搜索

[12583] 2018-04-13_记一次利用BLINDOOBXXE漏洞获取文件系统访问权限的测试

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2018-04-13_记一次利用BLINDOOBXXE漏洞获取文件系统访问权限的测试 记 一 次 利 用 B L I N D   O O B   X X E 漏 洞 获 取 文 件 系 统 访 问 权 限 的 测 试 c l o u d s   F r e e B u f   2 0 1 8 - 0 4 - 1 3 今 天 ， 我 要 和 大 家 分 享 的 是 ， 我 在 某 个 邀 请 漏 洞 测 试 项 目 中 ， 发 现 今 天 ， 我 要 和 大 家 分 享 的 是 ， 我 在 某 个 邀 请 漏 洞 测 试 项 目 中 ， 发 现 B i n d   O O B   X X E 漏 洞 的 方 法 。 由 于 涉 及 隐 漏 洞 的 方 法 。 由 于 涉 及 隐 私 ， 以 下 文 章 中 涉 及 网 站 域 名 的 部 分 我 已 作 了 编 辑 隐 藏 ， 敬 请 见 谅 。 私 ， 以 下 文 章 中 涉 及 网 站 域 名 的 部 分 我 已 作 了 编 辑 隐 藏 ， 敬 请 见 谅 。 漏 洞 分 析 漏 洞 分 析 首 先 ， 与 大 多 数 挖 洞 者 的 探 测 模 式 一 样 ， 我 对 目 标 网 站 进 行 了 全 方 位 的 服 务 资 产 踩 点 识 别 ， 在 此 过 程 中 ， 我 发 现 了 其 中 一 个 子 域 名 网 站 比 较 有 意 思 ， 于 是 ， 我 就 对 它 进 行 了 目 录 遍 历 ， 然 后 ， 就 发 现 了 其 名 为 / n o t i f i c a t i o n s 的 服 务 端 。 在 B u r p S u i t e 中 ， 对 这 个 / n o t i f i c a t i o n s 服 务 端 的 请 求 和 响 应 如 下 图 所 示 ： 在 其 响 应 内 容 中 ， 我 注 意 到 ， 除 了 有 X M L 内 容 外 ， 还 包 含 了 一 个 X M L   S O A P 语 法 体 。 由 于 没 有 G E T 参 数 可 供 测 试 ， 因 此 我 决 定 向 该 / n o t i f i c a t i o n s 服 务 端 发 送 一 个 简 单 的 ， 不 指 定 任 何 内 容 类 型 （ c o n t e n t - t y p e ） 的 P O S T 请 求 进 行 探 究 ， 之 后 ， 在 P O S T 请 求 发 出 后 ， X M L   S O A P 语 法 体 不 再 出 现 ， 而 且 整 个 请 求 响 应 的 代 码 为 2 0 0 ： 看 来 ， 貌 似 该 W e b 应 用 端 对 P O S T 请 求 能 做 出 很 好 的 响 应 ， 且 不 会 抛 出 4 0 5 的 请 求 方 法 错 误 ， 所 以 我 又 构 造 定 义 了 包 含 c o n t e n t - t y p e :   a p p l i c a t i o n / x m l 样 式 的 X M L 语 法 内 容 ， 用 它 来 作 P O S T 请 求 ， 看 看 响 应 如 何 ： 虽 然 这 次 的 P O S T 响 应 还 是 X M L 内 容 ， 但 却 与 上 一 次 不 同 ， 这 种 响 应 表 面 上 看 似 像 服 务 端 对 G E T 请 求 的 响 应 ， 而 且 ， 这 次 的 响 应 内 容 中 包 含 的 标 签 值 不 是 上 次 的 “ T e s t R e q u e s t C a l l e d ” ， 而 是 “ O K ” 。 接 着 ， 我 又 发 送 了 一 个 定 义 的 J S O N 请 求 （ c o n t e n t - t y p e :   a p p l i c a t i o n / j s o n ） ， 来 测 试 服 务 端 的 具 体 响 应 ：
这 一 次 ， 响 应 内 容 又 是 空 的 ， 和 未 指 定 任 何 内 容 类 型 的 简 单 P O S T 请 求 响 应 一 样 ， 由 此 ， 我 推 断 该 服 务 端 能 正 常 处 理 X M L 数 据 ， 这 样 一 来 ， 我 想 尝 试 利 用 B L I N D   X X E 攻 击 方 式 来 触 发 其 漏 洞 。 我 通 过 在 自 己 V P S 上 架 设 了 一 个 d t d 文 件 ， 然 后 利 用 外 部 实 体 引 用 途 径 来 测 试 其 X M L 解 析 机 制 ， 幸 运 的 是 ， 最 终 部 署 在 我 V P S 上 的 这 个 外 部 d t d 文 件 实 体 被 成 功 解 析 引 用 ， 以 下 是 其 请 求 内 容 和 最 后 的 解 析 结 果 ： x x e - f t p - s e r v e r . r b 脚 本 应 用 脚 本 应 用 由 于 该 系 统 使 用 了 j a v a 框 架 ， 而 俄 罗 斯 O n S e c 实 验 室 曾 针 对 J a v a 程 序 的 X X E - O O B 攻 击 作 出 了 相 关 研 究 ， 并 给 出 相 应 的 p a y l o a d ， 以 及 一 个 通 过 f t p 服 务 读 取 系 统 目 录 的 漏 洞 利 用 脚 本 x x e - f t p - s e r v e r . r b ， 运 行 该 脚 本 后 ， 8 0 8 8 端 口 作 为 h t t p 服 务 端 负 责 获 取 O O B 攻 击 p a y l o a d ， 而 8 0 7 7 端 口 用 于 f t p 连 接 服 务 ， 最 终 能 成 功 读 取 到 目 标 系 统 目 录 ： 尽 管 最 后 该 漏 洞 被 确 认 为 一 个 重 复 报 ， 但 我 还 是 想 把 它 分 享 出 来 ， 我 自 己 也 从 中 学 到 一 些 判 断 服 务 端 应 用 的 经 验 。 一 些 有 用 的 一 些 有 用 的 X X E   P a y l o a d

* 参 考 来 源 ： h a w k i n s e c u r i t y ， F r e e B u f 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理