搜索

[20346] 2020-07-20_渗透测试之黑白无常“续”

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-20_渗透测试之黑白无常“续” 渗 透 测 试 之 黑 白 无 常 “ 续 ” K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 7 - 2 0 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 0 4 1 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   4 1   篇 文 章 。 全 文 共 计 3 8 6 7 个 字 ， 预 计 阅 读 时 长 1 2 分 钟 。 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 背 景 继 上 一 篇 《 渗 透 测 试 之 黑 白 无 常 》 之 后 ， 当 时 的 目 标 中 还 有 个 W o r d P r e s s 网 站 ， 虽 然 为 一 批 目 标 但 是 运 行 环 境 却 不 太 一 样 ， 同 上 一 篇 文 章 一 样 本 文 使 用 本 地 搭 建 环 境 来 复 现 ， 如 有 觉 得 不 合 理 的 地 方 ， 可 能 是 本 地 复 现 的 时 候 未 完 全 还 原 真 实 环 境 ， 主 要 是 记 录 当 时 在 做 这 个 渗 透 测 试 的 思 路 以 及 绕 过 安 全 策 略 的 方 法 。 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 艰 难 挺 近 后 台 经 过 上 一 个 网 站 的 铺 垫 ， 所 以 当 打 开 目 标 网 站 后 ， 第 一 时 间 感 觉 系 统 属 于 W o r d P r e s s 框 架 ， 然 后 尝 试 默 认 后 台 / w p - a d m i n / 能 否 访 问 。 后 台 为 默 认 后 台 ， 但 是 账 号 却 不 再 是 弱 口 令 ， 在 尝 试 了 大 量 的 弱 口 令 和 常 用 口 令 后 ， 都 未 成 功 ， 针 对 前 台 的 一 系 列 测 试 也 并 没 有 取 得 一 定 的 成 功 ， 测 试 到 这 一 时 陷 入 僵 局 。 既 然 暂 时 无 法 取 得 突 破 口 ， 也 不 能 放 弃 啊 ， 开 始 进 行 信 息 收 集 ， 扫 个 目 录 看 看 情 况 ， 是 否 有 什 么 敏 感 的 信 息 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
根 据 上 图 可 以 看 见 ， 目 录 下 的 信 息 还 是 蛮 多 的 ， 但 是 几 乎 都 是 W o r d P r e s s 默 认 自 带 的 文 件 ， 只 有 一 个 2 . p h p 文 件 看 着 比 较 特 殊 ， 但 是 访 问 无 任 何 有 效 信 息 ， 只 有 一 个 “ t e s t ” 单 词 。 看 见 有 R o b o t s . t x t 文 件 ， 相 信 很 多 在 做 渗 透 测 试 的 时 候 都 是 基 于 该 文 件 寻 找 敏 感 目 录 或 者 敏 感 文 件 的 ， 可 是 本 次 测 试 中 ， 该 文 件 并 没 有 提 供 到 有 效 的 目 录 或 者 文 件 信 息 ， 但 是 却 给 予 了 管 理 员 信 息 ， 导 致 尝 试 登 陆 后 台 的 过 程 中 进 入 后 台 。
未 查 看 到 有 任 何 的 敏 感 信 息 ， 后 台 地 址 前 面 已 经 知 道 了 ， 但 是 上 面 有 一 句 ： 根 据 现 实 ， 这 个 r o b o t s . t x t 文 件 是 z h a n g c h a o 生 成 的 ， 最 开 始 的 时 候 并 没 有 注 意 到 这 里 ， 毕 竟 这 种 r o b o t s . t x t 要 么 是 程 序 自 带 的 ， 要 么 是 别 的 地 方 复 制 过 来 的 ， 要 么 就 是 工 具 生 成 的 ， 所 以 按 照 常 识 这 里 的 这 个 z h a n g c h a o 就 是 管 理 员 的 概 率 不 大 ， 所 以 这 里 怎 么 利 用 的 后 面 进 行 说 明 。 根 据 已 经 发 布 的 文 章 显 示 ， 该 网 站 后 台 管 理 员 使 用 的 账 户 是 a d m i n ， 但 是 密 码 却 并 不 清 楚 ， 在 尝 试 了 大 量 密 码 后 ， 最 后 突 发 奇 想 开 始 围 绕 着 R o b o t s . t x t 文 件 里 的 z h a n g c h a o 这 个 名 字 进 行 构 造 密 码 ， 在 尝 试 了 z h a n g c h a o / z h a n g c h a o 1 2 3 / z h a n g c h a o + 年 份 等 等 一 系 列 操 作 后 ， 想 着 很 多 企 业 密 码 均 使 用 字 母 + @ + 年 份 样 式 的 密 码 组 合 ， 构 造 出 z h a n g c h a o @ 2 0 1 9 的 密 码 ， 尝 试 登 陆 ， 登 陆 成 功 ！ 浪 费 了 很 多 时 间 之 后 终 于 进 入 后 台 了 ， 但 是 发 现 该 后 台 和 上 一 篇 文 章 遇 到 的 情 况 一 样 ， 插 件 上 传 或 者 主 题 上 传 ， 或 者 编 辑 插 件 编 辑 主 题 编 辑 4 0 4 页 面 等 功 能 全 部 被 删 除 或 者 不 可 用 ， 并 且 以 前 遇 到 过 的 P o p u p   B u i l d e r 插 件 该 网 站 也 没 有 。 r o b o t s . t x t   g e n e r a t e d   a t   z h a n g c h a o  
正 常 的 W o r d P r e s s 文 件 在 “ 添 加 插 件 ” 旁 边 会 有 一 个 上 传 插 件 的 按 钮 ， 左 侧 “ 安 装 插 件 ” 的 下 方 应 该 有 个 更 新 插 件 的 按 钮 ， 但 是 这 里 都 没 有 按 钮 被 删 除 ， 功 能 不 可 用 。 基 于 前 面 的 经 验 ， 查 看 已 安 装 插 件 列 表 虽 然 没 有 了 P o p u p   B u i l d e r 插 件 ， 但 是 有 一 个 P h o t o   G a l l e r y 插 件 ， 版 本 为 1 . 5 . 3 4 。 对 照 着 系 统 安 装 的 软 件 名 及 版 本 在 本 地 下 载 搭 建 进 行 代 码 审 计 。 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 代 码 审 计 之 代 码 审 计 之 S Q L 注 入 注 入 W o r d P r e s s 的 P h o t o   G a l l e r 插 件 是 一 个 具 有 高 级 功 能 的 完 全 响 应 库 插 件 。 它 允 许 你 的 文 章 和 页 面 有 不 同 的 图 片 库 。 您 可 以 创 建 无 限 数 量 的 库 ， 将 它 们 组 合 成 相 册 ， 并 提 供 描 述 和 标 记 。 该 插 件 目 前 已 经 活 跃 安 装 3 0 万 + 。
注 意 该 插 件 版 本 最 新 版 本 是 1 . 5 . 5 6 ， 使 用 自 定 义 版 本 插 件 下 载 的 方 法 下 载 1 . 5 . 3 4 版 本 。 下 载 下 来 后 先 查 看 一 下 目 录 结 构 。
先 在 互 联 网 上 检 索 一 下 ， 该 插 件 是 否 存 在 漏 洞 ， 检 索 出 来 的 信 息 都 比 较 久 远 ， 或 者 就 是 低 于 当 前 版 本 ， 在 C V E 库 中 检 索 该 插 件 信 息 。
发 现 大 量 该 插 件 的 漏 洞 信 息 ， 检 索 和 本 次 相 关 的 版 本 ， 类 似 于 X S S 这 类 漏 洞 这 里 暂 时 不 考 虑 ， 最 后 定 位 到 一 个 编 号 为 C V E - 2 0 1 9 - 1 6 1 1 9 的 S Q L 注 入 漏 洞 。 点 击 查 看 详 情 ， 但 是 仅 有 一 个 文 件 什 么 参 数 可 能 存 在 问 题 ， 并 未 有 详 细 的 漏 洞 利 用 方 法 ， 所 以 只 能 根 据 提 示 去 进 行 代 码 审 计 。 根 据 提 示 ， 漏 洞 问 题 出 在 m i n / c o n t r o l l e r s / A l b u m s g a l l e r i e s . p h p 文 件 中 的 a l b u m _ i d 参 数 。 根 据 C V E 提 示 查 看 A l b u m s g a l l e r i e s . p h p 文 件 ， 该 文 件 是 一 个 A l b u m s g a l l e r i e s C o n t r o l l e r _ b w g 类 ， 包 含 a l b u m _ i d 字 段 的 只 有 d i s p l a y 方 法 。
根 据 上 图 可 以 看 到 该 方 法 使 用 W D W L i b r a r y 类 的 g e t 方 法 接 受 的 参 数 ， 并 且 如 果 不 存 在 给 默 认 值 为 0 ， 查 看 一 下 该 g e t 方 法 是 否 有 过 滤 参 数 。 可 以 看 到 如 果 G E T 参 数 存 在 就 直 接 取 值 ， 如 果 传 入 的 是 数 组 就 使 用 a r r a y _ w a l k _ r e c u r s i v e 函 数 进 行 回 调 函 数 处 理 ， 不 是 数 组 就 放 入 到 v a l i d a t a _ d a t a 方 法 进 行 过 滤 ， 看 看 该 函 数 。
使 用 s t r i p s l a s h e s 删 除 反 斜 杠 ， 根 据 变 量 追 踪 变 量 $ e s c _ h t m l 在 g e t 方 法 中 默 认 是 t r u e ， 所 以 这 里 的 i f 也 会 进 入 ， 将 变 量 $ v a l u e 是 要 e s c _ h t m l 函 数 进 行 处 理 ， W o r d P r e s s 的 e s c _ h t m l 函 数 是 将   <   >   &   "   ' （ 小 于 号 ， 大 于 号 ， & ， 双 引 号 ， 单 引 号 ） 编 码 ， 转 成 H T M L   实 体 ， 已 经 是 实 体 的 并 不 转 换 。 参 数 过 滤 函 数 看 完 了 ， 可 以 看 到 这 里 删 除 了 反 斜 杠 ， 将 小 于 号 ， 大 于 号 ， & ， 双 引 号 ， 单 引 号 等 符 号 给 转 为 H T M L 实 体 了 ， 下 面 接 着 追 踪 查 看 S Q L 语 句 拼 装 过 程 。 上 面 都 是 进 行 参 数 拼 装 ， 将 所 有 的 参 数 给 拼 装 到 $ p a r a m s 变 量 中 ， 跟 踪 g e t _ r o w s _ d a t a 方 法 查 看 。
根 据 上 图 可 以 看 出 来 这 里 的 S Q L 语 句 拼 装 的 ， 直 接 将 a l b u m _ i d 放 入 了 S Q L 语 句 进 行 执 行 ， 调 用 W o r d P r e s s 的 D B 进 行 数 据 库 查 询 。 也 就 是 说 如 果 我 们 不 使 用 前 面 过 滤 掉 的 特 殊 符 号 就 可 以 进 行 S Q L 注 入 。 基 本 的 漏 洞 点 应 该 已 经 存 在 了 ， 但 是 该 处 的 U R L 地 址 还 不 清 楚 ， 所 以 还 需 要 查 找 利 用 点 ， 查 看 如 何 访 问 这 个 文 件 的 ， 搜 索 该 文 件 类 名 A l b u m s g a l l e r i e s 。 进 入 查 看 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理