搜索

[12387] 2018-02-22_挖洞经验如何参加众测项目发现美国国防部网站各类高危漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2018-02-22_挖洞经验如何参加众测项目发现美国国防部网站各类高危漏洞 挖 洞 经 验   |   如 何 参 加 众 测 项 目 发 现 美 国 国 防 部 网 站 各 类 高 危 漏 洞 c l o u d s   F r e e B u f   2 0 1 8 - 0 2 - 2 2 美 国 国 防 部 （ 美 国 国 防 部 （ D o D ） 于 ） 于 2 0 1 6 年 年 1 1 月 月 2 1 日 首 次 与 日 首 次 与 H a c k e r O n e 合 作 ， 开 展 了 合 作 ， 开 展 了 “ H a c k   t h e   P e n t a g o n ” 的 漏 洞 众 测 项 的 漏 洞 众 测 项 目 ， 这 将 允 许 安 全 研 究 人 员 通 过 背 景 审 查 在 目 ， 这 将 允 许 安 全 研 究 人 员 通 过 背 景 审 查 在 H a c k e r O n e 平 台 发 现 并 提 交 美 国 军 方 网 站 漏 洞 。 当 该 项 目 一 开 始 ， 平 台 发 现 并 提 交 美 国 军 方 网 站 漏 洞 。 当 该 项 目 一 开 始 ， 我 就 迫 不 及 待 地 想 报 名 参 加 ， 一 方 面 是 帮 助 我 就 迫 不 及 待 地 想 报 名 参 加 ， 一 方 面 是 帮 助 D o D 方 面 做 些 工 作 ， 另 外 也 想 借 此 机 会 提 高 自 己 的 安 全 技 能 。 本 文 方 面 做 些 工 作 ， 另 外 也 想 借 此 机 会 提 高 自 己 的 安 全 技 能 。 本 文 目 的 在 于 ， 探 讨 一 些 类 似 漏 洞 众 测 项 目 中 容 易 被 采 用 的 各 种 独 特 和 通 用 型 漏 洞 ， 同 时 也 分 享 我 参 与 该 项 目 的 一 目 的 在 于 ， 探 讨 一 些 类 似 漏 洞 众 测 项 目 中 容 易 被 采 用 的 各 种 独 特 和 通 用 型 漏 洞 ， 同 时 也 分 享 我 参 与 该 项 目 的 一 点 经 验 。 目 前 ， 我 在 该 项 目 排 行 榜 中 处 于 第 点 经 验 。 目 前 ， 我 在 该 项 目 排 行 榜 中 处 于 第 8 位 ， 之 后 ， 我 会 陆 续 通 过 适 当 的 总 结 描 述 方 式 公 布 我 在 该 项 目 中 提 位 ， 之 后 ， 我 会 陆 续 通 过 适 当 的 总 结 描 述 方 式 公 布 我 在 该 项 目 中 提 交 的 相 关 漏 洞 。 交 的 相 关 漏 洞 。 前 期 踩 点 前 期 踩 点 由 于 该 项 目 涉 及 的 目 标 范 围 非 常 之 大 ， . m i l 相 关 网 站 或 美 国 防 部 使 用 I P 都 算 测 试 范 围 ， 一 开 始 很 难 缩 小 范 围 定 位 到 一 两 个 网 站 或 子 域 名 进 行 漏 洞 挖 掘 ， 好 在 我 们 可 以 使 用 G o o g l e   D o r k 搜 索 语 法 来 进 行 细 分 简 化 ， 利 用 这 种 方 式 ， 我 们 可 以 使 用 类 似   s i t e : . . m i l   或   s i t e : . w e b s i t e . m i l 语 法 ， 来 对 一 些 包 含 文 件 或 潜 在 漏 洞 终 端 的 网 站 或 子 域 名 进 行 搜 索 枚 举 。 我 们 可 以 使 用 其 中 的 操 作 符 来 指 定 我 们 想 要 搜 索 的 结 果 ， 如 指 定 某 特 定 域 名 ， 或 进 一 步 缩 小 到 文 件 扩 展 名 、 特 定 的 U R L 字 符 串 等 。 请 求 s i t e : . . m i l 中 ， 使 用 s i t e 来 指 定 想 要 搜 索 的 大 概 网 站 ， 而 . . 两 个 通 配 符 则 可 得 到 相 关 的 子 域 名 网 站 ， 这 是 一 种 很 宽 泛 的 枚 举 方 式 ； 另 一 种 语 法 （   s i t e : * . w e b s i t e . m i l ） 则 是 对 特 定 网 站 和 其 后 续 子 域 名 网 站 的 枚 举 。
利 用 上 述 方 式 可 以 检 索 如 F l a s h 程 序 等 已 知 的 漏 洞 应 用 ， 也 可 发 现 一 些 特 定 的 C M S 安 装 线 索 ， 我 就 是 用 这 种 方 式 在 该 项 目 中 发 现 了 大 量 漏 洞 。 当 然 也 能 使 用 类 似 A q u a t o n e 的 工 具 来 完 全 枚 举 出 某 个 特 定 网 站 的 子 域 名 或 应 用 端 口 。 有 些 子 域 名 网 站 内 还 包 含 下 一 级 子 域 名 ， 比 如 d e v . s u b d o m a i n . w e b s i t e . c o m 内 可 能 还 包 含 * . d e v . s u b d o m a i n . w e b s i t e . c o m 等 其 它 子 域 名 网 站 ， 确 保 无 漏 网 之 鱼 ， 这 样 可 以 发 现 更 多 目 标 测 试 主 机 。 以 上 两 种 前 期 踩 点 技 术 可 适 用 于 大 多 漏 洞 众 测 项 目 ， 另 外 还 有 一 种 方 法 是 ， 通 过 阅 读 网 站 中 的 J S 文 件 来 发 现 服 务 端 、 敏 感 信 息 、 隐 藏 控 制 面 板 的 U R L 链 接 等 有 用 信 息 ， 这 种 方 法 工 具 如 l i n k f i n d e r 可 最 大 化 地 提 高 U R L 发 现 效 率 ， 后 续 我 会 写 一 篇 关 于 该 工 具 的 介 绍 文 章 。 漏 洞 发 现 漏 洞 发 现 我 发 现 的 大 部 分 漏 洞 主 要 是 一 些 X S S 之 类 的 简 单 漏 洞 ， 它 们 存 在 于 登 录 框 、 错 误 消 息 、 F l a s h 程 序 等 ， 由 于 这 些 漏 洞 非 常 容 易 发 现 ， 在 此 也 没 必 要 作 出 过 多 解 释 ， 如 F l a s h 程 序 的 x s s 漏 洞 涉 及 的 f l a s h m e d i a e l e m e n t 、 v i d e o - j s 、 j w p l a y e r 、 p l u p l o a d 等 ， 有 很 多 公 开 的 在 线 资 料 说 明 。 我 要 着 重 说 的 是 在 该 项 目 中 发 现 的 一 些 高 危 中 危 漏 洞 ， 这 些 漏 洞 如 果 换 种 思 路 来 说 ， 其 实 非 常 容 易 发 现 ， 甚 至 连 一 些 众 测 白 帽 新 手 都 能 发 现 。 C o l d   F u s i o n 漏 洞 漏 洞 首 先 ， 比 如 在 国 防 部 D o D 网 站 系 统 中 ， 采 用 了 很 多 C o l d   F u s i o n 类 架 构 ， 由 于 C o l d   F u s i o n 本 身 就 存 在 很 多 漏 洞 ， 所 以 从 这 个 点 上 就 可 发 现 很 多 高 危 漏 洞 。 在 此 ， 我 推 荐 《 C o l d   F u s i o n 渗 透 测 试 向 导 》 一 书 ， 可 以 深 入 研 究 其 中 的 相 关 漏 洞 报 告 和 工 作 机 制 说 明 ， 这 非 常 有 助 于 此 类 漏 洞 挖 掘 。 另 外 ， 我 还 注 意 到 ， C o l d   F u s i o n 类 架 构 网 站 的 S Q L 注 入 漏 洞 非 常 普 遍 且 很 容 易 发 现 ， 我 就 在 D o D 的 一 个 网 站 中 发 现 了 两 个 这 种 S Q L 注 入 漏 洞 ， 一 个 是 这 种 样 式 的 ： h t t p : / / w e b s i t e . c o m / n e w s / n e w s . c f m ? n e w s I t e m = 1 在 n e w s l t e m = 1 值 后 加 上 撇 号 变 为 h t t p : / / w e b s i t e . c o m / n e w s / n e w s . c f m ? n e w s I t e m = 1 ‘ 之 后 ， 将 会 抛 出 一 个 S Q L 错 误 ， 于 是 我 马 上 使 用 基 于 时 间 的 查 询 语 句 ， 让 网 站 在 响 应 之 前 暂 停 几 秒 钟 的 方 式 ， 来 测 试 这 个 漏 洞 。 只 要 你 认 真 细 心 ， 这 种 漏 洞 非 常 容 易 发 现 。 A p a c h e 实 例 漏 洞 实 例 漏 洞 也 就 是 在 这 个 网 站 上 ， 我 还 发 现 了 另 外 一 个 A p a c h e 的 S o l r 实 例 ， 它 就 有 点 类 似 于 A p a c h e 的 E l a s t i c s e a r c h 分 布 式 搜 索 引 擎 ， 尽 管 最 近 S o l r 实 例 存 在 一 个 远 程 代 码 执 行 （ R C E ） 漏 洞 ， 但 很 遗 憾 该 网 站 的 S o l r 实 例 不 存 在 这 种 R C E 漏 洞 ， 但 这 也 为 我 提 供 了 更 多 了 解 网 站 架 构 信 息 的 渠 道 ， 由 此 ， 我 继 续 深 入 挖 掘 ， 最 终 发 现 了 该 S o l r 实 例 中 某 个 功 能 函 数 的 一 个 X S S 漏 洞 。 此 外 ， 还 能 通 过 这 个 P e n t e s t - R e s o u r c e s 的 G i t h u b 资 源 库 来 查 找 一 些 默 认 和 有 意 思 的 网 站 文 件 ， 因 此 ， 我 发 现 了 大 部 份 D o D 网 站 都 存 在 一 些 D o t N e t N u k e （ 或 者 叫 D N N ） 安 全 问 题 ， 这 类 D N N 文 件 普 遍 存 在 于   / D N N C o r p /   或 / D e s k t o p M o d u l e s / 目 录 下 。   我 在 该 项 目 中 提 交 被 采 纳 的 一 个 中 危 漏 洞 就 是 D N N 的 一 个 已 知 的 任 意 文 件 下 载 漏 洞 ， 存 在 该 漏 洞 的 服 务 端 样 式 是 这 种 的 ： h t t p : / / x x x . x x . m i l / d e s k t o p m o d u l e s / e v e n t s c a l e n d a r / d o w n l o a d d o c . a s p x ? f = / f i l e / t e s t . d o c 该 漏 洞 只 需 在 后 面 添 加 上 具 体 的 文 件 路 径 ， 就 能 让 攻 击 者 下 载 网 站 中 的 任 意 文 件 。 O r a c l e 应 用 漏 洞 应 用 漏 洞 而 且 ， 你 只 要 深 入 分 析 ， 也 能 发 现 D o D 网 站 中 采 用 了 很 多 O r a c l e 应 用 ， 而 且 这 些 O r a c l e 应 用 大 多 都 是 过 期 版 本 ， 比 如 我 发 现 D o D 网 站 中 大 量 使 用 了   O r a c l e 的 人 力 资 源 管 理 系 统 P e o p l e   S o f t ， 实 际 上 ， P e o p l e   S o f t 本 身 就 存 在 大 把 漏
洞 ， E R P S o f t 等 安 全 网 站 公 布 的 漏 洞 分 析 信 息 中 ， 甚 至 包 含 了 一 些 漏 洞 测 试 的 P o C 代 码 ， 直 接 可 以 拿 来 就 用 。 一 种 简 单 的 方 式 就 是 可 通 过 查 看   / p s p c /   或   / p s i g w / 目 录 来 检 查 P e o p l e   S o f t 。 总 体 来 说 ， O r a c l e   P e o p l e   S o f t 存 在 未 授 权 X X E 、 S S R F 和 X S S 这 几 种 漏 洞 ， 例 如 ， 可 以 用 以 下 方 式 来 利 用 S S R F 漏 洞 ： 首 先 ， 访 问 网 站 ： h t t p : / / w e b s i t e . c o m / I M S e r v l e t ? M e t h o d = C O N N E C T 然 后 再 访 问 链 接 ， 来 查 看 网 站 具 体 响 应 ： h t t p : / / w e b s i t e . c o m / I M S e r v l e t ? M e t h o d = G O O G L E _ P R E S E N C E & i m _ t o _ u s e r = a b c & i m _ s e r v e r _ n a m e = G O O G L E & i m _ s e r v e r = H o s t : P o r t / 或 者 ， 你 也 可 以 把 它 指 向 你 控 制 的 网 站 ， 通 过 接 收 链 接 响 应 来 判 断 该 终 端 是 否 正 常 ， 有 时 候 ， 这 会 导 致 一 些 阅 读 服 务 和 敏 感 的 内 部 实 例 信 息 泄 露 。 我 发 现 的 一 些 独 特 漏 洞 我 发 现 的 一 些 独 特 漏 洞 在 此 ， 我 想 把 我 参 与 该 项 目 中 发 现 并 提 交 的 一 些 ， 我 个 人 认 为 比 较 优 秀 的 漏 洞 在 此 作 个 分 享 ， 因 为 一 方 面 这 些 漏 洞 比 较 独 特 ， 另 外 从 某 种 意 义 上 来 说 ， 它 们 也 存 在 一 定 程 度 的 较 高 安 全 威 胁 。 这 些 漏 洞 中 ， 我 自 认 为 最 好 两 个 提 交 漏 洞 都 是 与 O p e n F T P 相 关 ， 可 利 用 漏 洞 上 传 任 意 文 件 或 查 看 O p e n F T P 服 务 端 的 任 意 文 件 ， 但 由 于 架 设 有 O p e n F T P 的 D o D 网 站 已 经 停 用 ， 所 以 最 终 的 漏 洞 威 胁 评 级 相 对 较 低 。 我 的 其 它 一 些 优 秀 漏 洞 大 多 是 通 过 S h o d a n . i o 网 站 发 现 的 ， 有 点 不 可 思 议 ， 其 中 比 较 独 特 的 一 个 漏 洞 是 网 站 用 户 邮 箱 收 集 漏 洞 ， 该 漏 洞 存 在 于 网 站 的 邮 件 账 号 激 活 区 域 ， 如 果 你 在 该 区 域 输 入 一 个 有 效 的 网 站 注 册 用 户 名 ， 网 站 就 会 给 出 提 示 ： “ 一 封 激 活 邮 件 已 经 发 送 到 用 户 名 某 某 某 对 应 的 u s e r @ e m a i l . c o m 邮 箱 中 ” ， 而 且 该 激 活 区 域 竟 然 没 有 激 活 次 数 限 制 。 由 此 ， 我 首 先 想 到 的 是 输 入 “ A d m i n ” 来 获 取 网 站 管 理 员 邮 箱 地 址 ， 当 然 结 合 一 些 通 用 的 用 户 名 列 表 字 典 ， 可 以 猜 解 到 大 量 的 用 户 名 对 应 的 注 册 邮 箱 ， 后 果 就 是 ， 攻 击 者 可 对 网 站 管 理 员 或 其 他 特 定 人 员 形 成 定 向 钓 鱼 攻 击 ， 并 造 成 网 站 注 册 用 户 的 个 人 信 息 泄 露 。 最 后 ， 我 要 说 的 是 一 个 我 认 为 影 响 相 对 严 重 的 ， 且 比 较 经 典 的 文 件 信 息 泄 露 漏 洞 ， 存 在 该 漏 洞 的 网 站 包 含 了 一 个 从 网 站 系 统 下 载 p d f 和 其 它 电 子 文 档 的 功 能 ， 该 功 能 终 点 样 式 如 下 ： h t t p : / / w e b s i t e . c o m / x x x / a c c o u n t / d o w n l o a d f i l e ? f i l e S t r i n g = / p a t h t o d o c u m e n t / d o c u m e n t . p d f 在 该 功 能 下 ， 可 通 过 . . / 方 式 对 网 站 目 录 进 行 枚 举 检 索 ， 最 终 可 定 位 查 看 到 某 个 特 定 文 件 ， 如 e t c / s h a d o w 或 其 它 包 含 敏 感 信 息 的 文 件 ， 由 此 ， 我 检 索 到 了 e t c / s h a d o w 文 件 中 包 含 了 r o o t 密 码 的 h a s h 值 ， 没 做 相 关 破 解 只 是 简 单 地 报 告 了 漏 洞 。 虽 然 该 漏 洞 存 在 一 定 安 全 影 响 ， 但 由 于 该 网 站 是 一 个 之 前 系 统 的 遗 留 网 站 ， 所 以 最 终 漏 洞 评 级 也 只 是 低 危 而 已 。 经 验 总 结 经 验 总 结 美 国 国 防 部 （ D o D ） 与 H a c k e r O n e 合 作 的 这 一 公 开 的 漏 洞 众 测 项 目 表 明 ， 可 以 利 用 广 泛 的 白 帽 黑 客 技 能 ， 以 漏 洞 赏 金 方 式 来 及 早 地 发 现 和 预 防 安 全 隐 患 ， 这 是 一 种 积 极 的 安 全 应 对 方 式 ， 可 以 有 效 实 现 漏 洞 堵 塞 和 风 险 消 除 ， 能 最 大 程 度 地 保 护 目 标 测 试 范 围 内 的 资 产 和 数 据 安 全 。 我 个 人 通 过 持 续 地 参 加 D o D 的 这 种 项 目 ， 在 技 能 素 质 和 安 全 经 验 上 也 有 了 很 大 的 提 高 。 对 于 很 多 想 成 为 “ 漏 洞 赏 金 猎 人 ” 的 小 白 来 说 ， 加 入 某 个 众 测 项 目 最 难 的 就 是 从 何 开 始 ， 经 验 上 来 说 ， 你 可 以 先 通 过 G o o g l e   d o r k 语 法 或 s h o d a n . i o 搜 索 来 发 现 一 些 些 漏 洞 ， 当 然 ， 像 我 文 章 中 提 到 的 ， 你 也 可 以 看 看 D o t N e t N u k e 或 O r a c l e 实 例 这 类 独 特 漏 洞 ， 我 发 现 奇 怪 的 是 ， 好 像 没 多 少 人 了 解 这 类 漏 洞 。 想 要 成 为 一 名 优 秀 的 “ 漏 洞 赏 金 猎 人 ” ， 需 要 不 断 保 持 学 习 ， 永 不 停 息 。 就 像 P o r t S w i g g e r 首 席 研 究 员 J a m e s   K e t t l e 在 黑
帽 大 会 上 的 演 讲 《 C r a c k i n g   t h e   L e n s :   T a r g e t i n g   H T T P ’ s   H i d d e n   A t t a c k - S u r f a c e 》 那 样 ， 新 的 漏 洞 出 现 ， 就 会 产 生 新 的 攻 击 面 ， 造 成 安 全 隐 患 。 演 讲 中 J a m e s   K e t t l e 分 享 了 通 过 构 造 恶 意 的 H T T P 请 求 和 H e a d e r 头 信 息 ， 侧 面 勾 勒 出 目 标 系 统 中 H T T P 服 务 的 隐 藏 攻 击 面 ， 最 终 ， 他 综 合 利 用 了 这 种 技 术 成 功 入 侵 测 试 了 美 国 国 防 部 网 络 ， 并 获 得 了 3 万 美 金 的 奖 励 。 经 漏 洞 提 交 流 程 ， 此 文 中 提 到 的 一 些 漏 洞 已 经 作 了 公 开 ， 你 们 可 以 通 过 查 找 我 的 H a c k e r O n e 资 料 进 行 查 询 ， 最 后 我 还 想 说 的 是 ， 漏 洞 众 测 社 区 非 常 欢 迎 新 手 的 加 入 ， 当 然 了 ， 你 自 己 也 不 要 害 怕 动 脑 子 提 问 题 ， 遇 到 难 题 也 得 积 极 想 办 法 解 决 。 * 参 考 来 源 ： m e d i u m ， F r e e B u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理