搜索

[19444] 2019-01-16_一个优秀的白帽子挖漏洞赚了高额奖金

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2019-01-16_一个优秀的白帽子挖漏洞赚了高额奖金 一 个 优 秀 的 白 帽 子   挖 漏 洞 赚 了 高 额 奖 金 i 春 秋   2 0 1 9 - 0 1 - 1 6 前 几 天 3 6 0 冰 刃 实 验 室 的 研 究 员 洪 祯 皓 发 现 了 一 个 H y p e r - V 的 漏 洞 ， 由 于 漏 洞 危 险 级 别 高 ， 影 响 范 围 广 ， 微 软 在 确 认 漏 洞 细 节 后 第 一 时 间 确 认 奖 金 并 致 谢 漏 洞 发 现 者 。 奖 金 总 额 高 达 2 0 万 美 元 约 合 人 民 币 1 3 7 万 ， 这 也 是 微 软 史 上 送 出 的 最 高 一 笔 漏 洞 挖 掘 奖 励 。 挖 漏 洞 还 能 拿 这 么 多 钱 ， 白 帽 子 们 已 然 坐 不 住 ， 都 想 跃 跃 欲 试 了 ， 那 么 今 天 i 春 秋 与 大 家 分 享 一 篇 关 于 S S R F 漏 洞 挖 掘 的 思 漏 洞 挖 掘 的 思 路 与 技 巧 路 与 技 巧 ， 希 望 对 大 家 有 所 帮 助 ， 年 底 赚 些 钱 就 当 给 自 己 发 年 终 奖 了 ， 哈 哈 。 什 么 是 什 么 是 S S R F S S R F ( S e r v e r - S i d e   R e q u e s t   F o r g e r y ： 服 务 器 端 请 求 伪 造 )   是 一 种 由 攻 击 者 构 造 形 成 由 服 务 端 发 起 请 求 的 一 个 安 全 漏 洞 。 一 般 情 况 下 ， S S R F 攻 击 的 目 标 是 从 外 网 无 法 访 问 的 内 部 系 统 。 S S R F   形 成 的 原 因 大 都 是 由 于 服 务 端 提 供 了 从 其 他 服 务 器 应 用 获 取 数 据 的 功 能 且 没 有 对 目 标 地 址 做 过 滤 与 限 制 。 比 如 从 指 定 U R L 地 址 获 取 网 页 文 本 内 容 ， 加 载 指 定 地 址 的 图 片 ， 下 载 等 等 。 通 俗 的 说 ， 比 如 这 样 一 个 u r l ： ， 如 果 我 们 将 换 为 与 该 服 务 器 相 连 的 内 网 服 务 器 地 址 会 产 生 什 么 效 果 呢 ？ 比 如 1 2 7 . 0 . 0 . 1 、 1 0 . 0 . 0 . 1 、 1 9 2 . 1 6 8 . 1 . 1 等 等 ， 如 果 存 在 该 内 网 地 址 就 会 返 回 1 x x   2 x x   之 类 的 状 态 码 ， 不 存 在 就 会 返 回 其 他 的 状 态 码 ， 所 以 如 果 应 用 程 序 对 用 户 提 供 的 U R L 和 远 端 服 务 器 返 回 的 信 息 没 有 进 行 合 适 的 验 证 和 过 滤 ， 就 可 能 存 在 这 种 服 务 端 请 求 伪 造 的 缺 陷 。
说 到 这 里 ， 先 提 两 个 问 题 ： 1 、 为 什 么 要 请 求 、 为 什 么 要 请 求 1 2 7 . 0 . 0 . 1 、 、 1 0 . 0 . 0 . 1 、 、 1 9 2 . 1 6 8 . 1 . 1 呢 ？ 有 什 么 区 别 呢 ？ 呢 ？ 有 什 么 区 别 呢 ？ 答 ： 答 ： 1 2 7 . 0 . 0 . 1 只 是 代 表 你 的 本 机 地 址 ， 如 果 该 网 站 只 有 一 个 服 务 器 的 情 况 下 ， 是 可 以 访 问 1 2 7 . 0 . 0 . 1 来 判 断 的 ， 但 要 明 确 一 点 ， 1 2 7 . 0 . 0 . 1 其 实 并 不 是 内 网 地 址 ， 内 网 地 址 是 有 严 格 的 地 址 段 的 ， 这 是 i p v 4 地 址 协 议 中 预 留 的 ， 分 别 是 1 0 . 0 . 0 . 0 - - 1 0 . 2 5 5 . 2 5 5 . 2 5 5 、 1 7 2 . 1 6 . 0 . 0 - - 1 7 2 . 3 1 . 2 5 5 . 2 5 5   、 1 9 2 . 1 6 8 . 0 . 0 - - 1 9 2 . 1 6 8 . 2 5 5 . 2 5 5 。 2 、 如 果 请 求 地 址 会 返 回 状 态 码 ， 那 请 求 地 址 、 如 果 请 求 地 址 会 返 回 状 态 码 ， 那 请 求 地 址 + 端 口 会 不 会 返 回 状 态 码 呢 端 口 会 不 会 返 回 状 态 码 呢 ? 答 ： 答 ： 提 出 这 个 问 题 的 同 学 应 该 是 相 当 c l e v e r 的 ， 答 案 是 肯 定 的 ， 当 然 会 返 回 状 态 码 。 只 是 探 测 内 网 地 址 的 话 属 实 不 够 看 的 ， 所 以 如 果 一 个 点 存 在 S S R F ， 那 势 必 要 尝 试 一 下 能 不 能 探 测 内 网 端 口 ， 比 如 ， 假 设 1 0 . 0 . 0 . 1 这 个 地 址 存 在 ， 那 我 们 可 以 尝 试 请 求 1 0 . 0 . 0 . 1 : 2 1 、 1 0 . 0 . 0 . 1 : 3 3 0 6 、 1 0 . 0 . 0 . 1 : 6 3 7 9 等 内 网 的 常 用 端 口 ， 如 果 探 测 结 果 有 收 获 的 话 ， 那 就 可 以 为 其 他 工 作 节 省 很 多 力 气 了 。 基 础 的 基 础 的 S S R F 漏 洞 利 用 漏 洞 利 用 随 便 找 了 个 输 入 点 ， 假 设 这 个 图 中 的 点 就 是 漏 洞 点 吧 ， 因 为 真 正 的 漏 洞 点 不 好 放 出 来 ， 也 不 好 打 码 。 不 过 可 能 有 人 会 问 ， 那 我 怎 么 知 道 这 个 点 是 否 是 漏 洞 点 呢 ， 其 实 这 个 东 西 不 好 回 答 ， 因 为 没 有 成 文 的 规 定 ， 经 验 成 分 居 多 吧 ， 如 果 看 到 让 用 户 输 入 u r l ， 导 入 外 部 链 接 的 这 些 点 ， 就 可 以 去 尝 试 一 下 。 言 归 正 传 ， 如 果 这 是 一 个 漏 洞 点 ， 那 我 们 怎 么 用 呢 ， 最 简 单 的 方 法 ， C E Y E . I O 。 C E Y E 是 一 个 用 来 检 测 带 外 流 量 的 监 控 平 台 ， 如 D N S 查 询 和 H T T P 请 求 。 一 些 漏 洞 类 型 没 有 直 接 表 明 攻 击 是 成 功 的 ， 就 如 同 此 处 的 S S R F ， P a y l o a d 触 发 了 却 不 在 前 端 页 面 显 示 。 这 时 候 使 用 C E Y E 平 台 ， 通 过 使 用 诸 如 D N S 和 H T T P 之 类 的 带 外 信 道 ， 便 可 以 得 到 回 显 信 息 。 用 法 也 很 简 单 ， 登 录   C E Y E . I O ， 在 用 户 详 情 页 可 以 看 到 自 己 的 域 名 标 识 符 i d e n t i f i e r ， 对 于 每 个 用 户 ， 都 有 唯 一 的 域 名 标 识 符 a b c d e f . c e y e . i o   。 所 有 来 自 于 a b c d e f . c e y e . i o   或 * . a b c d e f . c e y e . i o /   的 D N S 查 询 和 H T T P 请 求 都 会 被 记 录 。 通 过 查 看 这 些 记 录 信 息 ， 就 可 以 判 断 漏 洞 详 情 。 比 如 我 在 此 输 入 我 的 域 名 标 识 符 ， 如 图 ：
当 然 我 们 也 可 以 通 过 抓 包 ， 在 包 里 修 改 u r l 的 信 息 构 造 不 同 的 请 求 ， 然 后 观 察 返 回 的 状 态 码 来 探 测 信 息 。 所 以 通 过 上 述 两 种 方 法 ， 那 我 就 可 以 确 定 这 个 地 方 确 实 是 有 S S R F 漏 洞 的 。 不 过 仅 仅 到 这 是 不 够 的 ， 这 样 的 操 作 提 到 补 天 或 者 盒 子 都 是 不 收 的 ， 除 非 有 进 一 步 的 操 作 证 明 危 害 ， 所 以 接 下 来 会 演 示 探 测 端 口 。 S S R F 的 简 单 绕 过 的 简 单 绕 过 上 面 说 的 漏 洞 点 本 身 就 是 一 个 让 用 户 输 入 链 接 的 地 方 ， 那 自 然 就 不 必 绕 过 ， 但 是 如 果 漏 洞 点 是 一 个 加 载 图 片 的 地 方 呢 ， 想 必 大 家 都 见 过 社 区 或 者 论 坛 有 这 样 一 个 模 块 点 ， 就 是 可 以 让 用 户 导 入 外 部 的 图 片 链 接 进 行 评 论 或 者 其 他 ， 比 如 下 图 ： 那 么 这 种 地 方 ， 也 是 可 能 存 在 S S R F 的 ， 不 过 当 我 们 输 入 c e y e . i o 却 发 现 并 没 有 回 显 请 求 ， 这 是 因 为 这 种 地 方 一 般 会 对 后 缀 做 一 个 检 测 ， 如 果 不 是 j p g 或 者 其 他 图 片 后 缀 的 话 并 不 会 通 过 ， 不 过 好 在 c e y e . i o 是 很 强 大 的 ， 我 们 可 以 随 便 构 造 ， a b c d e f . c e y e . i o / i c h u n q i u . j p g ,   对 其 进 行 输 入 ， 再 去 观 察 有 无 回 显 ， 结 果 有
了 ： 有 其 他 限 制 的 话 都 是 一 个 道 理 ， 也 可 以 在 b u r p 里 截 包 改 包 达 到 此 效 果 。 挖 洞 案 例 挖 洞 案 例 有 一 天 笔 者 在 挖 洞 的 时 候 遇 到 一 个 站 ， 就 假 设 是 w w w . x x x . c o m 吧 ，   发 现 是 一 个 开 源 的 系 统 ， 于 是 就 突 发 出 不 想 黑 盒 的 想 法 ， 想 看 看 审 计 的 能 力 学 的 怎 么 样 了 ， 就 在 网 上 下 载 这 个 开 源 的 系 统 ， 一 点 一 点 的 对 其 审 计 ， 在 某 个 文 件 里 发 现 这 么 一 个 链 接 ： h t t p : / / 1 2 7 . 0 . 0 . 1 / a b c . p h p ? u r l = h t t p : / / w w w . b a i d u . c o m ，   这 可 不 是 跳 转 ， 结 合 上 下 代 码 ， 发 现 此 链 接 好 像 是 服 务 器 发 起 请 求 的 操 作 ， 因 为 1 2 7 . 0 . 0 . 1 是 本 机 地 址 ， 所 以 笔 者 尝 试 构 造 h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = h t t p : / / w w w . b a i d u . c o m ，   发 现 也 可 以 成 功 访 问 ， 所 以 隐 约 觉 得 这 是 一 个 操 作 的 地 方 ， 由 于 那 个 开 源 系 统 找 不 到 了 ， 所 以 没 法 贴 图 了 ， 只 能 一 点 一 点 说 了 。 总 之 笔 者 通 过 分 析 上 下 的 代 码 ， 发 现 这 个 链 接 的 构 成 是 由 赋 予 a b c . p h p 一 个 外 部 的 u r l 参 数 ， 在 没 有 任 何 过 滤 ， 任 何 防 护 的 情 况 下 读 取 这 个 外 部 u r l 并 发 起 请 求 ， 就 可 以 尝 试 是 否 可 以 读 取 内 网 地 址 呢 ？ 于 是 笔 者 构 造 h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 ，   为 什 么 第 一 次 就 要 访 问 8 0 端 口 呢 ， 因 为 该 站 是 可 以 访 问 的 ， 所 以 8 0 端 口 必 开 放 ， 第 一 次 探 测 8 0 也 是 想 看 一 看 正 确 的 返 回 与 错 误 的 返 回 的 区 别 ， 访 问 完 h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 后 ， 得 到 正 确 的 返 回 结 果 ， 就 可 以 尝 试 继 续 访 问 9 0 端 口 ， 1 0 0 端 口 ， 等 等 。 不 过 笔 者 继 续 想 到 ， 这 个 地 方 既 然 存 在 S S R F ， 且 u r l 参 数 没 有 任 何 防 护 与 过 滤 ， 那 可 不 可 以 尝 试 读 取 文 件 呢 ， 说 来 就 来 ， 继 续 构 造 h t t p : / / w w w . x x x . c o m / a b c . p h p ? u r l = f i l e : / / / C : / W i n d o w s / w i n . i n i 。   发 现 读 取 成 功 ， 所 以 又 成 功 探 测 到 一 枚 文 件 读 取 。 w e b l o g i c 的 的 S S R F 漏 洞 漏 洞 提 起 W e b l o g i c ， 相 信 很 多 人 都 熟 悉 ， 所 以 关 于 W e b l o g i c 的 其 他 漏 洞 笔 者 就 不 献 丑 了 ， 就 只 在 这 个 地 方 聊 一 下 W e b l o g i c 的 S S R F 漏 洞 。 W e b L o g i c 的 S S R F 漏 洞 算 是 一 个 比 较 知 名 的 S S R F 漏 洞 ， 具 体 原 理 可 以 自 行 谷 歌 。 本 篇 主 要 是 通 过 复 现 该 漏 洞 来 加 深 对 S S R F 漏 洞 的 理 解 。 W e b l o g i c 的 S S R F 漏 洞 的 存 在 页 面 笔 者 就 不 说 了 ， 百 度 都 可 以 找 到 的 ， 页 面 的 样 子 是 这 个 样 子 的 ：
当 初 在 学 习 这 块 的 时 候 ， 以 为 只 要 存 在 这 个 页 面 就 必 有 S S R F ， 结 果 当 然 是 否 定 的 ， 在 借 鉴 了 大 佬 的 P P T 之 后 ， 发 现 一 共 有 如 图 四 种 回 显 状 态 ： 那 么 可 以 通 过 构 造 h t t p : / / x x x . c o m / u d d i e x p l o r e r / S e a r c h P u b l i c R e g i s t r i e s . j s p ? o p e r a t o r = h t t p : / / ( 要 探 测 的 内 网 地 址 ) & r d o S e a r c h = n a m e & t x t S e a r c h n a m e = s d f & t x t S e a r c h k e y = & t x t S e a r c h f o r = & s e l f o r = B u s i n e s s + l o c a t i o n & b t n S u b m i t = S e a r c h 对 其 进 行 探 测 ， 观 察 其 回 显 状 态 ， 判 断 是 否 存 在 目 标 网 段 ， 这 个 地 方 最 主 要 的 就 是 o p e r a t o r 这 个 参 数 ， 主 要 思 路 就 是 通 过 修 改 这 个 参 数 ， 来 探 测 内 网 地 址 和 内 网 端 口 ， 不 过 问 题 来 了 ， 上 面 刚 才 说 内 网 地 址 那 么 多 ， 我 们 要 怎 么 才 能 知 道 呢 ， 且 慢 ， 在 W e b l o g i c s s r f 的 漏 洞 页 面 点 击 这 里 ： 就 会 来 到 这 里 ， 有 时 候 由 于 配 置 不 当 的 关 系 ， 这 个 地 方 会 直 接 给 出 内 网 地 址 的 网 段 ：
有 网 段 了 ， 就 可 以 一 点 一 点 的 探 测 了 ， 探 测 内 网 的 t e l n e t ， s s h ， r e d i s ， 以 及 各 个 数 据 库 ， 为 以 后 的 内 网 漫 游 做 好 信 息 收 集 。 还 有 在 W e b l o g i c 的 S S R F 中 ， 有 一 个 比 较 大 的 特 点 ， 就 是 虽 然 它 是 一 个 “ G E T ” 请 求 ， 但 是 我 们 可 以 通 过 传 入 % 0 a % 0 d 来 注 入 换 行 符 ， 而 某 些 服 务 （ 如 r e d i s ） 是 通 过 换 行 符 来 分 隔 每 条 命 令 ， 也 就 说 我 们 可 以 通 过 该 S S R F 攻 击 内 网 中 的 r e d i s 服 务 器 。 手 动 反 弹 s h e l l ， 就 是 常 规 的 发 送 r e d i s 命 令 ， 然 后 把 弹 s h e l l 脚 本 写 入 c r o n t a b 中 ， 最 后 用 g e t 发 送 命 令 ， 不 过 别 忘 了 ， g e t 发 送 命 令 的 时 候 要 进 行 u r l 编 码 ， 最 后 在 服 务 器 上 进 行 监 听 就 O K 了 。 当 然 ， 作 为 一 名 脚 本 小 子 ， 手 动 探 测 以 及 反 弹 s h e l l 太 累 了 ， 好 在 网 上 的 探 测 脚 本 很 多 ， 不 过 试 了 很 多 ， 感 觉 还 是 下 面 这 个 很 顺 手 ， 在 此 贴 上 一 个 大 牛 的 脚 本 ， 可 以 很 方 便 的 探 测 S S R F 的 网 段 以 及 每 个 网 段 的 端 口 ， 甚 至 还 有 反 弹 s h e l l 的 功 能 ， 地 址 ： h t t p s : / / g i t h u b . c o m / N o n e N o t N u l l / S S R F X S S R F 这 个 漏 洞 虽 然 在 各 大 s r c 上 都 被 评 为 低 危 ， 但 是 这 是 因 为 它 本 身 的 危 害 有 限 ， 不 可 否 认 ， 若 是 与 其 他 漏 洞 ， 其 他 思 路 结 合 起 来 会 对 你 的 渗 透 过 程 方 便 很 多 ， 它 的 强 大 之 处 是 在 于 探 测 到 一 些 信 息 之 后 从 而 进 一 步 的 利 用 ， 比 如 获 取 内 网 的 开 放 端 口 信 息 ， 主 机 的 信 息 收 集 和 服 务 b a n n e r 信 息 ， 攻 击 内 网 和 本 地 的 应 用 程 序 及 服 务 ， 还 有 就 是 利 用 f i l e 协 议 读 取 本 地 文 件 ， 就 好 像 上 面 的 那 个 文 件 读 取 漏 洞 。 好 了 ， 以 上 就 是 我 要 分 享 的 内 容 ， 大 家 有 什 么 建 议 欢 迎 在 文 末 留 言 ， 互 相 学 习 交 流 ， 共 同 进 步 。 文 章 素 材 来 源 于 i 春 秋 社 区 1 、 W e b 安 全 学 习 攻 略 ， 值 得 收 藏 ！ 2 、 了 解 i O S   U R L   S c h e m e s 3 、 数 据 库 安 全 体 系 构 建 4 、 刺 透 内 网 的 H T T P 代 理 5 、 渗 透 技 术 的 使 用 案 例 6 、 利 用 P y t h o n 实 现 对 W e b 服 务 器 的 目 录 探 测 往 期 回 顾 往 期 回 顾
姿 势 已 摆 好 就 等 你 点 啦 i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理