搜索

[16335] 2021-01-18_就算有DES加密和session校验我也要进入你的心

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-18_就算有DES加密和session校验我也要进入你的心 就 算 有 D E S 加 密 和 s e s s i o n 校 验 我 也 要 进 入 你 的 心 飞 天 魔 鬼   F r e e B u f   2 0 2 1 - 0 1 - 1 8 前 言 前 言 前 几 天 写 了 篇 突 破 某 线 上 教 育 平 台 身 份 校 验 的 文 章 ， 当 时 中 午 没 睡 觉 ， 写 的 时 候 非 常 的 困 倦 ， 很 多 地 方 可 能 表 达 的 不 是 那 么 清 楚 ， 但 是 我 也 懒 得 去 改 了 。 今 天 正 好 休 息 ， 我 写 一 篇 审 计 这 个 线 上 教 育 平 台 最 新 版 本 的 身 份 校 验 漏 洞 的 文 章 。 （ 本 次 代 码 审 计 均 在 本 地 搭 建 的 环 境 进 行 ） 上 次 那 个 版 本 已 经 是 2 0 1 7 年 的 版 本 了 ， 审 计 完 之 后 一 直 心 里 有 个 疑 问 ， 不 知 道 作 者 在 2 0 2 0 年 的 版 本 中 有 没 有 修 改 他 的 校 验 方 式 ， 于 是 就 有 了 今 天 这 篇 “ 就 算 有 D E S 加 密 和 s e s s i o n 校 验 我 也 要 进 入 你 的 心 ” 。 在 最 新 版 本 中 ， 作 者 可 能 已 经 知 道 了 c o o k i e 校 验 的 危 险 ， 所 以 新 版 本 他 改 成 了 s e s s i o n + c o o k i e + d e s 加 密 校 验 ， 但 是 正 所 谓 “ 道 高 一 尺 ， 魔 高 一 丈 ” ， 即 使 校 验 方 式 已 经 如 此 的 繁 杂 ， 但 终 究 还 是 没 有 逃 过 我 的 掌 心 。 正 文 正 文 0 x 0 0   . N E T 反 编 译 工 具 反 编 译 工 具 这 里 我 用 的 是 . N E T   R e f l e c t o r 1 0 ， 是 一 款 功 能 强 大 的 . N E T 反 编 译 工 具 ， 使 用 . N E T   R e f l e c t o r ， 可 以 反 编 译 和 调 试 . N E T 程 序 集 和 可 执 行 文 件 ， 并 将 源 代 码 反 汇 编 为 您 选 择 的 . N E T 语 言 ， 以 便 查 看 . N E T 程 序 集 的 内 容 。 开 发 人 员 使 用 . N E T   R e f l e c t o r 来 进 行 各 种 操 作 ， 如 使 用 V i s u a l   S t u d i o 调 试 器 调 试 程 序 集 ， 即 使 没 有 源 代 码 也 是 如 此 ， 动 态 反 编 译 任 何 . N E T 代 码 ， 可 进 入 第 三 方 代 码 ， 设 置 断 点 并 观 察 它 运 行 ， 给 他 们 一 个 强 大 的 对 象 浏 览 器 来 浏 览 V i s u a l   S t u d i o 中 的 代 码 ， 支 持 恢 复 丢 失 或 不 可 用 的 源 代 码 以 及 查 找 性 能 问 题 并 分 析 依 赖 性 。 在 审 计 编 译 之 后 的 . n e t 代 码 的 时 候 ， 第 一 件 事 应 该 就 是 找 对 应 w e b 页 面 的 i n h e r i t s 参 数 ， 这 个 参 数 告 诉 了 我 们 该 页 面 引 入 了 那 个 d l l 文 件 ， 通 过 他 就 可 以 定 位 d l l ， 然 后 将 d l l 文 件 拖 入 . n e t   r e f l e c t o r 中 就 可 以 开 始 正 常 的 审 计 了 。 0 x 0 1   审 计 过 程 审 计 过 程 这 里 我 选 择 直 捣 黄 龙 ， 直 接 寻 找 管 理 员 登 录 入 口 ， 然 后 从 登 录 入 口 的 身 份 校 验 开 始 审 计 。
如 图 ， 该 系 统 的 管 理 员 登 录 入 口 和 教 师 登 录 入 口 是 同 一 个 入 口 ， 我 们 就 先 从 T e a c h e r / i n d e x . a s p x 开 始 审 计 ： 打 开 T e a c h e r / i n d e x . a s p x 。 找 到 其 对 应 的 i n h e r i t s 为 T e a c h e r _ i n d e x ， 然 后 我 们 就 可 以 去 . n e t   r e f l e c t o r 中 去 搜 索 对 应 的 类 ， 如 下 图 步 骤 所 示 。 然 后 我 们 点 击 上 图 所 示 的 e x p a n d   m e t h o d s   把 方 法 展 开 ， 就 可 以 看 到 里 面 具 体 方 法 的 使 用 了 。 展 开 之 后 可 以 分 别 看 到 三 个 关 键 的 函 数 ， 分 别 是 c o o k i e J u m p ( ) 、 L o g i n C o d e ( ) 、 P a g e _ L o a d ( ) 三 个 函 数 ， 从 名 字 中 就 可
以 看 出 来 C o o k i e J u m p 函 数 是 通 过 c o o k i e 来 进 行 页 面 跳 转 和 身 份 判 断 的 函 数 ； L o g i n C o d e 则 是 判 断 用 户 输 入 的 用 户 名 密 码 的 函 数 ； 而 P a g e _ L o a d ( ) 函 数 则 是 进 行 页 面 加 载 的 函 数 。 我 们 先 从 c o o k i e J u m p 函 数 看 起 。 开 发 者 使 用 T e a c h e r 对 象 和 其 中 的 H p e r m i s s ， 传 入 了 S e t T M C o o k i e s 函 数 中 ， 判 断 返 回 值 再 之 后 再 判 断 t e a C o o k i e N n a m e 或 者 m n g C o o k i e N n a m e 进 行 不 同 身 份 的 跳 转 。 那 我 们 跟 进 S e t T M C o o k i e 函 数 ， 看 看 他 是 个 啥 。 跟 进 函 数 之 后 发 现 ， 其 作 用 是 通 过 p e r m i s s 的 值 判 断 用 户 是 管 理 员 还 是 教 师 ， 然 后 调 用 S e t M a n a g e r C o o k i e s 函 数 或 者 S e t T e a c h e r C o o k i e 函 数 来 设 置 c o o k i e 。 既 然 我 们 要 突 破 的 是 管 理 员 权 限 ， 那 我 这 里 自 然 就 跟 进 S e t M a n a g e r C o o k i e 。 这 里 首 先 创 建 了 k e y 为 m n g C o o k i e N n a m e 的 c o o k i e ， 至 于 m n g C o o k i e N n a m e 是 啥 ， 我 上 个 文 章 已 经 说 过 了 ， 如 下 图 所 示 ： 这 个 值 是 根 据 配 置 文 件 和 用 户 身 份 计 算 出 来 的 两 个 字 符 串 拼 接 之 后 的 结 果 。 但 是 我 们 通 过 学 生 身 份 登 陆 进 去 之 后 ， 只 要 修 改 一 下 首 字 母 ， 将 S 改 为 M 就 可 以 成 为 m n g C o o k i e N n a m e 。
从 上 上 张 图 可 以 看 到 这 个 函 数 将 传 入 的 T e a c h e r 对 象 中 的 值 放 到 了 c o o k i e 中 ， 但 是 他 调 用 了 一 个 非 常 奇 怪 的 T o S t r ( ) 函 数 ， 这 个 函 数 并 不 是 内 置 的 转 换 s t r i n g 的 函 数 ， 而 且 他 启 用 了 s e s s i o n ， 看 到 这 里 ， 我 内 心 一 紧 。 感 觉 要 凉 了 。 看 到 了 设 置 s e s s i o n 的 值 ， 吓 得 我 赶 紧 去 看 了 一 眼 P a g e _ L o a d ( ) 函 数 ， 看 看 他 到 底 有 没 有 进 行 校 验 。 这 里 可 以 看 到 ， 如 果 是 管 理 员 身 份 就 跳 转 到 M a n a g e r / i n d e x . a s p x ， 至 于 他 这 个 I s M a n a g e r L o g i n ( ) 函 数 我 们 根 本 不 用 管 ， 因 为 我 们 没 有 通 过 输 入 密 码 的 方 式 去 登 录 ， 所 以 直 接 去 找 M a n a g e r / i n d e x . a s p x 这 个 页 面 所 继 承 的 类 。
可 以 看 到 再 M a n a g e r _ i n d e x 类 中 ， P a g e _ L o a d ( ) 函 数 调 用 了 J u d g e I s A d m i n ( ) 函 数 ， 通 过 名 称 我 们 就 可 以 猜 测 到 ， 其 是 判 断 管 理 员 身 份 的 函 数 。 我 们 继 续 跟 进 ！ 进 去 之 后 一 看 ， 卧 槽 ， 凉 了 。 这 里 开 启 了 s e s s i o n 校 验 ， 但 是 这 代 码 我 越 看 感 觉 越 不 对 劲 ， 一 开 始 我 想 不 出 来 哪 不 对 劲 ， 但 是 就 是 感 觉 不 对 劲 。 突 然 之 间 ， 灵 光 一 现 ， 思 绪 如 泉 水 般 涌 出 大 脑 ， 卧 槽 ， 这 尼 玛 代 码 不 对 啊 ， 通 过 s e s s i o n i d 和 c o o k 对 象 ( 也 就 是 处 理 过 后 的 c o o k i e 对 象 ) 中 的 s e s s i o n i d 进 行 判 断 ， 但 是 s e s s i o n i d 只 要 我 登 录 了 就 有 一 个 不 会 变 化 的 s e s s i o n i d ， 那 么 也 就 是 说 我 想 要 伪 造 管 理 员 身 份 ， 只 需 要 伪 造 一 个 名 字 为 m n g C o o k i e N n a m e 的 c o o k i e ， 然 后 其 中 的 参 数 s e s s i o n i d 等 于 我 现 在 登 录 之 后 的 s e s s i o n i d ， H p e r m i s s 为 t r u e 就 可 以 了 。 打 个 不 恰 当 的 比 方 ， 这 相 当 于 我 拿 着 别 人 的 c r e d i t   c a r d 去 b a n k 取 钱 ， b a n k 不 管 我 身 份 是 谁 ， 不 管 我 有 没 有 密 码 ， 不 管 c r e a d i t   c a r d 的 户 主 是 谁 ， 只 问 我 知 不 知 道 c a r d 的 卡 号 ， 知 道 c a r d 卡 号 ， 就 可 以 取 钱 。 正 当 我 得 意 之 时 ， 一 个 坏 消 息 映 入 了 我 的 眼 帘 ： 在 浏 览 器 中 观 察 这 个 c o o k i e 对 应 的 值 ， 这 这 这 。 。 。 。 这 怎 么 不 对 劲 ， 为 什 么 不 是 明 文 ， 为 什 么 是 一 串 毫 无 规 则 的 ， 疯 狂 字 符 串 ？
突 然 之 间 ， 我 想 起 来 上 面 S e t M a n a g e r C o o k i e ( ) 函 数 中 调 用 的 那 个 诡 异 的 T o S t r ( ) 函 数 。 点 进 去 看 看 。 我 叼 ， 他 在 设 置 c o o k i e 的 时 候 用 了 d e s 加 密 。 大 哥 至 于 的 么 。 走 都 走 到 这 一 步 了 ， 执 着 的 我 又 怎 么 会 轻 言 放 弃 ， 那 必 须 得 继 续 跟 进 ， 有 加 密 就 有 解 密 ， 既 然 是 d e s ， 那 密 钥 必 定 会 有 。 跟 进 D e s C o d e 类 ， 发 现 了 密 钥 和 对 应 的 加 密 解 密 方 法 。 继 续 跟 进 。 将 加 密 、 解 密 算 法 粘 贴 到 本 地 修 改 ， 以 便 一 会 利 用 。 ← — 省 略 本 地 修 改 代 码 过 程 — → 将 算 法 c o p y 到 本 地 修 改 之 后 ， 现 在 我 们 已 经 知 道 了 绕 过 身 份 校 验 的 条 件 。 1 .   必 须 要 有 k e y 为 m n g C o o k i e N n a m e 的 c o o k i e 2 .   c o o k i e 中 的 H p r e m i s s 应 该 为 t r u e 3 .   s e s s i o n i d 和 c o o k i e 中 的 s e s s i o n 要 一 样 4 .   必 须 现 有 一 个 登 录 状 态 的 s e s s i o n i d （ 不 等 录 的 情 况 下 s e s s i o n i d 是 会 改 变 的 ） 5 .   还 要 将 修 改 之 后 的 c o o k i e 进 行 D E S 加 密 0 x 0 2   绕 过 绕 过 首 先 是 一 个 坏 消 息 ， 开 发 者 没 有 给 学 生 的 c o o k i e 中 设 置 s e s s i o n i d ， 但 是 老 师 的 c o o k i e 是 有 的 ， 所 以 我 们 不 能 再 通 过 学 生 的 身 份 进 行 绕 过 了 ， 但 是 可 以 退 而 求 其 次 使 用 老 师 的 s e s s i o n i d 。
这 里 可 以 轻 松 获 取 老 师 的 s e s s i o n i d ， 然 后 我 们 需 要 使 用 本 地 修 改 的 d e s 加 密 ， 进 行 c o o k i e 的 伪 造 ： H p r e m i s s 和 s e s s i o n i d 修 改 为 对 应 的 ：
再 一 次 b i n g o 0 x 0 3   改 进 建 议 改 进 建 议 1 . 将 s e s s i o n i d 校 验 改 为 s e s s i o n 值 校 验 （ 此 为 突 破 权 限 的 核 心 ） 2 . 不 使 用 c o o k i e 校 验 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理