搜索

[16276] 2021-01-03_一次文件读取漏洞的“危害升级”历程

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-01-03_一次文件读取漏洞的“危害升级”历程 一 次 文 件 读 取 漏 洞 的 “ 危 害 升 级 ” 历 程 A e d o o o   F r e e B u f   2 0 2 1 - 0 1 - 0 3 在 授 权 测 试 某 金 融 类 A P P 时 ， 发 现 一 个 鸡 肋 低 危 文 件 读 取 漏 洞 ， 尝 试 将 其 升 级 为 高 危 。 P S ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 。 0 x 0 0   初 步 探 测 初 步 探 测 发 现 首 次 打 开 A P P 时 ， 会 向 服 务 器 读 取 文 件 加 载 并 展 示 图 片 。 测 试 时 一 定 要 细 心 ， 笔 者 发 现 只 有 首 次 打 开 A P P 时 ， 才 会 加 载 图 片 ， 后 面 再 打 开 应 该 是 资 源 已 被 记 录 ， 就 不 会 向 服 务 器 再 次 进 行 请 求 了 。 此 加 载 展 示 图 片 的 G E T 请 求 数 据 包 如 下 ： G E T   / i x x x / L g o n I m a g e . d o ? X x x x x I m a g e D i r = / X X X X X / P i c t u r e s & S a v e X x x x x I m a g e N a m e = t h i s _ i s _ i m a g e . j p g   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8
拿 到 这 个 数 据 包 的 第 一 反 应 ， 以 往 的 渗 透 测 试 经 验 告 诉 我 ， 从 这 个 地 方 大 概 路 会 存 在 文 件 读 取 漏 洞 。 分 析 并 猜 测 功 能 点 U R I 的 每 个 参 数 的 功 能 。 0 x 0 1   漏 洞 测 试 漏 洞 测 试 既 然 已 经 初 步 探 测 到 了 可 能 存 在 漏 洞 的 风 险 点 ， 并 且 文 件 读 取 功 能 的 参 数 已 经 搞 清 楚 ， 下 一 步 就 展 开 读 取 测 试 。 首 先 测 试 ， 是 否 可 以 进 行 目 录 列 出 ， 直 接 将 S a v e X x x x x I m a g e N a m e 参 数 置 空 ， 看 看 是 否 可 以 读 取 / X X X X X / P i c t u r e s 目 录 下 的 内 容 ： 返 回 为 “ 空 ” ， 失 败 ， 说 明 程 序 功 能 点 不 存 在 列 出 目 录 漏 洞 ： 测 试 是 否 可 以 跳 出 目 录 ， 选 用 P a y l o a d 如 下 ： L o g o n I m a g e D i r = / X X X X X / P i c t u r e s   -   图 片 所 在 的 目 录 S a v e X x x x x I m a g e N a m e = t h i s _ i s _ i m a g e . j p g   -   目 录 下 的 图 片 名 G E T   / i x x x / L o g o n I m a g e . d o ? X x x x x I m a g e D i r = / X X X X X / P i c t u r e s & S a v e X x x x x I m a g e N a m e =   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8 G E T   / i x x x / L o g o n I m a g e . d o ? X x x x x I m a g e D i r = / X X X X X / P i c t u r e s / . . / . . / . . / . . / . . / . . / e t c / & S a v e X x x x x I m a g e N a m e = p a s s w d   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0
返 回 某 防 火 墙 拦 截 界 面 ， 失 败 ： 接 下 来 进 一 步 测 试 ， 是 / e t c / p a s s w d 触 发 的 W A F ， 还 是 / . . / 触 发 的 W A F 。 测 试 只 进 行 一 层 目 录 跳 出 ， 并 且 删 除 / e t c / p a s s w d 关 键 字 ： 唔 … 看 来 / . . / 的 特 殊 字 符 就 已 经 触 发 了 W A F ： U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8 G E T   / i x x x / L o g o n I m a g e . d o ? X x x x x I m a g e D i r = / X X X X X / P i c t u r e s / . . / & S a v e X x x x x I m a g e N a m e =   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8
之 后 想 到 尝 试 对 数 据 包 进 行 P O S T 类 型 转 换 ， 使 用 P O S T 传 参 的 一 些 方 式 进 行 W A F 的 测 试 ， 如 ： U R L 编 码 分 块 传 输 脏 数 据 填 充 包 体 转 换 畸 形 数 据 包 … … 但 是 无 奈 ， P O S T 请 求 直 接 无 法 传 参 ， 程 序 限 制 了 G E T 请 求 接 收 参 数 。 （ 不 过 ， 后 来 测 试 其 他 P O S T 传 参 的 功 能 时 ， 发 现 以 笔 者 现 有 的 W A F 绕 过 经 验 思 路 ， 根 本 无 法 对 某 恒 的 W A F 进 行 绕 过 … . . ） 0 x 0 2   漏 洞 确 认 漏 洞 确 认 总 结 以 上 对 此 文 件 读 取 漏 洞 收 集 到 的 信 息 ： 目 录 无 法 跨 越 ， 并 且 文 件 读 取 的 路 径 在 当 前 根 目 录 ； 特 殊 字 符 串 ， 已 被 W A F 完 美 防 护 住 ； 无 法 获 取 目 录 下 的 文 件 名 、 无 法 预 知 是 否 可 以 读 取 其 他 后 缀 文 件 。 测 试 到 这 里 突 然 灵 光 一 闪 ， 想 到 了 “ . b a s h _ h i s t o r y ” ， 如 果 网 站 根 目 录 存 在 此 文 件 ， 并 且 可 以 读 取 ， 上 面 的 疑 问 就 可 以 直 接 解 决 大 半 了 ， 先 来 了 解 一 下 这 些 文 件 作 用 ： . b a s h _ p r o f i l e ： 此 文 件 为 系 统 的 每 个 用 户 设 置 环 境 信 息 ， 当 用 户 第 一 次 登 录 时 ， 该 文 件 被 执 行 。 . b a s h _ h i s t o r y ： 该 文 件 保 存 了 当 前 用 户 输 入 过 的 历 史 命 令 ； . b a s h _ l o g o u t ： 该 文 件 的 用 途 是 用 户 注 销 时 执 行 的 命 令 ， 默 认 为 空 ； . b a s h r c ： 此 文 件 为 每 一 个 运 行 b a s h   s h e l l 的 用 户 执 行 此 文 件 。 当 b a s h   s h e l l 被 打 开 时 ， 该 文 件 被 读 取 。 于 是 直 接 对 网 站 根 目 录 进 行 . b a s h _ p r o f i l e 的 盲 测 ： 此 p a y l o a d 既 避 免 了 跳 出 目 录 ， 又 避 开 了 W A F 严 打 的 特 殊 字 符 ， 但 是 唯 一 遗 漏 的 . b a s h 文 件 被 我 们 利 用 到 了 。 G E T   / i x x x / L o g o n I m a g e . d o ? X x x x x I m a g e D i r = / & S a v e X x x x x I m a g e N a m e = . b a s h _ p r o f i l e   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8
激 动 的 心 颤 抖 的 手 ， 看 来 当 前 网 站 根 目 录 确 实 是 此 用 户 的 目 录 ， 并 且 用 户 在 此 根 目 录 下 执 行 过 命 令 ！ 接 下 来 尝 试 进 一 步 扩 大 危 害 。 0 x 0 3   危 害 升 级 危 害 升 级 不 清 楚 当 前 目 录 结 构 ， 就 代 表 着 无 法 定 向 读 取 文 件 ， 但 是 还 有 一 个 . b a s h _ h i s t o r y 我 们 没 有 利 用 到 ， 看 看 是 否 可 以 在 其 中 获 取 到 更 重 要 的 信 息 。 读 取 根 目 录 下 的 . b a s h _ h i s t o r y ： 信 息 量 虽 然 少 ， 但 是 已 经 有 了 新 的 进 展 ： 由 历 史 命 令 得 知 ， 管 理 员 c d 进 入 了 两 层 目 录 ： / N x x x x / x x F i l e / 并 且 查 看 了 x x _ 2 0 2 0 1 0 2 2 _ 5 1 x x x . t x t 文 件 。 G E T   / i x x x / L o g o n I m a g e . d o ? X x x x x I m a g e D i r = / & S a v e X x x x x I m a g e N a m e = . b a s h _ h i s t o r y   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8
直 接 构 造 读 取 此 文 件 ！ 成 功 读 取 到 了 敏 感 的 数 据 信 息 ： 并 且 文 件 的 I D 值 为 时 间 戳 + I D 顺 序 编 号 组 成 ， 可 轻 松 遍 历 出 全 部 的 信 息 。 B u r p s u i t e   I n t r u d e r 模 块 测 试 ： 尝 试 遍 历 1 0 个 I D 值 成 功 。 G E T   / i x x x / L o g o n I m a g e . d o ? X x x x x I m a g e D i r = / N x x x x / x x F i l e & S a v e X x x x x I m a g e N a m e = x x _ 2 0 2 0 1 0 2 2 _ 5 1 x x x . t x t   H T T P / 1 . 1 H o s t :   x x x x x . c o m C o n n e c t i o n :   c l o s e U s e r - A g e n t :   M o z i l l a / 5 . 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , e n - U S ; q = 0 . 8
0 x 0 4   回 首 总 结 回 首 总 结 存 在 的 难 题 ： 目 录 无 法 跨 越 、 W A F 盯 防 、 无 法 预 知 目 录 文 件 结 构 。 在 此 情 况 下 ， 利 用 L i n u x 文 件 系 统 特 性 ， 仍 然 可 以 将 低 危 漏 洞 提 升 至 高 危 。 并 且 危 害 的 等 级 高 低 是 无 法 预 估 的 ， 这 取 决 于 . b a s h _ h i s t o r y 会 给 我 们 泄 露 多 少 信 息 ， 所 以 文 件 读 取 漏 洞 存 在 时 间 越 久 ， 记 录 的 东 西 越 多 ， 危 害 越 大 ！ 希 望 这 个 简 单 的 漏 洞 挖 掘 过 程 ， 能 给 大 家 带 来 一 些 挖 洞 思 路 ~ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理