搜索

[13866] 2019-03-14_对印度某电子商务公司从LFI到数据库获取的渗透测试过程

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-18
2019-03-14_对印度某电子商务公司从LFI到数据库获取的渗透测试过程 对 印 度 某 电 子 商 务 公 司 从 L F I 到 数 据 库 获 取 的 渗 透 测 试 过 程 c l o u d s   F r e e B u f   2 0 1 9 - 0 3 - 1 4 本 文 分 享 的 是 作 者 在 渗 透 测 试 过 程 中 ， 通 过 不 同 漏 洞 的 组 合 利 用 ， 最 终 拿 下 印 度 某 大 型 电 子 商 务 公 司 数 据 库 权 限 。 （ 文 章 已 经 相 关 公 司 许 可 发 布 ） 。 从 从 L F I 漏 洞 入 手 漏 洞 入 手 本 次 渗 透 测 试 的 目 标 比 较 确 定 ， 最 初 我 偏 向 去 发 现 其 中 的 本 地 文 件 包 含 漏 洞 （ L F I ） ， 所 以 我 着 重 对 其 中 的 文 件 交 互 功 能 和 特 性 进 行 了 深 入 的 测 试 分 析 ， 很 巧 的 是 ， 我 发 现 了 该 公 司 一 个 针 对 不 同 移 动 设 备 显 示   “ A n d r o i d   G o o g l e   p l a y ”   和 “ i P h o n e   A p p   s t o r e ”   的 自 身 A P P 下 载 页 面 ， 如 下 ： 当 我 点 击 页 面 中 “ A n d r o i d   G o o g l e   p l a y ”   和   “ i P h o n e   A p p   s t o r e ” 任 意 一 个 按 钮 ， 之 后 就 会 跳 到 如 下 的 页 面 ： h t t p : / / w w w . x x x x . c o m / d o w n l o a d c a l l b a c k / n u l l ：
接 着 ， 就 会 马 上 重 定 向 到 相 应 的 A P P 下 载 引 用 页 面 （ R e f e r r e r   P a g e ） 。 当 我 在 浏 览 器 隐 身 模 式 下 把 引 用 页 面 去 掉 ， 想 看 看 有 什 么 反 应 时 ， 请 求 服 务 端 后 返 回 了 一 个 “ 4 0 4   P a g e   n o t   f o u n d ”   的 响 应 ， 很 明 显 ， 它 查 询 了 某 些 条 件 或 请 求 参 数 ， 可 能 遵 循 了 某 种 简 单 的 i f / e l s e 逻 辑 。 为 了 详 细 查 看 是 否 有 其 它 参 数 遗 漏 ， 我 看 到 了 页 面 中 的 以 下 H T M L 源 码 ： 以 上 代 码 中 的 逻 辑 已 经 很 明 显 了 ， 有 意 思 的 是 ， 在 红 框 标 注 内 可 以 发 现 有 一 个 名 为 “ d o w n l o a d _ h a n d l e r . p h p ” 的 P H P 文 件 ， 在 点 击 首 次 跳 转 时 出 现 的 U R L 中   -   h t t p : / / w w w . x x x x . c o m / d o w n l o a d c a l l b a c k / n u l l ， 这 个 P H P 文 件 是 不 存 在 的 ， 然 而 这 个 P H P 文 件 请 求 的 是 一 个 “ p a t h ” 的 路 径 参 数 ， 其 路 径 U R L 如 代 码 中 描 述 的 f i n a l d o w n l o a d l i n k ， 其 “ n a m e ”   名 称 为 n a m e U R L 。 所 以 ， 去 掉 引 用 页 面 后 ， 最 终 也 就 返 回 了 “ 4 0 4   P a g e   n o t   f o u n d ” 没 东 西 下 载 的 响 应 了 。 如 果 按 照 上 述 H T M L 代 码 的 规 定 ， 那 么 其 f i n a l U R L 应 该 是 这 种 样 子 的 ： d o w n l o a d c a l l b a c k / d o w n l o a d _ h a n d l e r . p h p ? p a t h = 于 是 ， 在 该 处 我 偶 然 地 尝 试 了 一 下 目 录 遍 历 攻 击 ， p a t h = . . / . . / . . / . . / e t c / p a s s w d ， 哇 ， 竟 然 有 读 写 权 限 ， 除 了 / e t c / p a s s w d ， 还 能 读 取 到 其 它 服 务 端 敏 感 文 件 ：
而 且 ， 我 还 可 以 读 取 到 各 种 L i n u x 系 统 文 件 、 配 置 文 件 和 访 问 日 志 信 息 ， 这 样 一 来 ， 还 能 深 入 获 取 到 用 户 的 a c c e s s   t o k e n 、 参 数 和 其 它 更 敏 感 的 信 息 ， 这 一 切 的 罪 魁 祸 首 就 是 “ d o w n l o a d _ h a n d l e r . p h p ” 这 个 文 件 ：
转 化 为 转 化 为 S S R F 攻 击 攻 击 可 知 ， 这 个 P H P 文 件 只 是 简 单 地 执 行 用 户 请 求 输 入 ， 然 后 把 输 入 请 求 的 响 应 返 回 ， 这 种 模 式 也 很 容 易 存 在 S S R F 漏 洞 ， 比 如 ： 这 里 ， 读 取 / e t c / p a s s w o r d 的 方 式 ， 还 能 用 f i l e : / / /   方 式 （ 打 开 对 应 的 本 地 系 统 文 件 ） ： 发 现 发 现 A W S   E l a s t i c B e a n s t a l k 实 例 实 例 另 外 ， 当 我 用 这 种 L F I 和 S S R F 方 式 测 试 时 ， 在 读 取 服 务 器 端 / e t c / m o t d 文 件 （ 系 统 布 告 信 息 栏 ） 时 ， 我 发 现 这 个 L i n u x 系 统 部 署 了 A W S   E l a s t i c B e a n s t a l k ： 这 个 线 索 让 我 有 了 深 入 渗 透 的 决 心 ， 我 们 可 以 用 上 述 S S R F 方 式 来 具 体 找 找 一 些 A W S 实 例 ， 如 M e t a D a t a 或 U s e r   D a t a ：
利 用 上 述 S S R F 方 式 ， 从 “   h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / d y n a m i c / i n s t a n c e - i d e n t i t y / d o c u m e n t ” 的 系 统 服 务 A P I 中 ， 还 可 获 取 到 一 些 A W S 账 号 I D 和 云 服 务 区 域 信 息 ， 如 下 ： 在 我 检 查 系 统 的 A W S   E l a s t i c   B e a n s t a l k 部 署 环 境 时 ， 还 发 现 了 一 个 A P I 调 用 ， 用 它 可 以 获 取 到 A W S   A c c e s s   K e y 、 S e c r e t   A c c e s s   K e y 和 T o k e n 等 重 要 的 验 证 信 息 ， 这 个 A P I 是 ： h t t p : / / 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 / l a t e s t / m e t a - d a t a / i a m / s e c u r i t y - c r e d e n t i a l s / a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e 直 接 用 上 述 的 S S R F 方 式 ， 加 上 这 个 A P I 调 用 ， 在 响 应 信 息 中 就 能 返 回 A W S   A c c e s s   K e y 、 S e c r e t   A c c e s s   K e y 和 T o k e n ， 结 合 之 前 发 现 的 账 户 I D ， 现 在 的 情 况 是 越 来 越 严 重 了 ： 接 下 来 ， 我 们 可 以 来 验 证 一 下 这 些 A W S 账 户 了 ， 只 要 密 码 不 过 期 ， 就 可 以 在 a w s - c l i 命 令 行 界 面 中 来 进 行 操 作 了 ， 如 下 ：
也 可 以 列 出 相 关 信 息 或 下 载 S 3   b u c k e t 数 据 到 本 地 系 统 中 ， 如 下 ： 获 取 数 据 库 获 取 数 据 库 当 细 细 查 看 S 3   b u c k e t 数 据 时 ， 我 发 现 了 一 些 很 敏 感 的 文 件 ， 如 d a t a b a s e . j s 、 c o n f i g . j s 、 a p p . j s 、 p a y m e n t . c o n f i g ， 果 不 其 然 ， 这 些 文 件 中 包 含 了 支 付 相 关 的 哈 希 键 值 、 加 盐 值 、 数 据 库 存 密 码 凭 据 、 内 部 使 用 工 具 名 称 和 密 码 信 息 等 等 。 而 且 ， 我 还 发 现 了 一 个 正 在 运 行 的 M o n g o D B 实 例 ， 其 密 码 就 存 在 于 明 文 的 配 置 文 件 中 ， 我 连 接 上 之 后 ， 在 其 中 发 现 了 一 些 客 户 数 据 ， 如 下 图 所 示 ： 尽 管 它 没 有 包 含 所 有 的 用 户 详 细 信 息 ， 但 这 些 信 息 涉 及 1 0 0 0 0 多 名 客 户 。 之 后 ， 我 向 该 公 司 上 报 了 该 漏 洞 ， 他 们 非 常 重 视 ， 给 予 了 及 时 的 漏 洞 修 复 ， 并 轮 换 了 所 有 受 影 响 的 密 钥 和 凭 据 。 最 终 ， 这 次 从 L F I 到 S S R F ， 再 到 E l a s t i c   B e a n s t a l k 实 例 ， 最 后 再 到 S 3 b u c k e t 数 据 库 权 限 获 取 的 操 作 ， 导 致 了 上 万 名 目 标 公 司 客 户 的 敏 感 密 钥 凭 据 信 息 泄 露 。 * 参 考 来 源 ： m e d i u m ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理