搜索

[20765] 2017-05-31_python和django的目录遍历漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-05-31_python和django的目录遍历漏洞 p y t h o n 和 d j a n g o 的 目 录 遍 历 漏 洞 L e m o n S e c   2 0 1 7 - 0 5 - 3 1 攻 击 者 通 过 请 求 h t t p : / / 2 2 0 . 1 8 1 . 1 8 5 . 2 2 8 / . . / . . / . . / . . / . . / . . / . . / . . / . . / e t c / s y s c o n f i g / n e t w o r k - s c r i p t s / i f c f g - e t h 1 或 类 似 U R L ， 可 跨 目 录 读 取 系 统 敏 感 文 件 。   显 然 ， 这 个 漏 洞 是 因 为 W e b S e r v e r 处 理 U R L 不 当 引 入 的 。 我 们 感 兴 趣 的 是 ， 这 到 底 是 不 是 一 个 通 用 W e b S e r v e r 的 漏 洞 。 经 分 析 验 证 ， 我 们 初 步 得 出 ， 这 主 要 是 由 于 开 发 人 员 在 p y t h o n 代 码 中 不 安 全 地 使 用 o p e n 函 数 引 起 ， 而 且 低 版 本 的 d j a n g o 自 身 也 存 在 漏 洞 。 1 .   什 么 是 目 录 遍 历 漏 洞 “ 目 录 遍 历 漏 洞 ” 的 英 文 名 称 是 D i r e c t o r y   T r a v e r s a l   或   P a t h   T r a v e r s a l 。 指 攻 击 者 通 过 在 U R L 或 参 数 中 构 造 . . / . . % 2 F   / % c 0 % a e % c 0 % a e / % 2 e % 2 e % 2 f   或 类 似 的 跨 父 目 录 字 符 串 ， 完 成 目 录 跳 转 ， 读 取 操 作 系 统 各 个 目 录 下 的 敏 感 文 件 。 很 多 时 候 ， 我 们 也 把 它 称 作 “ 任 意 文 件 任 意 文 件 读 取 漏 洞 读 取 漏 洞 ” 。 2 .   P y t h o n 和 D j a n g o 的 目 录 遍 历 漏 洞   内 置 的 模 块 和 D j a n g o 模 板 标 签 ， 均 受 过 影 响 。 程 序 员 稍 不 谨 慎 ， 就 可 能 写 下 有 漏 洞 的 代 码 。 在 处 理 G E T 请 求 时 ， 我 直 接 取 p a t h ， 然 后 使 用 o p e n 函 数 打 开 p a t h 对 应 的 静 态 文 件 ， 并 H T T P 响 应 文 件 的 内 容 。 这 里 出 现 了 一 个 明 显 的 目 录 遍 历 漏 洞 ， 对 p a t h 未 做 任 何 判 断 和 过 滤 。 当 我 请 求 h t t p : / / l o c a l h o s t / e t c / p a s s w d 时 ， s e l f . p a t h 对 应 的 值 是 / e t c / p a s s w d ， 而 o p e n ( ‘ / e t c / p a s s w d ’ ) ， 自 然 可 以 读 取 到 p a s s w d 文 件 。   那 攻 击 者 为 什 么 要 构 造 / . . / . . / . . / . . / . . / . . / e t c / p a s s w d 呢 ？   这 是 为 了 防 止 程 序 过 滤 或 丢 失 最 左 侧 的 / 符 号 ， 让 起 始 目 录 变 成 脚 本 当 前 所 在 的 目 录 。 攻 击 者 使 用 多 个 . . 符 号 ， 不 断 向 上 跳 转 ， 最 终 到 达 根 / ， 而 根 / 的 父 目 录 就 是 自 己 ， 因 此 使 用 再 多 的 . . 都 无 差 别 ， 最 终 停 留 在 根 / 的 位 置 ， 如 此 ， 便 可 通 过 绝 对 路 径 去 读 取 任 意 文 件 。
  4 .   漏 洞 扫 描 该 漏 洞 扫 描 有 多 种 扫 描 方 法 ， 可 使 用 n m a p 的 h t t p - p a s s w d 脚 本 扫 描 （ h t t p : / / n m a p . o r g / n s e d o c / s c r i p t s / h t t p - p a s s w d . h t m l ） ， 用 法 ： n m a p   – s c r i p t   h t t p - p a s s w d   – s c r i p t - a r g s   h t t p - p a s s w d . r o o t = / t e s t /   I P 地 址 结 果 一 般 是 这 样 ： ?
1 2 3 4 5 6 7 8 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 h t t p - p a s s w d 默 认 只 扫 b a n n e r 为 h t t p 的   p o r t r u l e   =   s h o r t p o r t . h t t p 鉴 于 很 多 S e r v e r 默 认 端 口 不 是 8 0   我 们 可 以 扫 默 认 为 o p e n 的 状 态   甚 至 可 以 剔 除 s s h 和 f t p 的   更 改 / u s r / s h a r e / n m a p / s c r i p t s / h t t p - p a s s w d . n s e   p o r t r u l e   =   f u n c t i o n ( h o s t ,   p o r t )             r e t u r n   p o r t . s t a t e   = =   " o p e n " e n d 还 可 以 写 几 行 p y t h o n 脚 本 ， 检 查 H T T P 响 应 中 是 否 存 在 关 键 字 ， 只 需 几 行 代 码 ， 主 要 是 ： N m a p   s c a n   r e p o r t   f o r x x . x x . x x . x x H o s t   i s   u p   ( 0 . 0 2 8 s   l a t e n c y ) . N o t   s h o w n :   9 9 6 c l o s e d   p o r t s P O R T         S T A T E         S E R V I C E 1 / t c p       f i l t e r e d   t c p m u x 2 2 / t c p     o p e n           s s h 8 0 / t c p     o p e n           h t t p |   h t t p - p a s s w d :   D i r e c t o r y   t r a v e r s a l   f o u n d . |   P a y l o a d :   " / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d " |   P r i n t i n g   f i r s t   2 5 0 b y t e s : |   r o o t : x : 0 : 0 : r o o t : / r o o t : / b i n / b a s h |   b i n : x : 1 : 1 : b i n : / b i n : / s b i n / n o l o g i n |   d a e m o n : x : 2 : 2 : d a e m o n : / s b i n : / s b i n / n o l o g i n |   a d m : x : 3 : 4 : a d m : / v a r / a d m : / s b i n / n o l o g i n |   l p : x : 4 : 7 : l p : / v a r / s p o o l / l p d : / s b i n / n o l o g i n |   s y n c : x : 5 : 0 : s y n c : / s b i n : / b i n / s y n c | _ s h u t d o w n : x : 6 : 0 : s h u t d o w n : / s b i n : / s b i n 1 1 1 / t c p   o p e n           r p c b i n d
  c o n n   =   h t t p l i b . H T T P C o n n e c t i o n ( h o s t ,   t i m e o u t = 2 0 ) c o n n . r e q u e s t ( ' G E T ' ,   ' / . . / . . / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d ' ) h t m l _ d o c   =   c o n n . g e t r e s p o n s e ( ) . r e a d ( ) 还 发 现 一 些 小 伙 伴 通 过 c u r l 来 检 查 主 机 是 否 存 在 漏 洞 ， 确 实 也 很 方 便 :   c u r l   h t t p : / / l o c a l h o s t / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d   5 .   漏 洞 修 复   针 对 低 版 本 的 d j a n g o 和 p y t h o n 引 入 的 目 录 遍 历 ， 可 选 择 升 级 p y t h o n 和 d j a n g o 。   若 是 开 发 自 行 处 理 U R L 不 当 引 入 ， 则 可 过 滤 s e l f . p a t h ， 递 归 地 过 滤 掉 ”   . .   “ 。   或 者 是 当 发 现 U R L 中 存 在 . . ， 直 接 响 应 4 0 3 。 查 看 更 多 文 章 ， 关 注 下 方 二 维 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理