搜索

[12419] 2018-03-02_记我在HackerOne上参与的一次漏洞众测邀请项目

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2018-03-02_记我在HackerOne上参与的一次漏洞众测邀请项目 记 我 在 H a c k e r O n e 上 参 与 的 一 次 漏 洞 众 测 邀 请 项 目 c l o u d s   F r e e B u f   2 0 1 8 - 0 3 - 0 2 这 是 一 件 关 于 我 参 与 这 是 一 件 关 于 我 参 与 H a c k e r o n e 平 台 某 漏 洞 邀 请 项 目 的 事 ， 在 此 我 要 感 谢 该 项 目 发 起 公 司 ， 他 们 友 善 的 态 度 、 平 台 某 漏 洞 邀 请 项 目 的 事 ， 在 此 我 要 感 谢 该 项 目 发 起 公 司 ， 他 们 友 善 的 态 度 、 及 时 的 漏 洞 修 复 和 奖 金 发 放 效 率 ， 让 所 有 存 在 的 提 交 漏 洞 都 能 在 及 时 的 漏 洞 修 复 和 奖 金 发 放 效 率 ， 让 所 有 存 在 的 提 交 漏 洞 都 能 在 7 天 之 内 有 所 处 理 解 决 ， 我 个 人 非 常 荣 幸 能 参 与 天 之 内 有 所 处 理 解 决 ， 我 个 人 非 常 荣 幸 能 参 与 这 样 的 漏 洞 众 测 项 目 。 这 样 的 漏 洞 众 测 项 目 。 我 是 一 个 漏 洞 挖 掘 小 白 ， 现 阶 段 来 说 ， 奖 金 并 不 是 我 参 与 漏 洞 众 测 项 目 的 主 要 原 因 ， 目 前 我 在 H a c k e r o n e 上 发 现 的 漏 洞 已 达 8 5 个 ， 声 誉 值 也 超 过 2 6 0 0 多 分 并 呈 快 速 上 升 趋 势 。 在 H a c k e r o n e 上 ， 我 有 时 一 星 期 可 收 到 4 到 5 个 邀 请 项 目 。 大 家 知 道 ， 邀 请 项 目 对 “ 漏 洞 赏 金 猎 人 ” 的 提 高 非 常 重 要 ， 我 个 人 就 从 这 些 邀 请 项 目 中 学 到 了 很 多 非 训 练 平 台 上 的 实 际 挖 掘 漏 洞 经 验 ， 这 非 常 能 起 到 锻 炼 作 用 。 由 于 是 私 密 性 质 的 邀 请 项 目 ， 所 以 抱 歉 在 下 文 中 我 提 到 的 一 些 发 现 ， 并 不 代 表 对 漏 洞 细 节 本 身 的 公 开 披 露 ， 其 仅 只 是 方 法 介 绍 和 总 结 ， 我 总 不 能 过 河 拆 桥 ， 还 望 大 家 理 解 。 介 绍 介 绍 在 与 项 目 发 起 公 司 进 行 接 触 联 系 之 后 ， 在 朋 友 @ G e e k b o y 的 引 荐 下 我 顺 利 入 围 参 与 了 该 项 目 。 最 终 ， 我 成 功 发 现 了 目 标 范 围 站 点 多 个 R C E 漏 洞 、 S Q L 注 入 漏 洞 以 及 账 户 劫 持 漏 洞 ， 成 果 还 算 不 错 。 第 一 个 第 一 个 R C E 漏 洞 发 现 漏 洞 发 现 针 对 一 个 子 域 名 目 标 ， 我 在 用 D i r b 爆 目 录 时 发 现 了 其 . g i t 目 录 ， 接 着 我 用 g i t p i l l a g e 深 入 探 测 时 ， 又 发 现 了 很 多 有 意 思 的 文 件 ： s e r v e r . c o n f ， 这 足 够 说 明 问 题 的 了 ， 直 接 看 源 码 ， 发 现 P H P 环 境 是 由 Z e n d   S t u d i o   5 . 5   集 成 开 发 的 ： 接 下 来 在 源 码 分 析 中 ， 我 发 现 了 多 个 对 e x e c ( ) 的 调 用 ， 运 行 机 制 用 它 来 执 行 一 些 系 统 命 令 。 深 入 分 析 该 调 用 机 制 后 ， 我 又 注 意 到 其 中 一 个 调 用 的 P O S T 参 数 并 未 被 过 滤 审 核 ， 其 代 码 如 下 ：
你 猜 怎 么 着 ， 其 中 竟 然 可 关 联 到 一 个 远 程 代 码 执 行 漏 洞 （ R C E ） ！ 于 是 乎 ， 我 美 滋 滋 地 上 报 了 这 个 漏 洞 。 漏 洞 一 发 不 可 收 拾 漏 洞 一 发 不 可 收 拾 几 个 星 期 之 后 ， 我 又 在 目 标 站 点 上 发 现 了 一 些 C O R S 、 C S R F 、 源 码 泄 露 和 速 率 限 制 漏 洞 ， 而 且 其 主 站 上 竟 然 还 存 在 一 个 S Q L 注 入 漏 洞 ： 1 个 月 后 ， 我 再 次 对 上 述 发 现 漏 洞 进 行 了 复 现 检 测 ， 它 们 确 实 已 经 被 完 美 修 复 了 。 但 我 又 在 其 它 地 方 发 现 了 3 个 R C E 漏 洞 。 其 中 一 个 R C E 漏 洞 需 要 在 输 入 中 具 备 以 下 3 个 参 数 值 ：
该 漏 洞 涉 及 脚 本 会 把 在 路 径 下 创 建 的 文 件 内 容 进 行 写 入 操 作 ， 但 … . ， 这 就 是 一 个 隐 藏 后 门 啊 ！ 从 一 个 从 一 个 R C E 漏 洞 到 另 一 个 漏 洞 到 另 一 个 R C E 漏 洞 漏 洞 当 我 远 程 连 接 到 测 试 目 标 站 点 之 后 ， 发 现 其 服 务 中 包 含 了   I m a g e M a g i c k 图 片 处 理 功 能 ， 所 以 ， 我 理 所 应 当 地 检 查 了 其 I m a g e M a g i c k 的 版 本 ： 可 能 大 家 都 知 道 ， I m a g e M a g i c k 在 6 . 9 . 3 - 9 之 前 的 版 本 都 存 在 包 含 R C E 在 内 的 多 种 漏 洞 ， 当 然 ， 幸 运 的 是 ， 该 站 点 服 务 器 也 不 可 避 免 地 沦 陷 了 ：
从 从 J a v a s c r i p t 文 件 中 发 现 漏 洞 文 件 中 发 现 漏 洞 之 前 ， 我 看 过 @ z s e a n o 发 布 的 如 何 从 J a v a s c r i p t 文 件 中 挖 掘 漏 洞 的 视 频 后 ， 我 就 尝 试 着 自 行 编 写 了 一 些 从 源 码 中 提 取 目 标 服 务 端 和 其 它 有 用 信 息 的 小 工 具 。 因 此 ， 在 这 里 ， 我 把 测 试 站 点 的 所 有 J S 文 件 进 行 了 下 载 ， 然 后 用 我 的 小 工 具 进 行 了 一 番 分 析 ， 在 数 百 个 服 务 端 的 闪 现 中 ， 其 中 一 个 映 入 了 我 的 眼 帘 ： / [ R E D A C T E D ] . p h p ? [ R E D A C T E D ] = [ R E D A C T E D ] & t e m p l a t e = [ R E D A C T E D ] . t p l 前 端 开 发 者 们 都 明 白 ， . t p l 是 用 于 H T M L 代 码 中 的 模 块 T e m p l a t e 文 件 ， 它 的 文 件 名 能 作 为 参 数 使 用 吗 ？ 那 么 ， 我 先 来 试 试 / e t c / p a s s w d 值 ， 一 试 不 得 了 ：
一 开 始 ， 我 认 为 这 是 一 个 本 地 文 件 包 含 漏 洞 （ L o c a l   F i l e   I n c l u s i o n ） ， 所 以 我 尝 试 用 f i m a p 、 d o t d o t p w n 或 K a d i m u s 等 工 具 来 把 它 提 权 为 R C E 漏 洞 ， 但 由 于 不 清 楚 该 应 用 的 具 体 路 径 ， 所 以 也 就 不 能 包 含 调 用 其 它 P H P 文 件 。 为 保 持 漏 洞 的 有 效 性 ， 我 及 时 提 交 了 该 漏 洞 。 但 第 二 天 ， 我 看 到 漏 洞 还 处 于 分 类 未 修 复 状 态 时 ， 我 一 下 脑 洞 大 开 ， D i n g   D a n g ， 何 不 尝 试 一 下 包 含 调 用 该 P H P 服 务 端 本 身 呢 ？ 就 像 这 样 ： / t h e _ v u l n e r a b l e _ s c r i p t . p h p ? [ R E D A C T E D ] = [ R E D A C T E D ] & t e m p l a t e = t h e _ v u l n e r a b l e _ s c r i p t . p h p 意 想 不 到 的 是 ， 我 就 这 样 得 到 了 整 个 未 解 析 执 行 的 源 码 文 件 ， 所 以 ， 本 质 上 来 说 ， 这 就 是 一 个 本 地 文 件 泄 露 漏 洞 （ L o c a l   F i l e   D i s c l o s u r e ） 。 在 对 不 同 文 件 的 挖 刨 之 后 ， 我 找 到 了 一 些 包 含 数 据 库 凭 据 、 A P I 密 钥 和 第 三 方 服 务 信 息 的 配 置 文 件 ， 另 外 ， 我 还 发 现 了 一 些 启 动 加 载 文 件 （ A u t o l o a d   f i l e ） ， 它 包 含 了 一 些 认 证 或 文 件 加 载 信 息 ， 如 下 ： 总 之 ， 我 可 以 获 取 了 目 标 站 点 上 该 项 应 用 服 务 的 所 有 源 码 ， 虽 然 不 像 R C E 威 胁 巨 大 ， 但 也 足 够 说 明 问 题 ， 因 为 ， 我 能 通 过 工 具 把 这 些 源 码 文 件 进 行 抓 取 ：
在 稍 微 地 进 行 了 一 些 验 证 之 后 ， 我 就 及 时 停 止 了 深 入 测 试 ， 上 报 了 漏 洞 。 综 合 利 用 综 合 利 用 用 上 述 发 现 的 漏 洞 ， 结 合 该 目 标 站 点 的 其 它 应 用 ， 我 在 其 中 又 发 现 了 多 个 S Q L 注 入 漏 洞 ， 和 4 个 X S S ， 以 及 以 下 这 个 账 户 劫 持 漏 洞 ： 在 该 请 求 中 ， 如 果 把 我 的 e m a i l 地 址 换 成 他 人 用 户 的 e m a i l 地 址 ， 就 能 用 请 求 包 中 设 置 包 含 的 密 码 ， 替 换 更 改 他 人 的 账 户 密 码 ， 整 个 过 程 不 需 要 任 何 验 证 机 制 。 * 参 考 来 源 ： 参 考 来 源 ： b l o g ， ， F r e e B u f 小 编 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理