搜索

[28907] 2021-05-02_面向初学者的简单远程执行代码漏洞示例

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-05-02_面向初学者的简单远程执行代码漏洞示例 面 向 初 学 者 的 简 单 远 程 执 行 代 码 漏 洞 示 例 O t s 安 全   2 0 2 1 - 0 5 - 0 2 收 录 于 话 题 # 渗 透 测 试   , 6 # 远 程 代 码 执 行   , 1 尤 其 是 当 我 与 新 手 安 全 研 究 人 员 / 漏 洞 赏 金 猎 人 交 谈 时 ， 他 们 总 是 让 我 觉 得 自 己   不 觉 得 自 己 能 够 发 现 远 程 执 行 代 码 漏 洞 ， 因 为 它 们 非 常 复 杂 。 由 于 这 种 误 解 ， 这 些 人 实 际 上 并 没 有 试 图 找 到 他 们 中 的 任 何 一 个 ， 也 没 有 在 一 段 时 间 后 停 止 寻 找 。 我 认 为 ， 可 能 背 后 的 原 因 是 大 多 数 示 例 / 文 字 实 际 上 都 是 非 常 复 杂 的 错 误 ， 导 致 R C E 来 自 多 个 不 同 的 根 本 原 因 ， 并 且 相 互 关 联 。 尽 管 这 些 精 心 编 写 的 文 章 和 新 的 剥 削 方 式 给 我 留 下 了 深 刻 的 印 象 ， 但 我 在 狩 猎 时 仍 然 继 续 寻 找 简 单 的 方 法 。 因 此 ， 我 决 定 分 享 一 些 在 S y n a c k 上 找 到 的 真 实 示 例 目 标 有 一 段 时 间 了 ， 实 际 上 是 低 落 的 果 实 ， 任 何 人 都 可 以 发 现 / 利 用 。 实 际 上 ， 只 有 几 个 不 同 的 技 巧 可 以 利 用 一 个 漏 洞 ， 而 该 漏 洞 一 开 始 似 乎 无 法 利 用 。 # E x a m p l e   1   — 不 受 限 制 的 文 件 上 传 不 受 限 制 的 文 件 上 传 1 在 我 正 在 寻 找 的 主 机 系 统 上 ， 我 / s u p p o r t / 在 模 糊 目 录 内 的 目 录 下 找 到 了 一 个 登 录 页 面 。 在 该 登 录 页 面 上 加 载 的 j a v a s c r i p t 文 件 的 帮 助 下 ， 我 列 举 了 一 些 登 录 后 终 结 点 ， 并 且 在 直 接 访 问 该 终 结 点 的 范 围 内 ， 我 发 现 某 些 管 理 员 页 面 无 需 登 录 即 可 访 问 。 其 中 之 一 包 括 上 载 文 件 页 面 ， 该 页 面 也 允 许 a s p 文 件 扩 展 名 。 听 起 来 真 的 很 容 易 吧 ？ 好 吧 ， 在 上 传 之 后 ， 我 试 图 在 模 糊 测 试 中 以 及 从 j a v a s c r i p t 文 件 中 枚 举 文 件 的 上 传 目 录 ， 但 这 是 不 可 能 的 。 之 后 ， 我 尝 试 将 文 件 上 载 到 尝 试 遍 历 文 件 名 的 漏 洞 中 的 上 层 目 录 ， 并 且 该 方 法 有 效 。 上 载 上 载 . . / 攻 击 的 攻 击 的 w e b s h e l l 文 件 文 件 我 使 用 B u r p   S u i t e 的 “   F u z z i n g - P a t h   T r a v e r s a l ” 字 典 进 行 了 轻 松 ， 自 动 的 攻 击 ， 以 发 现 漏 洞 。 但 是 请 注 意 ， 尽 管 它 在 文 件 收 集 上 没 有 任 何 问 题 ， 但 在 文 件 创 建 / 更 新 / 删 除 功 能 上 可 能 会 出 现 问 题 ， 因 为 所 有 有 效 负 载 都 会 在 服 务 器 上 创 建 一 个 新 文 件 。
B u r p 有 效 负 载 中 的 路 径 遍 历 模 糊 列 表 从 有 效 负 载 处 理 - > 匹 配 / 替 换 规 则 配 置 文 件 名
之 后 从 根 目 录 访 问 S h e l l # E x a m p l e   2 — 不 受 限 制 的 文 件 上 传 不 受 限 制 的 文 件 上 传 2 在 我 正 在 测 试 的 网 络 系 统 上 ， 我 在 G o o g l e   D o r k s 的 帮 助 下 （ 例 如 s e a r c h ） 找 到 了 一 个 根 本 不 在 W e b 应 用 程 序 站 点 地 图 或 U I 上 的 W e b 表 单 s i t e : d o m a i n . c o m   e x t : a s p x 。 该 网 络 表 单 还 具 有 文 件 上 传 部 分 ， 该 部 分 允 许 上 传 a s p 扩 展 名 。 将 A S P   S h e l l 上 载 到 服 务 器 在 这 个 时 候 ， 挑 战 也 在 于 查 找 上 载 目 录 。 不 管 我 做 什 么 ， 我 都 无 法 枚 举 上 载 目 录 ， 也 没 有 发 现 任 何 与 第 一 个 示 例 一 样 的 诸 如 目 录 遍 历 之 类 的 漏 洞 。 之 后 ， 我 回 到 了 要 填 写 的 W e b 表 单 。 那 是 我 不 记 得 的 东 西 的 申 请 表 。 我 填 写 了 巨 大 的 表 格 并 将 其 发 送 。 几 分 钟 后 ， 我 从 W e b 应 用 程 序 收 到 有 关 我 的 应 用 程 序 的 电 子 邮 件 。 该 电 子 邮 件 包 含 我 填 写 到 表 单 中 的 所 有 信 息 ， 包 括 指 向 我 在 同 一 应 用 程 序 范 围 内 的 上 载 文 档 的 链 接 。 单 击 该 链 接 将 返 回 与 第 一 个 示 例 相 同 的 W e b s h e l l ， 以 及 从 平 台 获 得 的 大 约 3 k 的 付 款 。 当 我 提 交 该 漏 洞 时 ， T a r g e t 存 活 了 2 天 ， 该 漏 洞 已 经 通 过 了 2 4 小 时 规 则 ， 但 尚 未 有 人 报 告 。 # E x a m p l e   3   — 已 知 的 已 知 的 R C E 开 发 开 发
在 主 机 测 试 中 ， 我 发 现 一 个 在 范 围 内 I P 地 址 上 运 行 的 S u g a r C R M 应 用 程 序 版 本 。 在 该 软 件 的 收 集 版 本 中 ， 并 在 G o o g l e 上 搜 索 P H P C o d e   E x e c u t i o n 漏 洞 ， 即 使 在 M e t a s p l o i t 模 块 中 ， 我 也 很 容 易 检 测 到 该 版 本 容 易 受 到 漏 洞 的 攻 击 ！ 简 单 一 点 ， 对 不 对 ？ 为 易 受 攻 击 的 主 机 运 行 m s f 模 块 好 吧 ， 当 攻 击 完 成 时 ， 没 有 创 建 会 话 。 我 尝 试 使 用 与 框 架 不 同 的 m s f 有 效 负 载 ， 但 它 们 均 无 效 ， 可 能 是 防 火 墙 阻 止 了 绑 定 / 反 向 s h e l l 的 传 入 和 传 出 请 求 。 之 后 ， 我 打 开 了 漏 洞 利 用 代 码 并 从 此 处 进 行 了 分 析 。 漏 洞 利 用 代 码 是 在 / c u s t o m / 目 录 下 创 建 一 个 随 机 的 命 名 文 件 ， 然 后 ， 从 该 已 创 建 的 p h p 文 件 中 创 建 到 提 供 的 I P 地 址 的 反 向 外 壳 。 当 我 直 接 访 问 上 面 通 过 利 用 尝 试 创 建 的 文 件 （ 在 图 片 中 ， 您 可 以 将 其 显 示 为 / c u s t o m / s v b G h t x S . p h p ） 时 ， 它 返 回 空 响 应 ， 这 意 味 着 该 文 件 实 际 上 已 创 建 并 且 可 以 利 用 。 之 后 ， 在 下 面 的 代 码 中 ， 我 注 意 到 一 个 特 殊 的 p a y l o a d 头 文 件 从 此 文 件 发 送 到 服 务 器 ， 以 通 过 此 代 码 进 行 b a s e 6 4 编 码 的 完 全 利 用 ： 利 用 漏 洞 代 码 的 第 二 步 因 此 ， 我 将 有 效 负 载 编 码 @ s y s t e m ( w h o a m i ) ; 为 ： 来 自 p h p 的 系 统 命 令 ， 用 于 运 行 O S 命 令 。 w h o a m i   o s 命 令 ， 用 于 返 回 结 果 。
手 动 对 有 效 负 载 进 行 b a s e 6 4 解 码 请 求 由 M e t a s p l o i t 创 建 的 文 件 （ 带 有 p a y l o a d 下 图 创 建 的 标 头 ） 将 返 回 w h o a m i 命 令 的 输 出 ， 以 及 大 约 3 k 的 支 出 。 W h o a m i 命 令 输 出 当 我 尝 试 删 除 创 建 的 W e b s h e l l 进 行 清 理 时 ， 我 发 现 了 其 他 不 是 我 创 建 的 W e b s h e l l （ 是 从 文 件 名 和 创 建 日 期 时 间 中 找 出 来 的 ） ， 这 意 味 着 还 发 现 了 其 他 研 究 人 员 。 这 个 漏 洞 ， 但 是 没 有 被 利 用 ， 因 为 M e t a s p l o i t 模 块 不 能 完 全 正 常 工 作 ， 并 且 他 们 没 有 阅 读 该 利 用 的 源 代 码 。 在 目 标 激 活 一 天 后 且 未 在 2 4 小 时 规 则 范 围 内 发 现 漏 洞 ， 这 意 味 着 我 没 有 重 复 任 何 其 他 研 究 人 员 。 # E x a m p l e   4   — 应 用 程 序 级 别 命 令 注 入 应 用 程 序 级 别 命 令 注 入 这 个 例 子 比 其 他 例 子 要 复 杂 一 些 ， 但 是 由 于 开 发 技 术 不 同 ， 所 以 仍 然 想 添 加 到 这 篇 文 章 中 。 在 经 过 身 份 验 证 的 W e b 应 用 程 序 测 试 中 ， 存 在 用 于 将 自 定 义 表 达 式 添 加 到 用 户 创 建 的 案 例 的 功 能 。 例 如 ， 如 果 案 件 与 付 款 有 关 ， 则 可 以 f i r s t A m o u n t   —   l a s t A m o u n t 根 据 需 要 返 回 案 件 输 出 的 。 对 于 此 表 达 式 ， 使 用 了 自 定 义 创 建 的 函 数 ， 例 如 a d d D a t e 和 d i f f D a t e 函 数 ：
表 达 式 创 建 页 面 由 于 扩 展 名 是 . d o ， 所 以 底 层 技 术 是 J a v a ， 我 认 为 也 许 在 输 入 脚 本 阶 段 ， 它 们 还 允 许 J a v a 功 能 以 及 自 定 义 创 建 的 功 能 ？ 将 J a v a 代 码 注 入 自 定 义 表 达 式 我 将 J a v a 一 线 式 附 加 n e w   j a v a . i o . D a t a I n p u t S t r e a m ( j a v a . l a n g . R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " w h o a m i " ) . g e t I n p u t S t r e a m ( ) ) . r e a d L i n e ( ) 到 自 定 义 创 建 的 a d d M e s s a g e 函 数 下 ， 以 使 我 返 回 到 代 码 的 输 出 ， 并 保 存 了 表 达 式 。 从 另 一 个 页 面 触 发 它 后 ， 我 得 到 的 输 出 为 ：
在 恶 意 表 达 式 中 创 建 的 案 例 从 J a v a 代 码 返 回 了 “   n t 权 限 / 系 统 ” 其 中 返 回 了 成 功 的 纯 J a v a 代 码 注 入 。 经 过 一 番 研 究 ， 我 发 现 该 应 用 程 序 的 另 一 个 功 能 存 在 类 似 漏 洞 ， 总 共 给 我 带 来 了 约 6 0 0 0 赏 金 。 最 后 的 话 最 后 的 话 我 希 望 这 篇 文 章 能 激 发 并 鼓 励 特 别 是 菜 鸟 研 究 人 员 寻 找 复 杂 和 简 单 的 命 令 执 行 漏 洞 。 正 如 我 在 演 讲 ， 演 讲 和 帖 子 中 经 常 说 的 那 样 ； 您 所 需 要 的 只 是 一 个 简 单 的 错 误 。 参 考 ： 参 考 ： h t t p s : / / o w a s p . o r g / w w w - c o m m u n i t y / a t t a c k s / C o m m a n d _ I n j e c t i o n 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理