搜索

[21259] 2020-10-03_2020HW热门0day分析与复现

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-10-03_2020HW热门0day分析与复现 2 0 2 0 H W 热 门 0 d a y 分 析 与 复 现 安 全 客   L e m o n S e c   2 0 2 0 - 1 0 - 0 3 作 者 ： 风 起             文 章 来 源 ： 安 全 客 深 信 服 深 信 服 E D R 漏 洞 分 析 漏 洞 分 析 R C E   g e t s h e l l 如 果 说 最 近 爆 出 的 0 d a y 当 中 最 为 人 熟 知 的 莫 过 于 最 先 爆 出 的 深 信 服 E D R 的 0 d a y 了 ， 只 需 要 凭 借 着 简 单 的 复 现 条 件 就 可 以 对 漏 洞 加 以 利 用 ， 那 么 我 们 下 面 来 分 析 一 下 深 信 服 E D R 的 几 个 比 较 高 危 的 漏 洞 吧 。 首 先 从 广 为 人 知 的 c . p h p 开 始 说 起 ， 这 个 漏 洞 的 复 现 条 件 极 为 简 单 ， 只 需 要 访 问 / t o o l / l o g / c . p h p 然 后 使 用 g e t 提 交 传 入 变 量 即 可 ， 利 用 e x p 如 下 ： 下 面 我 们 看 一 下 他 的 代 码 查 看 c . p h p 程 序 入 口 ， 可 以 看 到 调 用 了 s h o w _ f o r m 函 数 ， 并 且 利 用 R E Q U E S T 的 方 式 传 参 ， 然 后 我 们 跟 进 这 个 函 数 。 从 箭 头 处 我 们 可 以 看 到 这 里 调 用 了 e x t r a c t 函 数 ， 继 续 往 下 看 到 三 元 运 算 符 其 中 变 量 s t r i p _ s l a s h e s 指 向 了 一 个 函 数 ， 如 下 图 : 这 个 函 数 大 概 就 是 检 查 有 没 有 开 启 g p c 功 能 ， 如 果 没 有 开 启 则 直 接 r e t u r n 返 回 值 如 果 开 启 了 就 是 用 s t r i p s l a s h e s 函 数 进 行 转 义 。 h t t p : / / i p / t o o l / l o g / c . p h p ? s t r i p _ s l a s h e s = s y s t e m & h o s t = i d
？ ？ ？ ？ 相 信 屏 幕 前 的 你 也 一 堆 问 号 ， 神 奇 的 逻 辑 。 言 归 正 题 ， 回 到 s h o w _ f o r m 这 里 ， 那 么 我 们 是 不 是 就 可 以 通 过 覆 盖 掉 s t r i p _ s l a s h e s 以 及 h o s t 变 量 来 g e t s h e l l 了 呢 ？ 覆 盖 后 的 变 量 大 概 就 是 组 合 起 来 也 就 变 成 了 s y s t e m ( i d ) 从 而 执 行 了 命 令 呢 ？ 真 真 • 后 门 后 门 如 果 上 面 那 个 漏 洞 我 们 原 谅 了 开 发 ， 那 么 下 面 这 个 漏 洞 一 定 会 让 你 若 有 所 思 ！ 我 们 直 接 来 看 一 下 代 码 吧 ！ 我 想 可 能 刷 过 靶 场 的 小 伙 伴 对 这 串 代 码 都 不 陌 生 ， 没 错 这 不 就 是 简 单 难 度 的 变 量 覆 盖 漏 洞 吗 ？ 还 是 能 执 行 命 令 那 种 ， 至 于 利 用 方 法 也 是 非 常 简 单 ！ 神 奇 备 份 神 奇 备 份 这 个 也 没 有 什 么 可 说 的 直 接 上 图 吧 ！ 就 在 / t o o l / l o g 目 录 下 s t r i p _ s l a s h e s = s y s t e m & h o s t = i d h t t p : / / i p / p h p _ c l i . p h p ? c o d e = s y s t e m ( " w h o a m i " ) ;
越 权 登 陆 越 权 登 陆 这 里 的 越 权 登 陆 通 过 在 前 台 登 陆 页 面 l o g i n . p h p 界 面 进 行 传 参 提 交 用 户 名 可 越 权 至 终 端 后 台 ， 利 用 p a y l o a d 如 下 ： 迷 惑 验 证 码 迷 惑 验 证 码 我 们 分 析 / t o o l / l o g / l . p h p 代 码 ， 作 为 和 c . p h p 在 同 一 目 录 的 好 兄 弟 没 有 点 能 耐 好 意 思 在 这 个 目 录 呆 ？ 代 码 如 下 图 : 在 这 个 m a i n 函 数 中 ， 我 们 首 先 步 进 到 l d b _ r u n _ a t _ c o n s o l e 函 数 中 。 可 以 看 到 这 个 函 数 设 置 了 一 个 全 局 变 量 ， 最 后 r e t u r n 时 验 证 是 否 设 置 该 变 量 ， 返 回 然 后 t r u e 或 者 f a l s e ， 当 然 因 为 没 有 设 置 这 个 变 量 那 么 一 定 就 是 f a l s e ， 然 后 看 第 一 张 图 ， 也 就 满 足 了 第 一 层 i f 的 条 件 ， 然 后 继 续 往 下 看 第 二 层 ， 如 果 没 有 设 置 c a p t c h a 变 量 或 者 c a p t c h a 的 值 不 等 于 1 0 8 9 9 8 0 1 则 返 回 验 证 码 错 误 。 那 么 我 们 可 以 看 到 他 是 直 接 通 过 R E Q U E S T 的 方 式 接 收 值 ， 既 然 我 们 可 以 控 制 变 量 那 么 直 接 构 建 p a y l o a d 即 可 。 权 限 绕 过 权 限 绕 过 同 样 也 有 表 哥 挖 到 了 权 限 绕 过 漏 洞 ， 通 过 修 改 Y - F o r w a r d e d - F o r 的 值 为 空 以 及 其 默 认 没 有 配 置 文 件 导 致 变 量 值 为 空 在 比 较 时 可 以 越 权 获 取 特 权 ， 下 面 我 贴 一 下 文 章 地 址 ： 深 信 服 小 结 深 信 服 小 结 深 信 服 E D R 所 有 的 漏 洞 当 然 不 止 以 上 几 个 ， 在 t o o l 目 录 下 几 乎 无 一 例 外 的 都 有 变 量 覆 盖 漏 洞 ， 也 希 望 相 关 开 发 人 员 能 够 重 视 安 全 开 发 规 范 ， 我 认 为 漏 洞 产 生 的 原 因 就 是 开 发 没 有 做 到 数 据 与 代 码 分 离 从 而 致 使 可 以 控 制 变 量 并 加 以 利 用 ， 现 在 大 部 分 漏 洞 已 经 有 了 相 应 的 解 决 方 案 。 大 部 分 的 E D R 已 经 删 除 了 t o o l 目 录 ， 并 且 也 发 布 了 相 应 的 补 丁 ， 虽 然 发 补 丁 时 顺 道 把 源 码 泄 露 了 ， E X P 已 经 上 传 至 g i t h u b 有 兴 趣 的 小 伙 伴 可 以 自 行 下 载 。 h t t p : / / i p / u i / l o g i n . p h p ? u s e r = a d m i n h t t p : / / i p / l . p h p ? c a p t c h a = 1 0 8 9 9 8 0 1 h t t p s : / / m p . w e i x i n . q q . c o m / s / 4 Z 4 Q F - W d q 2 P h q C k G K B 8 Q 6 Q h t t p s : / / g i t h u b . c o m / w i k i Z / - E D R - E X P
宝 塔 越 权 漏 洞 宝 塔 越 权 漏 洞 这 个 漏 洞 于 8 月 2 3 日 上 午 公 开 ， 宝 塔 官 方 于 晚 上 8 点 发 布 短 信 紧 急 修 复 公 告 ， 漏 洞 通 过 访 问 指 定 u r l 可 以 直 接 越 权 利 用 ， 影 响 近 9 W 余 台 服 务 器 ， 利 用 p a y l o a d 如 下 ： 通 过 访 问 以 上 u r l 可 以 直 接 越 权 至 p h p m y a d m i n 后 台 ， 也 有 许 多 娱 乐 圈 黑 客 利 用 此 漏 洞 四 处 破 坏 ， 造 成 了 严 重 的 社 会 影 响 ， 更 有 甚 者 在 g o v 站 点 上 挂 黑 页 。 该 漏 洞 主 要 影 响 版 本 有 : 宝 塔 l i n u x 面 板   7 . 4 . 2 宝 塔 w i n d o w s 面 板 6 . 8 修 复 方 案 ： 1 、 升 级 宝 塔 面 板 至 最 新 版 本 7 . 4 . 3 ， 在 面 板 内 即 可 升 级 。 2 、 关 闭 8 8 8 端 口 。   通 达 通 达 O A   R C E 漏 洞 漏 洞 说 到 通 达 O A ， 它 最 近 爆 出 的 漏 洞 可 真 的 不 要 太 多 了 ， 就 在 几 个 月 之 前 也 爆 出 过 R C E   g e t s h e l l 漏 洞 ， 那 时 候 我 也 写 出 了 E X P 并 进 行 分 析 。 这 一 次 爆 出 的 R C E 同 样 是 a u t h 身 份 验 证 文 件 的 问 题 ， 但 却 不 是 他 的 锅 。 下 面 我 们 来 对 代 码 进 行 审 计 吧 ！ 漏 洞 影 响 版 本 ： 通 达 O A   <   v 1 1 . 7 首 先 漏 洞 的 关 键 产 生 原 因 就 是 文 件 删 除 漏 洞 ， 攻 击 者 通 过 该 漏 洞 删 除 了 a u t h 身 份 验 证 文 件 ， 导 致 验 证 失 效 从 而 进 行 任 意 文 件 上 传 ， 任 意 文 件 删 除 漏 洞 产 生 位 置 在 : h t t p : / / i p : 8 8 8 / p m a E X P 地 址 ： h t t p s : / / g i t h u b . c o m / w i k i Z / p a g o t a
我 们 来 看 一 下 它 的 源 码 P . S . 注 意 通 达 O A 的 源 码 是 加 密 的 需 要 使 用 s e a y D Z e n d 工 具 解 密 后 即 可 正 常 阅 读 源 码 在 上 图 代 码 中 我 们 可 以 看 到 用 户 可 以 通 过 G E T 方 式 控 制 变 量 g u i d ， 然 后 下 面 对 文 件 是 否 存 在 进 行 检 测 ， 如 果 存 在 则 会 调 用 u n l i n k 函 数 进 行 删 除 文 件 ， s _ t m p 变 量 这 里 拼 接 了 g u i d 变 量 ， 所 以 这 里 我 们 就 可 以 通 过 g u i d 参 数 进 行 目 录 穿 越 从 而 进 行 任 意 文 件 删 除 ， P A Y L O A D 如 下 ： 注 意 在 测 试 时 进 行 备 份 ， 删 除 了 a u t h . i n c . p h p 可 能 导 致 部 分 功 能 不 可 用 。 删 除 了 a u t h . i n c . p h p 文 件 ， 我 们 继 续 分 析 文 件 上 传 点 的 源 码 ， 漏 洞 发 生 位 置 为 ： 首 先 传 入 参 数 a c t i o n = u p l o a d 进 入 ， 然 后 传 入 不 存 在 的 f i l e t y p e 这 里 可 以 任 意 取 值 ， 最 后 传 入 r e p k i d 参 数 值 为 / . < > . / . < > . / . < > . /   逃 逸 f i l e _ e x i t s 函 数 。 数 据 包 中 构 建 上 传 文 件 操 作 ， 上 传 文 件 参 数 名 为 F I L E 1 。 / m o d u l e / a p p b u i l d e r / a s s e t s / p r i n t . p h p h t t p : / / i p / m o d u l e / a p p b u i l d e r / a s s e t s / p r i n t . p h p g u i d = . . / . . / . . / w e b r o o t / i n c / a u t h . i n c . p h p / g e n e r a l / d a t a _ c e n t e r / u t i l s / u p l o a d . p h p
这 里 的 逃 逸 操 作 ， 使 其 进 入 i f 条 件 中 拷 贝 文 件 至 网 站 根 目 录 。 最 后 直 接 访 问 即 可 。 数 据 包 如 下 图 ： 通 达 通 达 O A 漏 洞 小 结 漏 洞 小 结 修 复 方 式 ： 更 新 至 最 新 版 本 v 1 1 . 7 即 可 。 更 新 地 址 ： h t t p s : / / w w w . t o n g d a 2 0 0 0 . c o m / d o w n l o a d / s p 2 0 1 9 . p h p E X P 地 址 ： h t t p s : / / g i t h u b . c o m / w i k i Z / t o n g d a - d e l e t e R C E _ _ _ _ _   e n d   _ _ _ _ _ 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 h t t p : / / i p / _ f i l e n a m e . p h p
红 队 技 能 ： H a s h 读 取 与 端 口 转 发 民 航 业 网 络 安 全 工 作 思 考 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 从 攻 击 者 角 度 解 读 防 护 思 路 渗 透 测 试 干 货   |   横 向 渗 透 的 常 见 方 法 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理