搜索

[14391] 2019-07-25_有上传文件的文件名处发现的时间延迟注入漏洞

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2019-07-25_有上传文件的文件名处发现的时间延迟注入漏洞 有 上 传 文 件 的 文 件 名 处 发 现 的 时 间 延 迟 注 入 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 0 7 - 2 5 该 W r i t e u p 是 作 者 在 邀 请 测 试 项 目 中 发 现 的 ， 在 上 传 文 件 的 文 件 名 处 （ f i l e n a m e ） 的 一 个 时 间 延 迟 盲 注 漏 洞 ， 这 种 姿 势 相 对 少 见 ， 分 享 在 此 希 望 能 对 大 家 起 到 借 鉴 学 习 作 用 。 以 下 是 作 者 的 发 现 过 程 。 本 月 初 ， 我 受 邀 参 与 了 H a c k e r O n e 平 台 某 厂 商 的 一 个 私 密 众 测 项 目 ， 由 于 此 前 我 有 些 朋 友 也 做 过 该 厂 商 的 众 测 ， 所 以 我 就 向 他 们 征 询 该 厂 商 相 关 系 统 应 用 的 大 概 情 况 ， 以 便 提 前 了 解 其 中 存 在 的 难 点 和 会 遇 到 的 坑 。 从 注 册 页 面 入 手 发 现 上 传 功 能 从 注 册 页 面 入 手 发 现 上 传 功 能 在 和 朋 友 @ r e e f b r 聊 过 之 后 ， 他 发 给 了 我 目 标 厂 商 某 重 要 域 名 下 的 一 个 会 员 注 册 页 面 ， 刚 好 该 注 册 页 面 在 本 次 测 试 范 围 之 内 。 现 在 要 做 的 就 是 ， 实 际 注 册 测 试 一 下 吧 。 整 个 注 册 过 程 都 很 正 常 ， 一 会 之 后 ， 我 留 的 注 册 邮 箱 就 收 到 了 一 封 包 含 访 问 W e b 应 用 凭 据 的 邮 件 。 以 会 员 身 份 登 录 目 标 W e b 应 用 之 后 ， 我 发 现 其 中 存 在 一 个 文 件 上 传 功 能 。 于 是 ， 我 通 过 随 机 文 件 上 传 进 行 测 试 看 看 其 中 的 安 全 限 制 ， 发 现 ： 上 传 只 接 受 P D F 格 式 文 档 W e b 应 用 后 端 部 署 有 杀 毒 软 件 A V 经 过 一 番 分 析 之 后 ， 我 觉 得 该 上 传 点 只 接 收 类 似 ” f i l e n a m e . p d f ” 的 P D F 格 式 文 档 ， 我 曾 尝 试 绕 过 这 种 文 件 格 式 限 制 措 施 ， 虽 然 某 些 条 件 下 可 以 成 功 上 传 其 它 格 式 文 件 ， 但 上 传 文 件 却 不 能 在 服 务 端 有 效 执 行 ， 所 以 ， 我 转 向 了 其 它 功 能 点 的 测 试 。 记 得 以 前 在 做 渗 透 测 试 时 ， 我 曾 遇 到 过 一 个 把 文 件 名 都 包 含 存 储 到 数 据 库 中 的 W e b 应 用 ， 那 次 ， 我 通 过 构 造 其 文 件 名 参 数 ， 成 功 发 现 了 其 基 于 时 间 差 盲 注 ( T i m e - B a s e d   B l i n d   S Q L ) 的 漏 洞 。 那 么 ， 这 个 W e b 应 用 是 否 存 在 该 漏 洞 呢 ？ 试 试 看 。 B u r p S u i t e 抓 包 分 析 抓 包 分 析 用 B u r p   P r o x y 代 理 抓 包 分 析 H T T P 请 求 ， 点 击 上 传 按 钮 后 ， 把 其 中 的 文 件 名 f i l e n a m e 值 更 改 为 以 下 红 框 内 的 值 ：
注 意 ： 以 上 f i l e n a m e 值 情 况 下 ， 当 我 不 加 最 后 的 . p d f 后 缀 名 发 送 请 求 时 ， 目 标 W e b 应 用 是 拒 绝 接 收 的 。 探 测 发 现 ， 目 标 W e b 应 用 之 后 部 署 有 C l o u d f l a r e   W A F ， 所 以 我 的 好 多 测 试 都 被 这 个 W A F 给 阻 挡 了 ， 返 回 的 都 是 ” A c c e s s   D e n i e d ”   消 息 。 我 突 然 想 到 朋 友 @ r e e f b r 说 过 他 在 该 厂 商 之 间 的 测 试 项 目 中 ， 曾 上 报 过 一 个 C l o u d f l a r e 的 绕 过 漏 洞 ， 这 是 一 个 由 配 置 问 题 导 致 的 问 题 ， 所 以 ， 我 刚 好 可 以 拿 来 试 试 看 ， 这 一 试 ， 我 就 发 现 了 一 个 S Q L 盲 注 漏 洞 了 。 什 么 都 不 说 了 ， 直 接 上 P O C 吧 。 P O C 利 用 上 述 的 文 件 名 构 造 方 式 ， 结 合 C l o u d f l a r e 绕 过 问 题 ， 我 发 起 了 以 下 请 求 ， 注 意 看 其 中 的 时 间 延 迟 s l e e p ： 以 上 是 s l e e p ( 0 ) 无 延 迟 的 情 况 ， 请 求 需 要 1 3 8 0 毫 秒 。 现 在 换 成 s l e e p ( 1 0 ) 延 迟 1 0 秒 ， 即 1 0 0 0 0 毫 秒 ， 看 看 ：
增 加 1 0 0 0 0 毫 秒 后 ， 确 实 变 成 1 1 3 5 0 毫 秒 了 。 现 在 ， 再 增 加 成 2 0 秒 ， 即 2 0 0 0 0 毫 秒 ： 最 后 时 间 确 实 在 之 前 基 础 上 增 加 了 2 0 0 0 0 毫 秒 ， 变 成 了 2 1 3 5 8 毫 秒 了 。 厂 商 团 队 应 该 清 楚 问 题 实 质 了 吧 ， 我 们 再 增 加 一 点 延 迟 时 间 看 看 ： 那 么 ， 这 里 明 显 存 在 一 个 盲 注 漏 洞 。 由 于 目 标 系 统 负 责 处 理 大 量 的 个 人 身 份 信 息 （ P I I ） ， 所 以 ， 如 果 攻 击 者 利 用 这 种 盲 注 漏 洞 对 系 统 中 的 数 据 进 行 提 取 ， 将 会 导 致 大 量 的 敏 感 信 息 泄 露 ， 也 是 因 为 此 种 原 因 ， 我 才 采 用 了 破 坏 力 稍 低 的 时
间 延 迟 注 入 方 法 来 说 明 漏 洞 问 题 。 上 报 进 程 上 报 进 程 漏 洞 初 报 漏 洞 分 类 漏 洞 修 复 赏 金 奖 励 * 参 考 来 源 ： 参 考 来 源 ： j s p i n ， ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M   精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理