搜索

[13353] 2018-10-28_记一次远程命令执行漏洞的挖掘过程

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2018-10-28_记一次远程命令执行漏洞的挖掘过程 记 一 次 远 程 命 令 执 行 漏 洞 的 挖 掘 过 程 原 创   r 0 y a n x   F r e e B u f   2 0 1 8 - 1 0 - 2 8 最 近 为 甲 方 做 渗 透 测 试 发 现 了 一 个 远 程 命 令 执 行 漏 洞 ， 可 以 通 过 恶 意 参 数 传 递 执 行 最 近 为 甲 方 做 渗 透 测 试 发 现 了 一 个 远 程 命 令 执 行 漏 洞 ， 可 以 通 过 恶 意 参 数 传 递 执 行 b a s h 命 令 ， 本 文 回 顾 一 下 漏 命 令 ， 本 文 回 顾 一 下 漏 洞 的 挖 掘 过 程 。 洞 的 挖 掘 过 程 。 发 现 发 现 1 、 通 过 n e s s u s 扫 描 器 的 S i t e m a p 模 块 ， 发 现 了 可 疑 目 录 ： 2 、 根 据 s i t e m a p 的 目 录 信 息 ， 打 开 U R L : h t t p : / / x . x . x . x : 2 8 0 7 6 / f i l e / ， 发 现 存 在 未 授 权 访 问 漏 洞 ： 3 、 逐 个 查 看 里 面 的 文 件 ， 找 到 了 一 些 比 较 有 意 思 的 J S P ：
4 、 蒙 了 一 下 d i r F i l e s . j s p 的   参 数 ， 使 用 ” p a t h ” 作 为 参 数 名 可 列 出 目 录 、 文 件 信 息 ， U R L ： h t t p : / / x . x . x . x : 2 8 0 7 6 / f i l e / d i r F i l e s . j s p ? p a t h = 。 5 、 同 样 的 方 法 ， 发 现 s h o w . j s p 存 在 任 意 文 件 读 取 漏 洞 ， U R L ： h t t p : / / x . x . x . x : 2 8 0 7 6 / f i l e / s h o w . j s p ? p a t h = / e t c / p a s s w d 。 6 、 结 合 上 面 的 目 录 信 息 和 任 意 文 件 读 取 漏 洞 ， 对 J S P 文 件 简 单 审 计 一 下 ， 发 现 l o g C o n t e n t N e w e s t . j s p 会 调 用 一 个 b a s h
脚 本 ， 便 猜 想 能 否 使 用 它 构 造 命 令 执 行 ： 测 试 测 试 l o g C o n t e n t N e w e s t . j s p 正 常 执 行 是 这 样 的 ， 可 自 定 义 p a t h 参 数 的 值 ， 如 / e t c / p a s s w d ， 来 查 找 这 个 文 件 里 面 的 内 容 ： 分 析 l o g C o n t e n t N e w e s t . j s p 和   被 调 用 的 s h 脚 本 ， 得 知 p a t h 参 数 最 终 会 传 入 s h 脚 本 的 F I L E _ P A T H 变 量 ， 然 后 调 用 下 面 的 判 断 逻 辑 。 从 下 面 代 码 我 们 可 以 看 到 ， 函 数 的 功 能 是 判 断 F I L E _ P A T H 变 量 的 值 是 否 存 在 ， 而 这 个 变 量 的 值 目 前 是 可 控 的 。 最 初 想 通 过 添 加 双 引 号 闭 合 i f 条 件 判 断 参 数 注 入 命 令 ， 没 有 成 功 。 p a y l o a d ： / e t c / p a s s w d "   ] ; l s ; t h e n   e c h o   1 ; f i ; i f   [   - e   " 1 2 3 . t x t
从 上 图 可 以 看 到 ， p a y l o a d 的 双 引 号 不 见 了 ， 在 自 己 的 L i n u x 测 试 一 下 ， 发 现 b a s h 在 这 种 情 况 下 会 过 滤 双 引 号 ， 因 此 排 除 了 存 在 过 滤 双 引 号 的 可 能 。 经 过 多 次 测 试 ， 最 终 可 用 反 引 号 “ 或 者 $ ( ) 进 行 命 令 执 行 ， 如 ` i f c o n f i g ` ： 命 令 结 果 的 回 显 是 因 为 判 断 不 存 在 F I L A _ P A T H 文 件 名 的 文 件 后 ， 会 把 变 量 值 返 回 结 果 显 示 不 完 整 ， 只 能 看 到 返 回 的 第 一 行 的 结 果 ， 没 关 系 ， 可 以 简 单 优 化 一 下 ： 拓 展 知 识 ： x a r g s 可 以 将 s t d i n 中 以 空 格 或 换 行 符 进 行 分 隔 的 数 据 ， 形 成 以 空 格 分 隔 的 参 数 （ a r g u m e n t s ） ， 传 递 给 其 他 命 令 。 因 为 以 空 格 作 为 分 隔 符 ， 所 以 有 一 些 文 件 名 或 者 其 他 意 义 的 名 词 内 含 有 空 格 的 时 候 ， x a r g s 可 能 会 误 判 。 简 单 来 说 ， x a r g s 是 给 其 他 命 令 传 递 参 数 的 一 个 过 滤 器 ， 是 构 建 单 行 命 令 的 重 要 组 件 之 一 。   但 是 这 里 仅 仅 只 是 通 过 x a r g s 的 特 性 让 它 把 多 行 内 容 转 换 成 一 行 来 更 好 地 显 示 结 果 ， 当 然 也 可 以 使 用 其 他 方 法 来 实 现 ： 在 看 看 n m a p 内 网 扫 描 的 结 果 ， 同 样 的 漏 洞 组 件 在 内 网 中 还 发 现 了 很 多 … p a y l o a d ： " ` i f c o n f i g ` " e c h o   " t h e   f i l e ( $ F I L E _ P A T H )   d o s e   n o t   e x i s t ! " p a y l o a d ： " ` i f c o n f i g   | x a r g s ` "
小 结 小 结 漏 洞 是 由 于 程 序 调 用 b a s h 脚 本 传 参 时 没 有 做 过 滤 ， 通 过 $ ( c m d ) 这 样 的 方 式 来 执 行 命 令 并 将 结 果 存 入 变 量 中 ， 在 脚 本 判 断 文 件 不 存 在 时 会 返 回 文 件 名 ， 造 成 了 回 显 。 漏 洞 修 复 方 法 ： 严 格 控 制 文 件 名 参 数 值 ， 先 判 断 文 件 名 或 文 件 路 径 是 否 合 法 可 修 复 漏 洞 。 * 本 文 作 者 ： 本 文 作 者 ： r 0 y a n x ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理