” 我 非 常 喜 欢 这 句 话 。 同 理 ， 我 们 都 是 新 手 ， 初 学 代 码 审 计 ， 肯 定 很 多 东 西 看 不 懂 。 怎 么 办 ？ 这 个 问 题 会 将 一 大 批 想 学 代 码 审 计 又 没 有 开 发 背 景 的 人 刷 下 去 。 我 们 唯 有 硬 啃 ， 把 这 硬 骨 头 啃 碎 了 ， 才 能 继 续 下 去 ， 否 则 代 码 会 读 的 昏 昏 沉 沉 。 于 是 我 通 过 搜 索 引 擎 查 阅 U C _ A P I _ F U N C 知 道 ， 这 个 玩 意 儿 是 判 断 用 户 提 交 信 息 是 否 正 确 ， 然 后 返 回 正 确 情 况 下 的 u i d 。 知 道 这 个 ， 目 前 来 说 ， 就 够 了 。 没 必 要 再 深 入 了 。 我 这 里 举 这 个 例 子 ， 就 是 想 让 新 手 知 道 ， 初 学 代 码 审 计 ， 会 有 大 批 代 码 看 不 懂 。 死 磕 下 去 ， 才 会 看 懂 越 来 越 多 的 代 码 。 也 为 了 以 后 审 计 逻 辑 漏 洞 打 下 基 础 。 但 是 ， 也 不 能 盲 目 死 磕 一 个 不 会 的 点 ， 这 个 度 只 能 自 己 把 握 。 另 外 ， 由 于 我 是 追 踪 数 据 流 的 ， 所 以 我 个 人 还 有 另 外 一 种 审 计 思 路 ， 就 是 不 看 网 页 ， 也 不 必 刻 意 搞 懂 网 站 的 整 体 架 构 。 就 一 句 话 “ 我 只 关 心 用 户 输 入 ” 。 这 种 方 法 说 的 直 白 点 ， 我 就 利 用 正 则 匹 配 ， 每 个 网 页 里 面 我 都 找 到 用 户 能 控 制 的 变 量 ， 一 个 一 个 的 排 查 。 优 点 就 是 不 会 像 上 面 那 种 方 法 那 样 ， 漏 掉 一 些 页 面 。 缺 点 就 是 ， 理 清 这 个 网 站 的 结 构 有 点 麻 烦 。 因 为 是 追 踪 用 户 输 入 么 ， 所 以 各 种 页 面 都 要 打 开 ， 很 麻 烦 。 比 如 ， 在 根 目 录 下 ， 我 就 看 到 了 这 些 P H P 文 件 ， 那 么 就 挨 个 进 去 查 有 没 有 用 户 输 入 ， 没 有 就 跳 过 。 有 就 继 续 跟 读 。 恩 ， 很 巧 ， 第 一 个 就 是 那 个 网 上 流 传 很 多 的 a d _ j s . p h p 。 那 就 先 进 去 看 看 吧 。 先 声 明 一 下 ， 我 没 抄 袭 别 人 啊 ， 这 篇 文 章 就 是 自 己 原 创 的 。 （ 这 个 地 方 漏 洞 和 利 用 方 法 很 多 人 已 经 知 道 了 ， 我 只 是 凑 巧 就 顺 便 写 一 下 ， 写 的 全 面 一 点 。 文 章 后 面 会 有 一 些 自 己 挖 到 了 漏 洞 分 享 。 ）
虽 说 这 里 有 过 滤 ， 但 是 他 这 过 滤 的 是 s t r i n g 型 注 入 ， 而 上 面 的 s q l 语 句 压 根 不 需 要 闭 合 。 所 以 这 里 的 过 滤 根 本 没 用 。 就 造 成 了 i n t 型 注 入 。 简 单 验 证 一 下 ， u n i o n   s e l e c t   1 , 2 , 3 , 4 , 5 , 6 , 7 ， 发 现 到 7 的 时 候 没 报 错 。 那 么 就 可 以 在 7 这 个 位 置 构 造 语 句 。 不 过 ， 不 知 道 是 不 是 我 的 这 套 b l u e C M S 有 问 题 ， 虽 然 存 在 注 入 ， 可 是 页 面 始 终 显 示 空 白 。 估 计 应 该 是 这 套 c m s 有 地 方 没 写 好 吧 。 具 体 的 读 者 可 以 看 别 人 的 这 方 面 文 章 ， 他 们 都 在 文 章 中 详 细 写 了 这 个 漏 洞 。 文 章 链 接 在 我 这 篇 文 章 快 要 结 束 的 时 候 会 提 供 。 按 照 这 种 找 用 户 输 入 的 方 法 ， 以 此 类 推 ， 继 续 下 一 个 文 件 查 看 。 像 上 面 这 个 文 件 ， 明 显 进 行 了 过 滤 ， 用 的 还 是 白 名 单 思 想 。 这 种 情 况 ， 我 们 代 码 审 计 就 可 以 节 约 时 间 了 ， 这 个 文 件 也 就 这 两 个 地 方 有 输 入 ， 还 对 输 入 进 行 了 非 常 好 的 过 滤 ， i n v a l ( ) 只 获 取 变 量 的 整 数 值 。 那 么 就 可 以 直 接 跳 过 这 个 文 件 ， 不 往 下 继 续 看 了 。 节 约 时 间 成 本 。 又 遇 到 了 一 种 情 况 是 什 么 呢 ？ 就 是 上 面 这 幅 图 ， 明 明 $ a c t 没 有 过 滤 ， 是 个 可 控 变 量 ， 可 是 在 这 个 文 件 中 ， 并 没 有 用 到 这 个 可 控 变 量 。 那 么 ， 这 就 说 明 了 两 种 情 况 ， 第 一 ， 这 个 文 件 在 其 他 地 方 被 引 用 。 第 二 ， 程 序 员 纯 粹 写 着 玩 的 。 。 。 当 然 ， 我 相 信 第 一 种 情 况 是 更 有 可 能 的 。 于 是 ， 我 们 可 以 这 时 候 搜 索 一 下 看 看 到 底 哪 些 文 件 引 用 了 这 个 文 件 。
在 搜 索 之 前 ， 由 于 我 记 忆 力 不 好 ， 做 了 其 他 事 情 就 会 忘 了 之 前 要 干 嘛 ， 因 此 ， 我 还 记 录 了 笔 记 。 我 也 建 议 新 手 审 计 的 时 候 做 标 注 ， 做 笔 记 ， 否 则 除 非 你 是 有 天 赋 的 人 ， 像 我 这 样 的 普 通 人 ， 真 的 会 逻 辑 混 乱 ， 忘 了 前 一 个 文 件 看 到 哪 里 。 为 什 么 要 去 找 那 个 文 件 。 我 是 谁 ？ 我 为 什 么 要 打 开 这 个 文 件 ？ （ 或 许 我 是 提 前 进 入 老 年 痴 呆 了 ？ 手 动 滑 稽 ） 于 是 乎 ， 作 为 新 手 的 我 就 在 笔 记 上 记 录 下 这 么 一 句 话 ： 图 片 中 你 可 能 还 会 看 到 我 写 的 其 他 记 录 ， 那 是 我 之 前 审 计 这 个 c m s 时 候 写 的 。 我 就 想 告 诉 新 手 ， 这 样 可 以 让 我 们 新 手 的 思 路 更 清 晰 一 点 。 思 维 是 要 慢 慢 锻 炼 的 ， 万 事 开 头 难 。 难 归 难 ， 但 是 我 们 要 掌 握 解 决 问 题 的 方 法 。 这 或 许 也 是 一 种 黑 客 思 维 。 经 过 追 踪 发 现 ， 凡 是 涉 及 到 c a t e g o r y . p h p 文 件 的 相 关 文 件 ， 哪 怕 是 h t m l 文 件 ， 无 一 例 外 的 全 都 对 n a m e = a c t 进 行 了 赋 值 ， 这 就 导 致 了 该 文 件 中 $ a c t 变 量 与 x s s 是 无 缘 了 。 大 家 可 以 看 到 ， 基 本 上 都 是 下 图 这 种 情 况 ， 提 前 在 h t m l 页 面 中 将 n a m e = a c t 赋 值 ， 然 后 服 务 器 端 再 获 取 ， 也 是 白 名 单 思 想 。 而 唯 一 的 一 个 p h p 文 件 引 用 了 c a t e g o r y . p h p ， 却 还 不 涉 及 到 $ a c t 变 量 。 于 是 乎 ， c a t e g o r y . p h p 中 的 那 个 可 控 变 量 也 没 啥 用 了 。 。 。 这 里 再 补 充 一 下 ， 虽 然 按 照 c m s 的 逻 辑 来 看 ， 是 没 什 么 用 了 。 但 是 ， 我 要 没 记 错 的 话 ， 有 种 漏 洞 叫 基 于 d o m 的 X S S ， 是 可 以 修 改 h t m l 元 素 的 。 那 么 ， 既 然 这 套 c m s 这 个 地 方 没 有 对 页 面 的 n a m e = a c t 进 行 过 滤 ， 那 么 假 如 ， 有 基 于 d o m 的 x s s ， 攻 击 者 随 意 修 改 了 n a m e = a c t 的 值 ， 构 造 攻 击 语 句 ， 是 不 是 就 无 法 防 御 了 呢 ？ 换 句 话 说 ， 利 用 其 他 漏 洞 来 打 出 组 合 拳 ， 那 这 个 没 过 滤 还 是 很 危 险 的 。 无 奈 我 知 识 储 备 有 限 ， 无 法 验 证 我 的 思 路 。 故 先 在 文 章 中 写 下 来 。 等 深 入 研 究 了 X S S 再 做 实 践 。 按 照 这 样 的 思 路 ， 可 以 继 续 下 一 处 追 踪 。 不 过 ， 如 果 你 看 到 现 在 ， 还 没 发 现 我 文 章 的 问 题 ， 那 么 恭 喜 你 ， 要 么 你 没 有 审 计 过 这 套 c m s ， 要 么 你 和 我 一 样 是 新 手 。 我 前 面 写 那 么 多 ， 看 似 没 过 滤 的 变 量 ， 实 际 上 往 往 在 引 用 文 件 的 地 方 就 进 行 了 过 滤 。 比 如 下 面 这 幅 图 ： 是 不 是 觉 得 这 里 的 $ a c t 也 没 过 滤 ？ 然 而 事 实 却 是 在 引 入 的 c o m m o n . i n c . p h p 中 ， 早 就 进 行 了 过 滤 。 早 就 对 $ _ G E T ， $ _ P O S T   ,   $ _ R E Q U I R E S T   , $ _ C O O K I E S 进 行 了 过 滤 。 但 是 ， 似 乎 还 漏 了 一 个 $ _ S E R V E R 。 这 个 或 许 就 会 导 致 I P 注 入 或 X S S ， 前 提 是 如 果 开 发 者 将 用 户 I P 写 入 数 据 库 或 展 现 出 来 的 话 。 这 里 提 出 来 是 因 为 作 为 新 手 的 我 居 然 也 忽 略 了 过 滤 文 件 。 。 。 都 说 过 滤 文 件 很 重 要 ， 很 重 要 ， 但 是 我 实 战 中 还 是 忽 略 了 ， 还 好 反 应 过 来 。 否 则 挖 到 一 个 漏 洞 ， 想 复 现 就 会 遇 到 过 滤 问 题 。 才 会 想 到 是 否 被 过 滤 了 ， 才 会 再 回 去 查 找 ， 很 麻 烦 。
而 至 于 这 里 的 过 滤 函 数 么 ， 实 际 上 就 是 判 断 传 进 来 的 数 据 是 不 是 数 组 ， 要 是 数 组 ， 则 遍 历 数 组 的 每 个 值 进 行 a d d s l a s h e s 过 滤 ， 不 是 数 组 ， 则 直 接 用 a d d s l a s h e s 进 行 过 滤 。 虽 然 引 用 了 过 滤 文 件 ， 但 是 明 显 是 有 可 能 突 破 的 。 假 如 开 发 者 在 某 处 执 行 s q l 语 句 的 时 候 ， 拼 接 变 量 没 有 加 单 引 号 ， 那 么 i n t 型 注 入 就 可 以 突 破 这 种 过 滤 。 其 他 的 我 这 里 就 不 一 一 叙 述 了 。 简 单 来 说 ， 我 喜 欢 追 踪 数 据 流 ， 虽 然 挖 掘 漏 洞 的 速 度 没 有 那 些 按 功 能 点 审 计 ， 按 危 险 函 数 回 溯 的 方 法 快 , 而 且 对 于 自 定 义 封 装 的 函 数 来 说 ， 我 容 易 忽 略 这 类 漏 洞 ， 比 如 这 里 的 g e t i p ( ) 明 显 有 未 过 滤 的 情 况 ， 我 却 忽 略 了 ， 但 是 ， 我 喜 欢 ， 不 是 么 ？ 就 好 像 读 者 们 为 什 么 喜 欢 学 黑 客 呢 ？ 不 就 是 因 为 喜 欢 么 ？ 最 后 ， 分 享 一 下 我 挖 到 的 漏 洞 。 由 于 b l u e C M S 是 我 代 码 审 计 第 一 战 ， 有 不 完 善 的 地 方 ， 或 错 误 的 地 方 ， 也 欢 迎 大 神 指 出 来 。 别 喷 我 就 是 了 。 。 。 漏 洞 分 享 漏 洞 分 享 1 . 网 站 根 目 录 下 文 件 读 取 漏 洞 网 站 根 目 录 下 文 件 读 取 漏 洞 在 用 户 进 行 登 录 操 作 的 时 候 ， $ f r o m 变 量 可 控 。 奇 怪 的 是 ， 这 里 还 进 行 了 b a s e 6 4 解 码 。 s h o w m s g 函 数 功 能 如 下 ： 当 我 看 到 这 个 a s s i g n 的 时 候 ， 我 就 有 预 感 ， 这 个 可 控 变 量 还 会 在 前 端 出 现 的 。 果 不 其 然 。 我 去 登 录 页 面 进 行 登 录 ， 抓 包 。
我 先 构 造 了 f r o m 参 数 的 值 为 网 站 根 目 录 下 的 另 一 个 网 站 D V W A 的 登 录 主 页 ， 然 后 发 包 在 返 回 包 中 ， 可 以 看 到 经 过 我 b a s e 6 4 编 码 的 值 ， 成 功 解 码 ， 并 且 路 径 也 成 功 的 变 成 了 网 站 根 目 录 下 的 D V W A 再 去 看 一 下 浏 览 器 ， 成 功 读 取 到 了 D V W A 的 页 面 再 附 上 一 张 我 自 己 电 脑 上 的 路 径 图 片 。
而 我 用 这 个 漏 洞 ， 只 能 读 取 p h p i n f o 页 面 。 。 。 其 他 的 文 件 读 取 的 话 （ 比 如 管 理 员 界 面 ） ， 由 于 有 s e s s i o n 限 制 ， 没 有 权 限 读 取 。 。 。 就 会 又 跳 转 到 管 理 员 登 录 界 面 。 或 许 这 个 漏 洞 在 大 神 眼 中 还 可 以 有 其 他 的 利 用 姿 势 吧 。 。 。 2 . 注 册 页 面 存 在 反 射 型 注 册 页 面 存 在 反 射 型 X S S 这 个 反 射 型 X S S 黑 盒 测 试 是 测 不 出 来 的 。 因 为 默 认 h t m l 中 的 n a m e = f r o m 这 个 f r o m 的 v a l u e 是 不 提 交 的 。 从 下 面 的 代 码 中 可 以 明 显 看 到 （ 部 分 我 分 析 过 的 无 用 代 码 被 我 省 略 ） ， 程 序 的 逻 辑 是 在 进 入 u s e r . p h p 中 的 时 候 ， 几 乎 是 同 时 获 取 $ a c t 和 $ f r o m 的 值 ， 然 后 判 断 $ a c t 的 值 ， 来 进 行 相 应 的 操 作 。 但 是 当 $ a c t 的 值 为 " r e g " ， 也 就 是 注 册 的 时 候 ， 他 会 将 $ f r o m 的 值 渲 染 到 浏 览 器 上 。 这 也 就 导 致 了 反 射 型 X S S 。 于 是 ， 我 开 始 构 造 弹 窗 。 虽 然 ， 在 u s e r . p h p 中 ， 一 开 始 就 引 入 了 过 滤 操 作 ， 但 是 ， 只 是 用 a d d s l a s h e s 进 行 深 度 过 滤 罢 了 。 要 知 道 ， 在 X S S 中 ， 转 义 字 符 的 效 果 并 不 明 显 。 话 说 回 来 ， 我 这 个 弹 窗 构 造 了 一 些 时 间 ， 可 能 是 因 为 我 对 X S S 的 研 究 不 深 入 导 致 的 吧 。 另 外 ， 以 我 目 前 的 水 平 来 看 ， 这 个 X S S 是 黑 盒 测 试 测 不 出 来 的 漏 洞 ， 为 什 么 这 么 说 呢 ？ 因 为 我 理 解 的 黑 盒 测 试 是 从 看 到 的 参 数 中 进 行 各 种 测 试 ， 而 这 个 f r o m 默 认 在 你 访 问 注 册 操 作 的 时 候 ， 是 不 提 交 的 。 f r o m 早 就 在 访 问 u s e r . p h p 的 时 候 提 交 了 ， 提 交 的 还 是 空 值 。 必 须 要 同 时 满 足 两 个 条 件 ： 1 . 访 问 u s e r . p h p 的 时 候 ， 就 已 经 提 交 了 恶 意 请 求 。 2 . 并 且 要 与 此 同 时 访 问 注 册 页 面 。 如 果 这 两 个 页 面 无 法 同 时 满 足 ， 那 么 这 个 X S S 就 无 法 形 成 。
3 . 注 册 页 面 存 在 文 件 读 取 漏 洞 （ 原 理 同 第 一 个 漏 洞 一 样 ） 注 册 页 面 存 在 文 件 读 取 漏 洞 （ 原 理 同 第 一 个 漏 洞 一 样 ） 在 审 计 注 册 操 作 的 同 时 ， 又 偶 然 发 现 了 一 个 文 件 读 取 漏 洞 ， 网 站 根 目 录 下 的 文 件 还 是 可 以 任 意 读 取 ， 不 过 还 是 那 个 问 题 ， 就 是 有 的 页 面 判 断 s e s s i o n ， 你 能 有 权 限 读 取 那 个 页 面 ， 但 是 无 权 利 访 问 。 有 的 网 页 能 读 取 ， 但 是 无 法 渲 染 。 。 。 这 个 洞 有 点 鸡 肋 。 具 体 如 何 复 现 ， 参 考 我 提 供 的 第 一 个 文 件 读 取 漏 洞 。 一 样 的 原 理 ， 一 样 的 方 法 。 只 是 出 现 的 位 置 不 同 罢 了 。 都 是 由 于 一 个 可 控 变 量 $ f r o m 引 起 的 。 4 、 编 辑 资 料 处 出 现 存 储 型 、 编 辑 资 料 处 出 现 存 储 型 X S S 首 先 这 个 漏 洞 我 们 可 以 很 清 晰 的 找 到 输 入 出 ， 但 是 输 出 在 哪 目 前 根 据 代 码 是 看 不 出 来 的 。 依 据 尝 试 ， 个 人 资 料 处 一 般 都 可 以 看 到 自 己 的 e m a i l 地 址 ， 所 以 推 断 这 个 存 储 型 X S S 肯 定 有 输 出 点 。 打 开 网 页 稍 微 浏 览 一 下 就 找 到 了 输 出 点 。 只 需 要 在 编 辑 个 人 资 料 的 地 方 ， 将 e m a i l 地 址 中 填 入 最 基 本 的 ， 便 可 以 提 交 存 储 到 服 务 器 的 数 据 库 中 。 之 前 我 在 审 计 关 于 e m a i l 这 一 栏 的 时 候 ， 他 里 面 还 用 正 则 匹 配 做 了 过 滤 。 可 是 到 了 后 台 这 里 ， 却 没 有 再 用 正 则 匹 配 进 行 过 滤 ， 或 许 是 因 为 程 序 员 太 累 了 吧 。 。 。 这 就 造 成 了 存 储 型 X S S 漏 洞 。 这 还 没 什 么 ， 关 键 是 上 面 的 代 码 仔 细 看 的 话 ， 会 发 现 大 都 没 过 滤 ， 那 么 就 可 以 用 各 种 姿 势 的 存 储 型 X S S 往 里 面 插 入 。 m s n 也 可 以 插 入 ” > ， 插 入 之 后 ， 在 点 击 编 辑 资 料 ， 那 么 就 会 直 接 出 现 弹 窗 。 下 图 是 我 关 闭 弹 窗 之 后 的 样 子 。 生 成 的 代 码 看 我 F 1 2 .
其 他 几 个 变 量 就 不 一 个 一 个 插 入 了 。 原 理 都 是 一 样 的 。 存 储 型 X S S 在 这 个 页 面 泛 滥 。 5 、 、 i p 地 址 伪 造 漏 洞 ， 还 可 以 注 入 地 址 伪 造 漏 洞 ， 还 可 以 注 入 这 个 漏 洞 ， 实 际 上 其 他 文 章 里 面 都 写 了 。 。 。 我 不 知 道 自 己 再 写 一 遍 还 算 不 算 原 创 。 。 。 我 就 说 一 下 自 己 挖 到 这 个 洞 的 经 历 吧 。 我 就 是 地 毯 式 搜 索 用 户 输 入 ， 每 个 文 件 都 看 。 一 般 在 常 用 函 数 里 面 用 户 输 入 比 较 少 ， 但 是 也 存 在 这 个 可 能 性 。 结 果 一 查 看 ， 还 真 找 到 了 一 个 。 为 了 验 证 这 个 漏 洞 是 否 只 是 伪 造 I P ， 还 是 说 又 存 在 注 入 ， 就 再 去 追 踪 这 个 函 数 。 结 果 第 一 个 就 发 现 可 以 伪 造 I P ， 但 是 这 个 还 只 是 伪 造 I P 我 看 过 的 那 篇 文 章 中 ， 利 用 这 个 点 进 行 了 注 入 ， 获 取 到 了 管 理 员 信 息 。 文 章 地 址 ： h t t p s : / / c h y b e t a . g i t h u b . i o / 2 0 1 7 / 0 3 / 1 4 / % E 4 % B B % A 3 % E 7 % A 0 % 8 1 % E 5 % A E % A 1 % E 8 % A E % A 1 % E 4 % B 9 % 8 B S Q L % E 6 % B 3 % A 8 % E 5 % 8 5 % A 5 % E F % B C % 9 A B l u e C M S v 1 - 6 - s p 1 / 原 理 我 就 简 单 说 一 下 吧 ， 毕 竟 这 个 洞 别 人 都 挖 好 了 ， 还 利 用 的 很 漂 亮 ， 以 我 的 s q l 水 准 ， 在 写 这 篇 文 章 的 时 候 ， 还 想 不 到 这 样 也 能 利 用 。 不 过 技 巧 是 学 到 了 。 原 理 就 是 ， 既 然 g e t i p ( ) 是 可 控 的 ， 那 么 只 要 在 g e t i p ( ) 处 的 输 入 为 ： 1 ’ , ’ 1 ’ ) , ( ‘ ’ , ’ 6 ’ , ’ 2 ’ , ’ 1 ’ , ’ 6 ’ , ( s e l e c t   c o n c a t ( a d m i n _ n a m e , ’ : ’ , p w d )   f r o m   b l u e _ a d m i n ) , ’ 1 ’ , ’ 1 那 么 1 ’ , ’ 1 ’ ) 就 是 完 成 第 一 次 插 入 ， 后 面 的 则 是 完 成 第 二 次 插 入 。 至 于 回 显 的 位 置 ， 只 能 自 己 判 断 了 。 因 为 我 的 b l u e C M S 有 问 题 ， 很 多 功 能 无 法 实 现 ， 故 这 里 没 办 法 演 示 。 那 篇 文 章 地 址 我 已 经 提 供 ， 感 兴 趣 的 可 以 去 看 看 。 总 结 ： 总 结 ： 作 为 一 个 代 码 审 计 的 新 手 ， 这 虽 然 是 我 的 第 一 次 实 战 ， 但 是 ， 当 我 靠 自 己 实 力 挖 到 第 一 个 洞 的 时 候 （ 尽 管 不 是 高 危 0 d a y ， 只 是 小 漏 洞 ） ， 内 心 的 喜 悦 是 难 以 言 表 的 。 而 我 相 信 ， 代 码 审 计 ， 只 要 你 有 耐 心 ， 细 心 ， 恒 心 ， 你 肯 定 能 成 为 一 个 合 格 的 代 码 审 计 人 员 。 另 外 ， f r e e b u f 作 为 一 个 高 大 上 的 平 台 ， 高 水 众 多 ， 但 是 新 手 应 该 也 不 会 少 。 所 以 ， 我 希 望 我 的 这 篇 文 章 能 对 和 我 一 样 刚 入 门 代 码 审 计 的 新 手 、 或 想 入 门 P H P 代 码 审 计 的 人 ， 有 一 定 的 帮 助 。 欢 迎 讨 论 。 *   本 文 作 者 ： 本 文 作 者 ： K a 1 i e r ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理