搜索

[21422] 2020-11-19_记一次从源代码泄漏到后台获取webshell的过程

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2020-11-19_记一次从源代码泄漏到后台获取webshell的过程 记 一 次 从 源 代 码 泄 漏 到 后 台 获 取 w e b s h e l l 的 过 程 L e m o n S e c   2 0 2 0 - 1 1 - 1 9 转 自 乌 雲 安 全 0 x 0 1   前 言 前 言 在 一 次 授 权 测 试 中 对 某 网 站 进 行 测 试 时 ， m a r r y 大 佬 发 现 了 一 个 网 站 的 备 份 文 件 ， 里 面 有 网 站 源 代 码 和 数 据 库 备 份 等 。 根 据 网 站 信 息 和 代 码 都 可 以 发 现 该 系 统 采 用 的 是 微 擎 c m s ， 利 用 数 据 库 备 份 中 的 用 户 信 息 解 密 后 可 以 登 录 系 统 ， 接 下 来 要 看 是 否 可 以 获 取 w e b s h e l l 。 0 x 0 2   W E B S H E L L 获 取 的 尝 试 获 取 的 尝 试 有 了 数 据 库 备 份 文 件 ， 然 后 找 一 下 是 否 有 用 户 的 信 息 ， 能 否 登 录 系 统 。 1 . 登 录 后 台 解 压 备 份 文 件 可 以 从 目 录 下 找 到 数 据 库 的 备 份 ， 从 中 找 到 了 用 户 表 。 知 道 了 用 户 名 、 加 密 后 的 密 码 和 s a l t ， 我 们 去 看 一 下 密 码 加 密 的 算 法 。 我 这 里 直 接 搜 索 ， 在 f o r g e t . c t r l . p h p 中 找 到 了 一 处 。 d a t a / b a c k u p i m s _ u s e r s p a s s w o r d
密 码 加 密 方 法 是 。 是 根 据 的 形 式 进 行 拼 接 ， 然 后 进 行 m d 5 加 密 。 a u t h k e y 在 文 件 中 。 现 在 s a l t 和 a u t h k e y 以 及 加 密 后 的 密 码 已 经 获 得 ， 开 始 去 解 密 密 码 是 多 少 。 这 里 我 们 将 $ p a s s w o r d   =   m d 5 ( $ p a s s w o r d   .   $ m e m b e r _ i n f o [ ' s a l t ' ]   .   $ _ W [ ' c o n f i g ' ] [ ' s e t t i n g ' ] [ ' a u t h k e y ' ] ) ; 原 密 码 + s a l t + a u t h k e y d a t a / c o n f i g . p h p s a l t
和 拼 接 为 新 的 ， 然 后 使 用 的 加 密 方 式 进 行 解 密 。 解 密 后 即 可 登 录 后 台 。 接 下 来 就 是 w e b s h e l l 的 获 取 了 。 本 以 为 都 已 经 是 管 理 员 了 ， 获 取 s h e l l 就 是 分 分 钟 的 事 ， 然 而 事 情 远 远 没 有 那 么 简 单 。 2 . 失 败 的 获 取 s h e l l 过 程 根 据 搜 索 发 现 ， 该 c m s 后 台 获 取 s h e l l 的 方 法 也 不 少 ， 主 要 还 是 围 绕 执 行 s q l 这 里 。 但 我 这 里 都 失 败 了 ， 就 简 单 的 提 一 下 。 第 一 种 方 法 ： 第 一 种 方 法 ： 站 点 管 理 - 附 件 设 置 - 图 片 附 件 设 置 - 支 持 文 件 后 缀 ， 任 意 添 加 一 个 类 型 ， 例 如 添 加 。 s a l t a u t h k e y s a l t m d 5 ( $ p a s s . $ s a l t ) p p p p p p
然 后 执 行 s q l 语 句 U P D A T E   i m s _ c o r e _ s e t t i n g s   S E T   v a l u e   =   r e p l a c e ( v a l u e ,   ' p p p p p p ' ,   ' p h p   ' ) 更 新 缓 存 ， 之 后 就 可 以 上 传 文 件 了 。 但 是 有 限 制 ， 适 用 于 a p a c h e 下 ， 而 且 版 本 有 限 制 。 目 标 站 不 使 用 该 方 法 的 原 因 有 二 ， 一 是 该 系 统 上 传 的 位 置 是 腾 讯 云 C O S 上 ， 二 是 s e r v e r 是 T e n g i n e 。 第 二 种 方 法 ： 第 二 种 方 法 ： 第 二 种 方 法 也 是 和 s q l 执 行 有 关 ， 利 用 日 志 文 件 写 s h e l l 。 s h o w   v a r i a b l e s   l i k e   ' % g e n e r a l % ' ;     # 查 看 配 置 s e t   g l o b a l   g e n e r a l _ l o g   =   o n ;     # 开 启 g e n e r a l   l o g 模 式 s e t   g l o b a l   g e n e r a l _ l o g _ f i l e   =   ' / v a r / w w w / h t m l / 1 . p h p ' ;       # 设 置 日 志 目 录 为 s h e l l 地 址 s e l e c t   ' < ? p h p   e v a l ( $ _ P O S T [ c m d ] ) ; ? > '     # 写 入 s h e l l 或 者 通 过 慢 查 询 （ s l o w _ q u e r y _ l o g ） 的 方 法 写 s h e l l 。 但 目 标 系 统 也 是 失 败 ， 执 行 s q l 的 时 候 报 错 。 还 有 一 些 其 他 的 方 法 ， 这 里 测 试 也 是 失 败 的 ， 就 不 再 列 举 了 。 0 x 0 3   代 码 审 计 代 码 审 计 病 急 乱 投 医 ， 熬 成 老 中 医 。 既 然 之 前 的 方 法 不 管 用 ， 只 好 去 翻 代 码 吧 ， 找 找 是 否 有 新 的 利 用 方 式 。 翻 出 之 前 的 一 个 文 档 ， 从 里 面 找 到 之 前 的 审 计 过 程 ， 看 能 否 对 现 在 有 用 。 结 果 打 开 发 现 只 有 一 个 数 据 包 和 还 有 一 句 未 实 现 的 结 论 。 没 办 法 ， 只 好 重 新 围 着 这 个 点 继 续 审 计 ， 看 是 否 能 有 所 进 展 。 1 . 分 析 打 开 文 件 " * . p h p   " w e b / s o u r c e / c l o u d / d o c k . c t r l . p h p
， 找 到 执 行 的 方 法 。 代 码 比 较 简 单 ， 我 大 概 说 一 下 这 里 的 流 程 ： 如 果 请 求 包 非 B a s e 6 4 加 密 的 格 式 ， 那 么 就 是 请 求 包 的 内 容 。 然 后 对 进 行 发 序 列 化 返 回 ， 接 下 来 获 取 并 B a s e 6 4 解 密 返 回 。 当 存 在 和 这 两 个 函 数 时 ， 就 会 利 用 函 数 对 w e b / s o u r c e / c l o u d / d o c k . c t r l . p h p d o w n l o a d $ d a t a $ d a t a $ r e t $ r e t [ ' f i l e ' ] $ f i l e g z c o m p r e s s g z u n c o m p r e s s g z u n c o m p r e s s $ f i l e
进 行 解 压 操 作 。 将 获 取 的 进 行 m d 5 加 密 后 ， 与 以 及 获 取 的 进 行 拼 接 为 。 当 满 足 非 空 并 且 m d 5 加 密 后 的 结 果 与 一 致 时 ， 才 可 以 进 行 下 面 的 操 作 。 下 面 就 是 文 件 的 写 入 了 ， 根 据 进 行 判 断 ， 然 后 写 入 的 位 置 不 一 样 。 这 里 关 键 的 一 点 就 是 这 个 值 的 获 取 。 这 个 是 利 用 a u t h c o d e 函 数 对 进 行 解 密 获 取 的 。 函 数 位 于 文 件 中 。 $ f i l e $ f i l e $ r e t [ ' p a t h ' ] $ _ W [ ' s e t t i n g ' ] [ ' s i t e ' ] [ ' t o k e n ' ] $ s t r i n g $ _ W [ ' s e t t i n g ' ] [ ' s i t e ' ] [ ' t o k e n ' ] $ s t r i n g $ r e t [ ' s i g n ' ] $ r e t [ ' p a t h ' ] $ _ W [ ' s e t t i n g ' ] [ ' s i t e ' ] [ ' t o k e n ' ] c a c h e _ l o a d ( c a c h e _ s y s t e m _ k e y ( ' c l o u d _ t r a n s t o k e n ' ) ) a u t h c o d e f r a m e w o r k / f u n c t i o n / g l o b a l . f u n c . p h p
由 上 面 代 码 可 以 看 出 ， 要 想 使 用 加 解 密 ， 需 要 知 道 ， 在 上 面 提 到 过 ， a u t h k e y 在 文 件 中 。 那 么 如 果 想 任 意 写 文 件 ， 就 需 要 知 道 的 内 容 了 。 2 . c l o u d _ t r a n s t o k e n 的 获 取 通 过 搜 索 发 现 ， 这 个 值 是 在 文 件 中 的 函 数 中 被 写 入 的 ， 通 过 进 入 方 法 ， 发 现 会 写 入 数 据 库 中 。 a u t h c o d e $ G L O B A L S [ ' _ W ' ] [ ' c o n f i g ' ] [ ' s e t t i n g ' ] [ ' a u t h k e y ' ] d a t a / c o n f i g . p h p c a c h e _ s y s t e m _ k e y ( ' c l o u d _ t r a n s t o k e n ' ) f r a m e w o r k / m o d e l / c l o u d . m o d . p h p c l o u d _ b u i l d _ t r a n s t o k e n c a c h e _ w r i t e
既 然 会 写 入 到 数 据 库 中 ， 而 且 目 标 系 统 下 载 到 时 候 有 数 据 库 的 备 份 文 件 ， 我 们 直 接 在 数 据 库 备 份 文 件 中 搜 索 。 结 果 并 没 有 找 到 ， 可 能 原 因 是 没 有 写 入 的 时 候 就 进 行 了 数 据 库 备 份 。 我 们 往 上 回 溯 ， 看 哪 里 调 用 了 。 发 现 了 其 中 的 一 条 利 用 链 ： c l o u d _ t r a n s t o k e n c l o u d _ t r a n s t o k e n c l o u d _ b u i l d _ t r a n s t o k e n
当 访 问 h t t p : / / i p : p o r t / w e b / i n d e x . p h p ? c = c l o u d & a = p r o f i l e   时 ， 就 会 判 断 站 点 I D 和 通 信 密 钥 是 否 为 空 （ 即 站 点 是 否 注 册 ） ， 如 果 站 点 注 册 了 ， 就 会 调 用 函 数 获 取 站 点 信 息 。 函 数 调 用 了 ， 这 里 的 m e t h o d 为 ， 所 以 继 续 调 用 从 会 而 将 的 内 容 写 入 数 据 库 。 然 后 通 过 数 据 库 备 份 的 功 能 ， 就 可 以 看 到 数 据 库 中 保 存 的 ， 进 而 可 以 利 用 之 前 的 分 析 写 s h e l l 。 3 . 自 定 义 数 据 库 备 份 c l o u d _ s i t e _ i n f o ( ) c l o u d _ s i t e _ i n f o ( ) c l o u d _ a p i ( ' s i t e / i n f o ' ) s i t e / i n f o c l o u d _ b u i l d _ t r a n s t o k e n c l o u d _ t r a n s t o k e n c l o u d _ t r a n s t o k e n
由 于 数 据 库 备 份 需 要 关 闭 站 点 ， 为 了 不 影 响 目 标 站 点 的 使 用 ， 这 里 我 们 搭 建 一 个 环 境 演 示 一 下 过 程 （ 需 要 注 册 站 点 ） 。 登 录 成 功 后 更 新 缓 存 ， 然 后 访 问 h t t p : / / i p : p o r t / w e b / i n d e x . p h p ? c = c l o u d & a = p r o f i l e   ， 关 闭 站 点 后 进 行 数 据 库 备 份 。 发 现 可 以 获 取 ， 但 是 数 据 库 目 录 和 文 件 的 名 字 是 随 机 的 。 而 且 如 果 备 份 文 件 里 面 的 数 据 库 文 件 不 是 最 新 的 ， 那 么 即 使 获 取 到 也 无 法 利 用 ， 我 们 需 要 最 新 的 备 份 文 件 。 然 后 我 们 看 一 下 数 据 库 备 份 是 怎 么 实 现 的 ， 打 开 。 c l o u d _ t r a n s t o k e n c l o u d _ t r a n s t o k e n w e b / s o u r c e / s y s t e m / d a t a b a s e . c t r l . p h p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理