搜索

[18046] 2021-08-18_【渗透实战系列】25一次从APP逆向到Getshell的过程

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-08-18_【渗透实战系列】25一次从APP逆向到Getshell的过程 【 渗 透 实 战 系 列 】 2 5 | 一 次 从   A P P   逆 向 到   G e t s h e l l   的 过 程 H a c k i n g 黑 白 红   2 0 2 1 - 0 8 - 1 8 以 下 文 章 来 源 于 合 天 网 安 实 验 室   ， 作 者 f a t b o y Q _ Q 0 x 0 0   前 言 前 言 A P P   g e t s h e l l 过 程 0 x 0 1   开 搞 开 搞 众 所 周 知 ， 获 取   c n v d   原 创 漏 洞 证 明 无 非 两 种 途 径 。 一 个 是 提 交 重 要 关 基 的 事 件 型 漏 洞 ， 另 一 个 就 是 提 交 通 用 型 漏 洞 。 这 里 选 择 第 二 种 方 式 。 因 为 直 觉 告 诉 我 大 型 关 基 的 漏 洞 应 该 早 就 在 各 种 攻 防 演 练 中 被 挖 得 差 不 多 了 ， 而 自 己 人 菜 技 拙 ， 何 德 何 能 和 众 大 佬 争 功 ？ 于 是 构 造 一 波   f o f a   关 键 字 — — 同 理 ， 常 见 的 、 比 较 有 影 响 力 的 开 源 项 目 大 多 也 被 大 佬 们 审 计 得 差 不 多 了 ， 所 以 这 里 直 接 从   f o f a   找 案 例 ， 然 后 从 案 例 反 查 厂 商 ， 运 气 好 的 话 也 能 捡 到 个 小 通 用 。 一 番 挑 肥 拣 瘦 后 找 到 了 个 疑 似 的 软 柿 子 （ 厚 码 见 谅 / d o g e ） ： 界 面 比 较 朴 实 无 华 。 之 所 以 判 断 是 个 软 柿 子 是 因 为 简 单 测 试 下 来 发 现 目 标 存 在 目 录 遍 历 的 低 级 问 题 ： 合 天 网 安 实 验 室 合 天 网 安 实 验 室   . 为 广 大 信 息 安 全 爱 好 者 提 供 有 价 值 的 文 章 推 送 服 务 ！
对 本 人 来 说 ， 一 些 低 级 问 题 的 出 现 也 可 以 看 成 衡 量 开 发 人 员 安 全 意 识 高 低 的 一 个 指 标 。 也 就 是 说 ， 这 个 站 出 现 其 他 更 严 重 安 全 漏 洞 的 可 能 性 比 较 大 。 于 是 既 然 锁 定 了 目 标 ， 那 么 依 照 惯 例 ， 先 简 单 判 断 了 下 网 站 的 情 况 ： 看 了 下 登 录 页 面 的 样 式 和   h t m l   源 码 ， 代 码 风 格 放 荡 不 羁 ， 符 合 小 厂 商 比 较 随 性 的 作 风 ， 而 且   u p l o a d   目 录 存 在 目 录 遍 历 ， 至 少 可 以 说 明 运 维 人 员 比 较 粗 心 大 意 ， 可 能 存 在 漏 打 补 丁 之 类 的 情 况 至 少 可 以 说 明 运 维 人 员 比 较 粗 心 大 意 ， 可 能 存 在 漏 打 补 丁 之 类 的 情 况 （ 而 且 通 常 一 些 比 较 有 安 全 意 识 的   c m s   开 发 人 员 ， 都 会 热 心 地 在   u p l o a d   、 a t t a c h m e n t s   等 目 录 下 手 动 加 上 一 个 空 白 的   i n d e x . h t m l   来 避 免 因 运 维 配 置 错 误 而 产 生 的 目 录 遍 历 。 所 以 如 果 从 这 个 角 度 来 看 ， 说 连 开 发 人 员 安 全 意 识 也 不 足 也 不 为 过 ） C o o k i e   中   存 在 键 名 为   J S S E S S I O N   的   C o o k i e 、 4 0 4 页 面 显 示 w e b 容 器 为 t o m c a t 8 . 5 ， 可 判 断 后 端 语 言 是 可 判 断 后 端 语 言 是 J a v a 。 因 此 也 可 。 因 此 也 可 以 尝 试 以 尝 试   T o m c a t 、 、 W e b l o g i c 、 、   J b o s s 、 、 s h i r o 、 、 f a s t j s o n   等 容 器 、 中 间 件 和 组 件 的 漏 洞 等 容 器 、 中 间 件 和 组 件 的 漏 洞 。 简 单 看 了 下   j s   等 静 态 资 源 ， 没 有 发 现 可 直 接 利 用 的 注 释 或 隐 藏 的 接 口 等 信 息 。 但 页 面 展 示 了 该 系 统 配 套 使 用 的 一 个 但 页 面 展 示 了 该 系 统 配 套 使 用 的 一 个   A P P ， 后 期 或 许 可 以 从 ， 后 期 或 许 可 以 从   A P P   入 手 尝 试 挖 掘 一 些 入 手 尝 试 挖 掘 一 些   w e b   界 面 没 有 展 示 出 来 的 接 口 界 面 没 有 展 示 出 来 的 接 口 有 了 简 单 的 判 断 和 猜 想 之 后 ， 要 做 的 就 是 逐 个 验 证 了 。 既 然 目 标 站 点 后 端 语 言 为   J a v a ， 那 么 先 上 一 波   s h i r o     的 探 测 。 毕 竟 就 算   T o m c a t   和   W e b l o g i c   之 类 的 可 以 直 接 打 到 ， 感 觉 也 只 能 算 是 中 间 件 的 漏 洞 ， 而 不 是 这 个   w e b   系 统 本 身 的 通 用 。 s h i r o   的 探 测 这 里 用 到 的 是   b u r p s u i t e   的 一 款 被 动 探 测 插 件   s h i r o s c a n   ，   g i t h u b   地 址 是   h t t p s : / / g i t h u b . c o m / D a y b r 4 a k / S h i r o S c a n   插 件 安 装 好 后 ， 浏 览 测 试 页 面 ， 不 足 须 臾 ， 插 件 的   S h i r o S c a n   的 视 图 果 然 就 给 出 了 探 测 结 果 ： ： s h i r o   k e y   s c a n   u n k n o w n   e r r o r
瞧 一 眼 插 件 的 原 始 请 求 和 服 务 器 的 响 应 ， 基 本 可 以 确 认   s h i r o   应 该 是 存 在 的 了 ， 出 现 这 样 的 结 果 可 能 是 插 件 内 置 的   s h i r o   k e y   不 够 多 。 于 是 又 不 甘 心 地 轮 换 了 几 个   s h i r o   的 利 用 工 具 去 测 试 ， 可 惜 结 果 都 不 如 人 意 ： 0 x 0 2   峰 回 路 转 峰 回 路 转 眼 看   s h i r o   一 把 梭 这 条 路 是 走 不 通 了 ， 又 顺 手 测 了 测 登 录 框 的 注 入 、 C o o k i e 的 伪 造 等 一 些 明 面 上 能 测 的 东 西 。 最 后 还 剩   f a s t j s o n   这 个 猜 想 还 没 有 办 法 进 一 步 验 证 了 — — 因 为 就 目 前 为 止 ， 系 统 暴 露 出 来 的 功 能 除 了 一 个 登 录 ， 就 再 没 有 其 他 的 了 。 更 重 要 的 是 ， 即 使 只 是 这 个 登 录 页 ， 其 所 提 交 的 数 据 也 不 是   j s o n   格 式 的 ， 所 以 个 人 猜 测 这 里 存 在 所 以 个 人 猜 测 这 里 存 在   f a s t j s o n   漏 洞 的 可 能 性 漏 洞 的 可 能 性
比 较 低 。 于 是 挖 掘 的 重 点 转 向 登 录 页 挂 着 的 配 套 比 较 低 。 于 是 挖 掘 的 重 点 转 向 登 录 页 挂 着 的 配 套   A P P   上 上 ， 希 望 至 少 可 以 从 中 挖 出 一 些   w e b   界 面 没 有 展 示 出 来 的 接 口 吧 — — 当 然 ， 如 果 是 未 授 权 或 者 是 存 在   f a s t j s o n   漏 洞 的 接 口 那 就 更 好 了 。 说 干 就 干 。 眼 看 饮 茶 时 间 又 快 到 了 ， 挖 洞 哪 有 喝 茶 重 要 。 因 此 先 不 考 虑   A P P   加 壳 的 问 题 ， 直 接 下 载   A P K ， 改 后 缀 为     打 开 ： 存 在 两 个   d e x   文 件 ， 这 里 也 先 不 去 探 究 哪 个 才 是 最 要 紧 的 了 ， 总 之 两 个 都 解 压 出 来 ， 分 别 改 名 为   x x x 1 . d e x   和   x x x 2 . d e x ： 接 着   d e x 2 j a r   伺 候 ， 得 到   j a r   包 ： . z i p
最 后 ， j d - g u i   打 开 ， 顺 利 得 到 源 码 ， 似 乎 可 以 捡 漏 逆 袭 ： 得 到 源 码 后 ， 全 局 搜 索 诸 如   ： ” u s e r n a m e “ 、 ” p a s s w o r d “ 、 ” h o s t “ 、 ” h o s t n a m e “   、 ” d o m a i n “   、 ” s e c r e t k e y “ 、 ” p u b l i c k e y “ 、 ” u p l o a d “ 之 类 的 字 眼 。 因 为 经 验 告 诉 我 ， 运 气 好 的 话 可 能 可 以 直 接 得 到 一 些 可 利 用 的 硬 编 码 信 息 或 可 未 授 权 访 问 的 敏 感 接 口 ， 比 如 ：
显 然 ， 从 图 中 代 码 不 难 看 出 ， 系 统 确 实 存 在 一 个 名 为 系 统 确 实 存 在 一 个 名 为         的 接 口 ， 而 且 该 接 口 在 处 理 客 户 端 提 交 数 据 前 可 能 还 没 有 任 何 身 份 校 验 机 制 的 接 口 ， 而 且 该 接 口 在 处 理 客 户 端 提 交 数 据 前 可 能 还 没 有 任 何 身 份 校 验 机 制 。 为 了 证 明 这 个 猜 想 ， 根 据 反 编 译 得 到 的 代 码 ， 在   b u r p s u i t e   中 按 下 面 推 测 大 胆 构 造 了 请 求 ： f i r s t   和   o f f s e t   使 用 代 码 截 图 里 的 默 认 值 就 可 以 了 ； p a r a m   参 数 的 作 用 未 知 ； 至 于   f i l e   参 数 ， 一 个 从 请 求 的   q u e r y s t r i n g   获 得 ， 一 个 似 乎 从   P O S T   的 数 据   b o d y   里 获 得 — — 那 么 暂 且 认 为   b o d y   里 的 就 是 文 件 内 容 ， 则 可 以 构 造 得 到 数 据 包 为 ： 提 交 后 返 回   2 0 0   状 态 码 ， 但 是 没 有 返 回 路 径 。 难 道 是 理 解 错 误 了 ？ 气 氛 一 下 子 变 得 有 点 尴 尬 起 来 了 。 。 。 不 过 好 在 ， 这 种 尴 尬 没 持 续 多 久 ， 我 又 突 然 想 起 之 前 那 个 鸡 肋 的 目 录 遍 历 。 难 道 。 。 。 ？ 于 是 怀 着 死 马 当 活 马 医 的 信 息 再 看 一 眼   u p l o a d   目 录 发 现 ： B i n g o   ！ 原 来 请 求 中 的   p a r a m   的 意 义 是 指 定 保 存 的 目 录 。 那 么 ， 自 然 而 然 地 最 后 的   s h e l l   访 问 地 址 是 ： h t t p : / / x x x x x / u p l o a d / t e s t / t e s t . j s p   ： a p p u p l o a d f i l e s e r v i c e / u p l o a d f i l e
0 x 0 3   功 败 垂 成 功 败 垂 成 至 此 ， 一 个 未 授 权 的 任 意 文 件 上 传 漏 洞 算 是 挖 掘 完 成 了 。 然 而 ， 正 当 我 准 备 放 弃 喝 茶 ， 打 算 打 包 提 交   c n v d   混 个 原 创 证 书 时 却 尴 尬 地 发 现 ： 啊 这 、 影 响 也 太 小 了 吧 。 。 连   1 0   个 互 联 网 案 例 都 凑 不 齐 。 。 还 是 提 交 事 件 吧 、 要 脸 。 。 。 。 0 x 0 4   总 结 总 结 要 会 搞   w e b   ， 但 不 能 局 限 于 只 会 搞   w e b   ， 因 为   w e b   的 突 破 口 也 有 可 能 在 其 他 地 方 。 渗 透 什 么 的 还 是 要 胆 大 心 细 ， 并 且 再 鸡 肋 的 漏 洞 也 不 能 轻 视 ， 毕 竟 连 一 张 厕 纸 、 一 条 内 裤 都 会 又 它 自 己 的 作 用 的 。 下 次 挖 通 用 前 先 查 下 产 品 使 用 率 。 。 。 相 关 实 验 ： 相 关 实 验 ： F C K e d i t o r   2 . 4 . 3 文 件 上 传 漏 洞 （ 复 制 链 接 体 验 吧 ） 文 件 上 传 漏 洞 （ 复 制 链 接 体 验 吧 ） h t t p s : / / w w w . h e t i a n l a b . c o m / e x p c . d o ? e c = E C I D c 2 3 d - a 9 8 9 - 4 0 8 4 - a 5 a 0 - 5 8 1 6 b 1 2 0 e 0 2 e & p k _ c a m p a i g n = w e i x i n - w e m e d i a # s t u F C K e d i t o r 是 一 款 开 放 源 码 的 文 本 编 辑 器 ， 其 2 . 4 . 3 版 本 u p l o a d . p h p 文 件 使 用 黑 名 单 进 行 文 件 校 验 ， 通 过 实 验 学 习 如 何 绕 过 黑 名 单 检 测 ， 上 传 恶 意 文 件 。 推 荐 阅 读 ： 推 荐 阅 读 ：
渗 透 实 战 系 列 渗 透 实 战 系 列 ▶ 【 渗 透 实 战 系 列 】 2 4 | - 针 对 C M S 的 S Q L 注 入 漏 洞 的 代 码 审 计 思 路 和 方 法 ▶ 【 渗 透 实 战 系 列 】 2 3 | - 某 菠 菜 网 站 渗 透 实 战 ▶ 【 渗 透 实 战 系 列 】 2 2 | - 渗 透 系 列 之 打 击 彩 票 站 ▶ 【 渗 透 实 战 系 列 】 2 1 | 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 2 0 | - 渗 透 直 播 网 站 ▶ 【 渗 透 实 战 系 列 】 1 9 | - 杀 猪 盘 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 1 8 - 手 动 拿 学 校 站 点   得 到 上 万 人 的 信 息 （ 漏 洞 已 提 交 ） ▶ 【 渗 透 实 战 系 列 】 | 1 7 - 巧 用 f o f a 对 目 标 网 站 进 行 g e t s h e l l ▶ 【 渗 透 实 战 系 列 】 ｜ 1 6 - 裸 聊 A P P 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 5 - 博 彩 网 站 （ A P P ） 渗 透 的 常 见 切 入 点 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 4 - 对 诈 骗 （ 杀 猪 盘 ） 网 站 的 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 3 - w a f 绕 过 拿 下 赌 博 网 站 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 2   - 渗 透 实 战 ，   被 骗 4 0 0 0 花 呗 背 后 的 骗 局 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 1   -   赌 博 站 人 人 得 而 诛 之 ▶ 【 渗 透 实 战 系 列 】 | 1 0   -   记 某 色 X 商 城 支 付 逻 辑 漏 洞 的 白 嫖 （ 修 改 价 格 提 交 订 单 ） ▶ 【 渗 透 实 战 系 列 】 | 9 - 对 境 外 网 站 开 展 的 一 次 w e b 渗 透 实 战 测 试 （ 非 常 详 细 ， 适 合 打 战 练 手 ） ▶ 【 渗 透 实 战 系 列 】 | 8 - 记 一 次 渗 透 测 试 从 X S S 到 G e t s h e l l 过 程 （ 详 细 到 无 语 ） ▶ 【 渗 透 实 战 系 列 】 | 7 - 记 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 | 6 -   B C 杀 猪 盘 渗 透 一 条 龙 ( 文 末 附 【 渗 透 实 战 系 列 】 其 他 文 章 链 接 ) ▶ 【 渗 透 实 战 系 列 】 | 5 - 记 一 次 内 衣 网 站 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 | 4 - 看 我 如 何 拿 下 B C 站 的 服 务 器 ▶ 【 渗 透 实 战 系 列 】 | 3 - 一 次 简 单 的 渗 透 ▶ 【 渗 透 实 战 系 列 】 | 2 - 记 一 次 后 门 爆 破 到 提 权 实 战 案 例 ▶ 【 渗 透 实 战 系 列 】 | 1 一 次 对 跨 境 赌 博 类 A P P 的 渗 透 实 战 （ g e t s h e l l 并 获 得 全 部 数 据 ）
长 按 长 按 - 识 别 识 别 - 关 注 关 注 H a c k i n g 黑 白 红 黑 白 红 一 个 专 注 信 息 安 全 技 术 的 学 习 平 台 点 分 享 点 分 享 点 收 藏 点 收 藏 点 点 赞 点 点 赞 点 在 看 点 在 看 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理