搜索

[13177] 2018-09-12_通过SSTI漏洞获取服务器远程Shell

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2018-09-12_通过SSTI漏洞获取服务器远程Shell 通 过 S S T I 漏 洞 获 取 服 务 器 远 程 S h e l l s e c i s t   F r e e B u f   2 0 1 8 - 0 9 - 1 2 P S ： 本 文 仅 作 为 技 术 分 享 ， 禁 止 用 于 任 何 非 法 用 途 ： 本 文 仅 作 为 技 术 分 享 ， 禁 止 用 于 任 何 非 法 用 途 本 文 我 将 为 大 家 演 示 ， 如 何 利 用 服 务 器 端 模 板 注 入 （ 本 文 我 将 为 大 家 演 示 ， 如 何 利 用 服 务 器 端 模 板 注 入 （ S S T I ） 漏 洞 ， 来 获 取 应 用 托 管 服 务 器 上 的 ） 漏 洞 ， 来 获 取 应 用 托 管 服 务 器 上 的 s h e l l 。 。 模 板 引 擎 （ 这 里 特 指 用 于 模 板 引 擎 （ 这 里 特 指 用 于 W e b 开 发 的 模 板 引 擎 ） 是 为 了 使 用 户 界 面 与 业 务 数 据 （ 内 容 ） 分 离 而 产 生 的 ， 它 可 以 开 发 的 模 板 引 擎 ） 是 为 了 使 用 户 界 面 与 业 务 数 据 （ 内 容 ） 分 离 而 产 生 的 ， 它 可 以 生 成 特 定 格 式 的 文 档 ， 用 于 网 站 的 模 板 引 擎 就 会 生 成 一 个 标 准 的 生 成 特 定 格 式 的 文 档 ， 用 于 网 站 的 模 板 引 擎 就 会 生 成 一 个 标 准 的 H T M L 文 档 。 静 态 模 板 文 件 会 在 运 行 时 将 变 量 文 档 。 静 态 模 板 文 件 会 在 运 行 时 将 变 量 / 占 位 符 替 换 为 占 位 符 替 换 为 H T M L 页 面 中 的 实 际 值 。 当 前 流 行 且 使 用 广 泛 的 模 板 引 擎 有 页 面 中 的 实 际 值 。 当 前 流 行 且 使 用 广 泛 的 模 板 引 擎 有 S m a r t y ， ， T w i g ， ， J i n j a 2 ， ， F r e e M a r k e r ， ， V e l o c i t y 。 。 服 务 器 端 模 板 注 入 （ S S T I ） 漏 洞 将 允 许 攻 击 者 将 注 入 模 板 指 令 作 为 用 户 输 入 ， 从 而 导 致 任 意 代 码 的 执 行 。 如 果 你 查 看 了 网 页 的 源 码 ， 并 看 到 了 类 似 于 以 下 的 代 码 片 段 ， 则 基 本 可 以 断 定 该 应 用 程 序 可 能 正 在 使 用 某 种 模 板 引 擎 来 呈 现 数 据 。 在 这 里 我 推 荐 大 家 一 个 专 为 安 全 人 员 而 开 发 的 渗 透 演 练 靶 场 X t r e m e   V u l n e r a b l e   W e b   A p p l i c a t i o n （ X V W A ） ， 这 其 中 就 包 含 了 我 们 本 文 中 所 探 讨 的 S S T I 漏 洞 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / s 4 n 7 h 0 / x v w a 。 我 注 入 了 我 最 喜 欢 的 探 测 语 句 $ { { 1 3 0 0 + 3 7 } } ， 并 成 功 收 到 了 1 3 3 7 美 元 的 服 务 器 响 应 结 果 。 这 说 明 该 应 用 程 序 使 用 的 模 板 引 擎 语 法 为 { {   } } 。
其 实 在 页 面 上 也 已 明 确 的 告 知 我 们 ， 其 使 用 的 模 板 引 擎 为 T W I G 。 除 了 简 单 的 数 学 运 算 之 外 ， 我 们 还 可 以 通 过 注 入 以 下 指 令 来 实 现 任 意 命 令 执 行 操 作 。 如 下 所 示 ， 我 们 利 用 模 板 指 令 来 执 行 一 个 简 单 的 “ i d ” 命 令 。
可 以 看 到 ， 命 令 被 成 功 执 行 并 获 取 到 了 我 们 想 要 的 结 果 。 但 更 令 我 感 到 高 兴 的 是 ， 我 获 取 到 了 服 务 器 上 的 s h e l l 。 我 快 速 生 成 了 一 个 p h p   m e t e r p r e t e r   p a y l o a d ， 并 让 它 在 服 务 器 上 执 行 ， 最 终 我 成 功 获 取 到 了 一 个 远 程 s h e l l ！ 如 下 ： 防 御 防 御 对 于 不 同 的 模 板 引 擎 ， 防 御 方 案 也 不 相 同 。 但 做 好 对 用 户 输 入 的 清 理 / 过 滤 ， 将 能 大 大 的 降 低 此 类 问 题 带 来 的 安 全 威 胁 。 另 一 个 选 择 是 创 建 一 个 安 全 加 固 / 沙 箱 环 境 ， 禁 用 或 删 除 潜 在 的 危 险 指 令 。 相 关 参 考 相 关 参 考 h t t p s : / / p o r t s w i g g e r . n e t / b l o g / s e r v e r - s i d e - t e m p l a t e - i n j e c t i o n h t t p s : / / n v i s i u m . c o m / b l o g / 2 0 1 6 / 0 3 / 1 1 / e x p l o r i n g - s s t i - i n - f l a s k - j i n j a 2 - p a r t - i i . h t m l * 参 考 来 源 ： m e d i u m   ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理