搜索

[19139] 2017-11-03_【实验课】用挖漏洞换取你的X

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-11-03_【实验课】用挖漏洞换取你的X 【 实 验 课 】 用 挖 漏 洞 换 取 你 的 X 路 小 曦   i 春 秋   2 0 1 7 - 1 1 - 0 3 新 闻 ： 让 苹 果 粉 期 待 已 久 的 苹 果 最 新 手 机 i P h o n e   X 已 于 2 0 1 7 年 1 1 月 3 日 全 球 同 步 开 售 。 1 1 月 2 日 晚 , 经 销 商 开 始 全 力 铺 货 , 以 应 对 即 将 到 来 的 首 发 。 当 大 量 果 粉 选 择 考 虑 卖 肾 的 时 候 ， 大 量 白 帽 已 经 下 单 成 功 ， 坐 等 i P h o n e   X 到 手 ！ 小 爱 讲 真 ， 觉 得 有 个 刘 海 儿 的 X 真 的 很 … … 想 要 ， 但 是 我 并 买 不 起 啊 ~ 但 身 边 好 多 白 帽 子 都 已 经 迅 速 下 单 了 ！ 这 是 为 什 么 ？ ！ 不 公 平 ！ 那 为 什 么 白 帽 们 可 以 毫 不 犹 豫 顺 利 剁 手 呢 ？ 小 爱 问 了 几 个 白 帽 朋 友 ~ 他 们 的 回 答 如 下 ： “ 哦 ， 一 个 月 工 资 都 不 到 ， 就 卖 了 ~ ” “ 挖 一 个 洞 ， 够 买 好 几 个 了 ~ ” “ 前 几 天 买 了 8 感 觉 跟 7 差 不 多 ， 试 试 X 有 什 么 区 别 。 ” “ 女 朋 友 想 要 ， 送 她 一 个 玩 儿 玩 儿 ， 不 好 用 再 换 。 ”
我 … … 什 么 也 不 想 说 了 ， 静 静 的 去 学 习 了 ~ 你 还 干 嘛 呢 ？ 打 算 剁 手 啊 ？ 还 不 赶 紧 过 来 跟 我 一 块 儿 学 习 本 周 的 实 验 课 《 《 T y p e c h o - C M S 反 序 列 化 任 意 代 码 执 行 漏 洞 》 反 序 列 化 任 意 代 码 执 行 漏 洞 》 ？ 实 验 环 境 实 验 环 境 操 作 机 ： W i n d o w s   X P I P ： 1 7 2 . 1 6 . 1 1 . 2 目 标 机 ： W i n d o w s   X P I P ： 1 7 2 . 1 6 . 1 2 . 2 实 验 文 件 下 载 地 址 f i l e . i c h u q n i u . c o m / n e e f s j x a 实 验 目 的 实 验 目 的 分 析 其 代 码 ， 了 解 漏 洞 产 生 原 理 掌 握 此 漏 洞 利 用 和 修 复 方 法 实 验 内 容 实 验 内 容 T y p e c h o T y p e c h o 是 一 款 内 核 强 健 ﹑ 扩 展 方 便 ﹑ 体 验 友 好 ﹑ 运 行 流 畅 的 轻 量 级 开 源 博 客 程 序 。 基 于 P H P 5 开 发 ， 使 用 多 种 数 据 库 （ M y s q l ， P o s t g r e S Q L ， S Q L i t e ） 储 存 数 据 。 在 G P L   V e r s i o n   2 许 可 证 下 发 行 ， 是 一 个 开 源 的 程 序 ， 适 用 范 围 十 分 广 泛 。 漏 洞 简 介 漏 洞 简 介 近 日 ， 检 测 到 T y p e c h o 博 客 软 件 存 在 反 序 列 化 导 致 任 意 代 码 执 行 漏 洞 ， 攻 击 者 可 以 利 用 该 漏 洞 无 限 制 执 行 代 码 ， 获 取 w e b s h e l l ， 存 在 高 安 全 风 险 。 通 过 利 用 i n s t a l l . p h p 页 面 ， 直 接 远 程 构 造 恶 意 请 求 包 ， 实 现 远 程 任 意 代 码 执 行 ， 对 业 务 造 成 严 重 的 安 全 风 险 。 影 响 版 本 影 响 版 本 T y p e c h o   0 . 9 ~ 1 . 0 实 验 步 骤 实 验 步 骤
步 骤 步 骤 1 ： 了 解 漏 洞 原 理 ： 了 解 漏 洞 原 理 漏 洞 的 入 口 出 现 在 i n s t a l l . p h p 页 面 ， 代 码 如 下 ： / / 判 断 是 否 已 经 安 装 i f   ( ! i s s e t ( $ _ G E T [ ' f i n i s h ' ] )   & &   f i l e _ e x i s t s ( _ _ T Y P E C H O _ R O O T _ D I R _ _   .   ' / c o n f i g . i n c . p h p ' )   & &   e m p t y ( $ _ S E S S I O N [ ' t y p e c h o ' ] ) )   {         e x i t ; } / /   挡 掉 可 能 的 跨 站 请 求 i f   ( ! e m p t y ( $ _ G E T )   | |   ! e m p t y ( $ _ P O S T ) )   {         i f   ( e m p t y ( $ _ S E R V E R [ ' H T T P _ R E F E R E R ' ] ) )   {                 e x i t ;         }         $ p a r t s   = p a r s e _ u r l ( $ _ S E R V E R [ ' H T T P _ R E F E R E R ' ] ) ;         i f   ( ! e m p t y ( $ p a r t s [ ' p o r t ' ] ) )   {                 $ p a r t s [ ' h o s t ' ]   =   " { $ p a r t s [ ' h o s t ' ] } : { $ p a r t s [ ' p o r t ' ] } " ;         }         i f   ( e m p t y ( $ p a r t s [ ' h o s t ' ] )   | | $ _ S E R V E R [ ' H T T P _ H O S T ' ]   ! =   $ p a r t s [ ' h o s t ' ] )   {                 e x i t ;         } } 上 述 代 码 经 过 了 两 次 的 判 断 ， 我 们 继 续 跟 进 ， 在 i n s t a l l . p h p   2 3 2 行 ~ 2 3 7 行 ： 出 现 一 个 比 较 明 显 的 反 序 列 化 漏 洞 ， 首 先 获 取 到 c o o k i e 中 的 _ _ t y p e c h o _ c o n f i g 值 b a s e 6 4 解 码 后 ， 然 后 进 行 反 序 列 化 。   想 要 执 行 ， 只 需 i s s e t ( $ _ G E T [ ' f i n i s h ' ] ) 并 且 _ _ t y p e c h o _ c o n f i g 存 在 值 。 反 序 列 化 后 把 $ c o n f i g [ ' a d a p t e r ' ] 和 $ c o n f i g [ ' p r e f i x ' ] 传 入 T y p e c h o _ D b 进 行 实 例 化 。 然 后 调 用 T y p e c h o _ D b 的 a d d S e r v e r 方 法 ， 调 用 T y p e c h o _ C o n f i g 实 例 化 工 厂 函 数 对 T y p e c h o _ C o n f i g 类 进 行 实 例 化 。 反 序 列 化 能 够 利 用 的 点 必 须 要 有 相 应 的 魔 术 方 法 配 合 。 其 中 比 较 关 键 的 只 有 几 个 。 _ _ d e s t r u c t ( ) _ _ w a k e u p ( ) _ _ t o S t r i n g ( ) 其 中 _ _ d e s t r u c t ( ) 是 在 对 象 被 销 毁 的 时 候 自 动 调 用 ， _ _ W a k e u p 在 反 序 列 化 的 时 候 自 动 调 用 ， _ _ t o S t r i n g ( ) 是 在 调 用 对 象 的 时 候 自 动 调 用 。 这 里 如 果 构 造 的 反 序 列 化 是 一 个 数 组 ， 其 中 a d a p t e r 设 置 为 某 个 类 ， 就 可 以 触 发 相 应 类 的 _ _ t o S t r i n g 方 法 在 F e e d . p h p   中 ： x m l n s : t h r = " h t t p : / / p u r l . o r g / s y n d i c a t i o n / t h r e a d / 1 . 0 "   x m l : l a n g = " '   .   $ t h i s - > _ l a n g   .   ' "   x m l : b a s e = " '   .   $ t h i s - > _ b a s e U r l   .   ' "   > '   .   s e l f : : E O L ;                           $ c o n t e n t   =   ' ' ;                           $ l a s t U p d a t e =   0 ;                           f o r e a c h   ( $ t h i s - > _ i t e m s   a s   $ i t e m )   {                                   $ c o n t e n t   . =   ' < e n t r y > '   .   s e l f : : E O L ;                                   $ c o n t e n t   . =   ' < t i t l e   t y p e = " h t m l " > < ! [ C D A T A [ '   .   $ i t e m [ ' t i t l e ' ]   .   ' ] ] > < / t i t l e > '   .   s e l f : : E O L ;                                   $ c o n t e n t   . =   ' < l i n k   r e l = " a l t e r n a t e "   t y p e = " t e x t / h t m l "   h r e f = " '   .   $ i t e m [ ' l i n k ' ]   .   ' "   / > '   .   s e l f : : E O L ;                                   $ c o n t e n t   . =   ' < i d > '   .   $ i t e m [ ' l i n k ' ]   . ' < / i d > '   .   s e l f : : E O L ;                                   $ c o n t e n t   . =   ' < u p d a t e d > '   .   $ t h i s - > d a t e F o r m a t ( $ i t e m [ ' d a t e ' ] )   .   ' < / u p d a t e d > '   .   s e l f : : E O L ;                                   $ c o n t e n t   . =   ' < p u b l i s h e d > '   .   $ t h i s - > d a t e F o r m a t ( $ i t e m [ ' d a t e ' ] )   .   ' < / p u b l i s h e d > '   .   s e l f : : E O L ;                                   $ c o n t e n t   . =   ' < a u t h o r >           < n a m e > '   .   $ i t e m [ ' a u t h o r ' ] - > s c r e e n N a m e   .   ' < / n a m e >           < u r i > '   .   $ i t e m [ ' a u t h o r ' ] - > u r l   .   ' < / u r i >   < / a u t h o r > '   .   s e l f : : E O L ; 它 调 用 了 $ i t e m [ ' a u t h o r ' ] - > s c r e e n N a m e ， 这 是 一 个 当 前 类 的 私 有 变 量 ， 这 里 要 提 到 一 个 特 殊 的 魔 术 方 法 _ _ g e t ， _ _ g e t 会 在 读 取 不 可 访 问 的 属 性 的 值 的 时 候 调 用 ， 我 们 可 以 通 过 设 置 i t e m 来 调 用 某 个 位 置 的 _ _ g e t 魔 术 方 法 ， 我 们 继 续 寻 找 。 R e q u e s t . p h p   第 2 6 9 行 应 该 是 唯 一 一 个 可 利 用 的 _ _ g e t 方 法  
我 们 跟 进 G e t 参 数 ： 可 以 看 到 被 a p p l y F i l t e r 函 数 处 理 ， 通 过 搜 索 再 次 进 入 a p p l y F i l t e r 函 数 ：
我 们 找 到 了 c a l l _ u s e r _ f u n c 函 数 ， 回 溯 整 个 利 用 链 我 们 可 以 通 过 设 置 i t e m [ ' a u t h o r ' ] 来 控 制 T y p e c h o _ R e q u e s t 类 中 的 私 有 变 量 ， 这 样 类 中 的 _ f i l t e r 和 _ p a r a m s [ ' s c r e e n N a m e ' ] 都 可 控 ， c a l l _ u s e r _ f u n c 函 数 变 量 可 控 ， 任 意 代 码 执 行 。 步 骤 步 骤 2 ： 漏 洞 验 证 ： 漏 洞 验 证 首 先 我 们 访 问 实 验 文 件 地 址 f i l e . i c h u q n i u . c o m / n e e f s j x a ， 下 载 p o c ， 然 后 访 问 目 标 网 站 ： 1 7 2 . 1 6 . 1 2 . 2 / i n s t a l l . p h p ? f i n i s h = 1 并 设 置 B u r p S u i t e 进 行 抓 包 ， 如 图 ： 抓 到 包 之 后 我 们 在 B u r p S u i t e 点 击 右 键 ， 发 送 到 R e p e a t e r ， 并 将 实 验 文 件 中 的 C o o k i e 和 R e f e r e r 复 制 到 B u r p S u i t e 中 修 改 R e f e r e r 的 I P 为 1 7 2 . 1 6 . 1 2 . 2 ， 如 图 所 示 。
然 后 点 击 G o 按 钮 ：
如 图 返 回 状 态 码 为 5 0 0 的 数 据 包 就 代 表 成 功 了 。 我 们 这 时 使 用 中 国 菜 刀 连 接 h t t p : / / 1 7 2 . 1 6 . 1 2 . 2 / p 0 . p h p 密 码 为 ： p 0 如 图 ， 成 功 连 接 。 实 验 结 果 分 析 与 总 结 实 验 结 果 分 析 与 总 结 本 次 实 验 我 们 学 习 针 对 此 漏 洞 产 生 的 原 理 及 利 用 方 法 。 修 复 方 案 ： 修 复 方 案 ： 删 除 I n s t a l l . p h p 文 件 升 级 官 网 最 新 版 本 戳 阅 读 原 文 ， 感 受 实 验 环 境 吧 戳 阅 读 原 文 ， 感 受 实 验 环 境 吧 ~
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理