搜索

[12676] 2018-05-07_记录一次利用业务设计漏洞的精彩实战测试

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2018-05-07_记录一次利用业务设计漏洞的精彩实战测试 记 录 一 次 利 用 业 务 设 计 漏 洞 的 精 彩 实 战 测 试 K a 1 i e r   F r e e B u f   2 0 1 8 - 0 5 - 0 7 前 言 前 言 上 次 的 那 篇 文 章 《 上 次 的 那 篇 文 章 《 一 名 代 码 审 计 新 手 的 实 战 经 历 与 感 悟 一 名 代 码 审 计 新 手 的 实 战 经 历 与 感 悟 》 得 到 了 不 少 读 者 的 支 持 ， 也 得 到 了 》 得 到 了 不 少 读 者 的 支 持 ， 也 得 到 了 F r e e B u f 这 个 平 台 这 个 平 台 的 肯 定 ， 这 给 了 我 这 个 菜 的 不 能 再 菜 的 小 菜 鸟 很 大 的 信 心 。 但 是 ， 不 足 之 处 还 是 很 多 ， 比 如 文 章 中 出 现 的 技 术 的 肯 定 ， 这 给 了 我 这 个 菜 的 不 能 再 菜 的 小 菜 鸟 很 大 的 信 心 。 但 是 ， 不 足 之 处 还 是 很 多 ， 比 如 文 章 中 出 现 的 技 术 写 得 不 够 深 入 等 等 （ 这 毕 竟 和 个 人 实 力 挂 钩 的 ） 因 此 ， 我 决 定 尽 我 所 能 ， 尽 量 的 写 深 入 一 点 ， 每 次 写 文 章 都 深 写 得 不 够 深 入 等 等 （ 这 毕 竟 和 个 人 实 力 挂 钩 的 ） 因 此 ， 我 决 定 尽 我 所 能 ， 尽 量 的 写 深 入 一 点 ， 每 次 写 文 章 都 深 入 一 点 ， 总 有 一 天 会 深 到 很 深 的 点 。 入 一 点 ， 总 有 一 天 会 深 到 很 深 的 点 。 本 篇 文 章 主 要 讲 述 我 在 z z c m s 8 . 2 中 挖 掘 到 的 漏 洞 ， f r e e b u f 上 已 经 有 大 佬 写 了 这 个 c m s 的 代 码 审 计 ， 当 然 ， 其 他 的 平 台 也 有 人 写 了 。 所 以 ， 我 既 然 写 了 ， 那 么 肯 定 是 与 他 们 的 文 章 有 所 不 同 ， 漏 洞 也 不 同 ， 攻 击 方 法 也 不 同 ， 让 读 者 读 有 所 获 。 （ 新 手 可 以 考 虑 认 真 看 看 ， 后 半 部 分 有 对 于 新 手 来 说 非 常 精 彩 的 攻 击 演 示 ） 漏 洞 集 合 漏 洞 集 合 目 录 跳 转 读 取 敏 感 信 息 目 录 跳 转 读 取 敏 感 信 息 在 z z c m s 8 . 2 / b a o j i a / b a o j i a . p h p 的 第 四 行 ， 引 用 了 z z c m s 8 . 2 / i n c / t o p . p h p 这 个 文 件 ， 如 图 ： 我 当 时 追 踪 了 一 下 这 个 文 件 ， 发 现 这 个 文 件 在 引 用 的 时 候 ， 首 先 就 进 行 了 i f 逻 辑 判 断 ， 而 i f 逻 辑 判 断 中 ， 又 有 可 控 变 量 。 因 此 ， 我 当 时 咋 一 看 的 时 候 ， 就 很 怀 疑 这 里 ， 感 觉 这 里 总 可 能 存 在 一 些 问 题 。 如 图 ：
于 是 ， 我 就 打 开 网 页 看 了 一 下 ， 顺 便 抓 个 包 瞧 瞧 。 结 果 一 看 ， 哎 ， 有 点 意 思 ， 代 码 是 如 果 接 受 p o s t 请 求 ， 那 么 就 执 行 跳 转 操 作 。 而 我 们 主 动 发 送 的 请 求 是 g e t ， 那 就 说 明 这 个 漏 洞 黑 盒 是 百 分 之 八 九 十 测 不 出 来 的 。 黑 盒 又 不 知 道 这 里 居 然 还 可 能 有 p o s t 请 求 ， 就 算 测 试 p o s t 请 求 ， 也 不 知 道 参 数 是 什 么 ， 因 为 前 端 压 根 没 有 这 里 的 参 数 。 在 我 的 上 一 篇 文 章 中 ， 我 也 有 个 感 觉 黑 盒 测 不 出 来 的 漏 洞 ， 但 是 评 论 区 大 佬 有 人 留 言 说 黑 盒 能 测 出 来 ， 我 仔 细 想 了 想 ， 的 确 也 有 可 能 ， 因 为 当 时 那 个 漏 洞 前 端 能 找 到 参 数 。 可 是 ， 这 里 就 不 一 样 了 ， 无 法 猜 测 。 莫 名 其 妙 的 我 就 对 白 盒 有 了 点 小 自 豪 ， 哈 哈 。 回 归 主 题 ， 既 然 服 务 器 端 接 收 p o s t 请 求 ， 那 么 我 就 将 g e t 请 求 包 利 用 b u r p s u i t e 改 造 成 p o s t 请 求 包 。 将 g e t 请 求 包 的 数 据 格 式 以 及 内 容 改 成 p o s t 之 后 ， 我 先 尝 试 了 构 造 x s s ， 但 是 经 过 几 次 尝 试 ， 发 现 < ” > 被 h t m l 编 码 ， 单 引 号 被 转 义 。 这 就 很 尴 尬 了 。
于 是 转 换 思 路 ， 既 然 是 跳 转 ， 那 么 能 不 能 跳 转 到 敏 感 文 件 ？ 或 者 跳 转 到 远 程 文 件 呢 ？ 如 果 要 按 跳 转 思 路 ， 那 么 必 须 要 进 行 截 断 。 而 在 目 录 跳 转 中 ， 问 号 伪 截 断 比 较 通 用 ， 不 受 版 本 限 制 。 如 图 ， 我 构 造 了 这 样 的 p o s t 请 求 包 ： 由 于 进 行 了 伪 截 断 ， 所 以 我 这 里 执 行 的 跳 转 就 是 跳 转 到 服 务 器 根 目 录 ， 读 取 我 本 地 的 服 务 器 根 目 录 敏 感 信 息 ： 我 不 清 楚 真 实 的 网 站 根 目 录 下 是 否 也 会 存 在 这 样 的 漏 洞 ， 但 是 ， 如 果 存 在 ， 那 么 危 害 还 是 挺 大 的 。 比 如 ， 目 标 网 站 有 c d n ， 但 是 你 根 据 这 个 漏 洞 就 可 直 接 发 现 目 标 网 站 的 真 实 I P ， 在 本 地 进 行 域 名 和 I P 绑 定 后 ， 就 可 以 直 接 绕 过 c d n 。 逻 辑 漏 洞 导 致 个 人 敏 感 信 息 泄 漏 逻 辑 漏 洞 导 致 个 人 敏 感 信 息 泄 漏
在 z z c m s 8 . 2 / b a o j i a / b a o j i a a d d . p h p 的 1 8 3 - 2 1 3 行 中 ， 如 果 在 用 户 的 c o o k i e 中 获 取 到 用 户 名 ， 那 么 将 会 提 取 出 该 用 户 名 的 个 人 信 息 ， 回 显 到 浏 览 器 页 面 。 比 如 公 司 名 （ 这 个 感 觉 不 重 要 ） ， 真 实 姓 名 ， 手 机 号 码 ， e m a i 。 后 面 这 三 个 信 息 我 个 人 感 觉 是 很 重 要 的 。 会 利 用 的 人 能 利 用 出 各 种 花 样 ， 这 里 我 们 只 交 流 技 术 ， 不 谈 那 些 非 法 利 用 ， 因 此 这 里 如 何 利 用 这 些 信 息 我 就 不 写 了 。 下 图 是 我 回 显 出 的 测 试 信 息 ： 漏 洞 复 现 的 方 法 非 常 简 单 ， 只 要 你 设 置 C O O K I E 的 U s e r N a m e 为 数 据 库 中 真 实 存 在 的 用 户 名 ， 那 么 就 会 得 到 该 用 户 的 这 些 信 息 。 下 图 ， 浏 览 器 中 的 c o o k i e 信 息 下 图 ， 该 王 二 狗 用 户 在 我 的 数 据 库 中 真 实 存 在 ： 为 了 更 加 严 谨 一 点 的 证 明 这 个 漏 洞 ， 我 又 注 册 了 一 个 t e s t 2 用 户 ， 并 且 注 销 了 t e s t 2 用 户 的 登 录 。 然 后 ， 构 造 请 求 包 ：
成 功 获 得 t e s t 2 用 户 的 敏 感 信 息 ： 前 提 是 我 数 据 库 中 存 在 注 册 过 的 t e s t 2 用 户 ： 设 计 缺 陷 漏 洞 设 计 缺 陷 漏 洞 + C S R F = 累 死 管 理 员 并 且 让 网 站 业 务 无 法 正 常 运 行 ！ （ 前 方 高 能 ） 累 死 管 理 员 并 且 让 网 站 业 务 无 法 正 常 运 行 ！ （ 前 方 高 能 ） 唉 ， 本 来 是 挖 漏 洞 的 ， 结 果 边 挖 漏 洞 ， 边 给 人 改 B U G 。 。 。 这 里 插 入 的 字 段 数 据 库 中 根 本 没 有 ， 导 致 发 布 功 能 压 根 无 法 实 现 ， 原 因 就 是 c l a s s i d ， 被 错 写 成 了 c l a s s z m 。 。 。 想 挖 这 的 漏 洞 ， 还 得 给 他 先 改 好 B U G 。 。 。 帮 助 这 个 c m s 实 现 功 能 ， 我 才 好 测 试 功 能 是 否 有 漏 洞 利 用 。 。 。 所 以 ， 我 个 人 是 不 建 议 新 手 费 劲 心 思 来 挖 这 套 c m s ， 因 为 还 有 其 他 地 方 的 功 能 存 在 错 误 ， 比 如 点 击 目 录 跳 转 的 链 接 会 显 示 “ 该 文 件 不 存 在 ” ， 原 因 是 程 序 员 的 跳 转 路 径 写 错 了 。 。 又 比 如 验 证 码 压 根 不 显 示 ， 为 了 方 便 测 试 ， 我 只 能 注 释 掉 检 验 验 证 码 是 否 正 确 的 代 码 。 。 所 以 ， 对 于 这 套 c m s ， 新 手 随 便 挖 几 个 洞 就 可 以 了 ， 代 码 能 力 不 强 的 要 想 练 习 改 B U G
技 能 ， 可 以 认 真 对 待 这 套 C M S 。 言 归 正 传 ， 在 对 b a o j i a a d d . p h p 的 测 试 中 ， 我 发 现 同 一 用 户 可 以 反 复 的 发 布 报 价 信 息 ， 虽 然 发 布 报 价 信 息 需 要 得 到 管 理 员 的 审 核 ， 但 是 并 没 有 对 发 布 报 价 信 息 的 用 户 做 出 数 量 限 制 或 者 其 他 的 限 制 （ 普 通 验 证 码 在 一 些 大 佬 眼 中 可 以 直 接 利 用 机 器 学 习 识 别 的 ， 我 这 里 由 于 验 证 码 的 功 能 并 没 有 实 现 ， 所 以 我 就 直 接 后 台 注 释 了 验 证 码 ， 在 此 前 提 下 ， 有 了 后 面 的 攻 击 实 验 ） ， 那 么 这 就 给 “ 调 皮 ” 的 用 户 留 下 可 乘 之 机 。 比 如 ， 我 大 量 的 发 送 具 有 迷 惑 性 质 的 报 价 信 息 ， 让 这 些 信 息 存 入 数 据 库 ， 并 且 让 读 取 这 些 信 息 的 审 核 人 员 无 法 分 辨 是 否 是 真 实 用 户 ， 那 么 这 个 漏 洞 就 完 全 可 以 严 重 影 响 该 网 站 的 业 务 。 所 以 ， 我 给 这 个 漏 洞 的 评 价 是 “ 高 危 ” 漏 洞 出 现 的 文 件 在 z z c m s 8 . 2 / b a o j i a / b a o j i a a d d . p h p 中 的 1 8 3 - 2 4 2 行 以 及 2 7 4 - 3 1 3 行 。 我 图 片 中 没 截 取 到 的 代 码 部 分 ， 是 我 觉 得 不 影 响 理 解 漏 洞 ， 利 用 漏 洞 ， 所 以 就 没 截 取 。 上 面 两 幅 图 实 际 上 是 我 说 的 第 二 个 漏 洞 ， 逻 辑 漏 洞 ， 但 是 当 时 只 能 读 取 用 户 私 人 敏 感 信 息 ， 在 这 里 ， 因 为 我 写 的 e x p 顺 便 就 读 取 了 个 人 敏 感 信 息 ， 需 要 用 到 那 个 逻 辑 漏 洞 的 判 断 逻 辑 ， 所 以 我 就 截 取 了 ， 方 便 大 家 阅 读 。 而 且 之 所 以 用 到 这 个 漏 洞 ， 是 因 为 正 规 网 站 不 会 让 游 客 发 帖 ， 而 这 里 貌 似 是 可 以 的 （ 我 没 刻 意 去 追 踪 不 伪 造 c o o k i e 能 否 发 帖 的 文 件 ， 感
兴 趣 的 读 者 可 以 自 己 尝 试 ） ， 为 了 保 险 起 见 ， 我 就 当 作 伪 造 c o o k i e 才 能 发 帖 。 下 面 两 幅 图 是 服 务 器 端 的 处 理 逻 辑 最 后 ， 附 上 我 写 的 伪 造 数 据 包 之 “ 洪 水 攻 击 ” e x p 脚 本 ， 第 一 次 写 e x p ， 写 得 不 好 多 多 见 谅 ！ 功 能 就 是 根 据 我 们 想 伪 造 数 据 包 的 个 数 ， 进 行 个 人 信 息 伪 造 ， 同 时 打 印 返 回 包 （ 返 回 包 中 能 看 到 逻 辑 漏 洞 中 的 敏 感 信 息 ， 我 没 写 正 则 ， 所 以 读 者 可 以 自 己 改 造 ） e x p 脚 本 ：
（ 阅 读 原 文 查 看 更 方 便 ） 简 单 说 明 一 下 ， 我 写 的 这 个 e x p 只 是 雏 形 ， 如 果 你 想 伪 造 的 更 像 ， 更 难 以 排 查 ， 更 难 以 被 审 核 人 员 过 滤 ， 那 么 我 脚 本 中 的 那 些 变 量 ， l i s t ， 你 可 以 加 以 改 造 ， 增 加 他 们 的 数 量 以 及 不 同 的 值 ， 利 用 暴 力 破 解 的 思 路 组 合 成 新 的 个 人 信 息 ， 就 像 生 成 新 的 字 典 那 样 。 另 外 ， 由 于 我 这 个 是 边 测 试 边 编 写 的 ， 因 此 里 面 有 不 少 的 注 释 以 及 我 注 释 掉 的 测 试 代 码 。 。 。 大 家 将 就 着 看 吧 。 。 e x p 脚 本 攻 击 演 示 ：
输 入 数 字 后 ， 就 会 一 直 发 送 数 据 包 ， 直 到 发 送 5 个 为 止 ， 会 出 现 提 示 结 束 的 信 息 。 这 里 可 以 在 返 回 的 h t m l 代 码 中 找 到 逻 辑 漏 洞 的 敏 感 信 息 ， 用 正 则 能 匹 配 出 来 ， 我 脚 本 中 没 写 。 。 。 懒 了 。 。 。 感 兴 趣 自 己 写 吧 。 为 了 证 明 我 们 的 攻 击 是 有 效 的 ， 我 下 面 提 供 我 的 数 据 库 截 图 ： 像 这 里 的 用 户 信 息 ， 都 可 以 通 过 改 造 我 的 e x p 或 者 读 者 自 己 写 e x p 来 实 现 。 注 意 看 我 这 里 伪 造 的 地 址 ， 电 话 ， 邮 箱 ， 是 不 是 很 真 实 ？ 其 他 的 值 也 都 可 以 做 到 这 种 地 步 ， 我 这 个 e x p 只 是 提 供 思 路 ， 进 行 简 单 的 攻 击 演 示 。 总 的 来 说 ， 我 觉 得 这 个 漏 洞 应 该 属 于 设 计 上 的 缺 陷 吧 ， 不 知 道 读 者 是 怎 么 定 义 这 个 漏 洞 的 。 另 外 ， 我 一 开 始 就 觉 得 这 里 还 有 有 C S R F 漏 洞 ， 因 为 按 道 理 来 说 ， 进 行 这 类 操 作 最 好 都 要 先 t o k e n 验 证 一 下 ， 可 是 这 里 并 没 有 验 证 。 在 说 点 题 外 话 ， 在 我 我 进 行 C S R F 页 面 构 造 的 时 候 ， 遇 到 一 个 u r f 8 编 码 的 坑 ， 导 致 我 一 度 以 为 这 里 引 用 了 t o k e n 机 制 ， 但 是 怎 么 看 前 端 源 码 ， 服 务 器 源 码 都 没 找 到 t o k e n 机 制 。 无 意 之 间 在 h t m l 中 看 到 自 己 写 的 中 文 变 成 了 乱 码 ， 才 忽 然 想 到 可 能 是 编 码 问 题 导 致 我 C S R F 总 是 失 败 。 于 是 我 改 了 自 己 C S R F 利 用 页 面 的 源 码 ， 果 断 成 功 ！ 下 面 是 我 C S R F 攻 击 页 面 的 源 码 ：

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理