搜索

[28649] 2020-11-10_记一次受委托的产品安全测试

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-11-10_记一次受委托的产品安全测试 记 一 次 受 委 托 的 产 品 安 全 测 试 H e n r y   O t s 安 全   2 0 2 0 - 1 1 - 1 0 前 言 前 言 一 个 平 平 无 奇 的 周 末 ， 哥 们 儿 发 来 消 息 ， 说 自 己 手 上 有 个 产 品 安 全 测 试 搞 不 定 ， 想 让 我 帮 帮 忙 — — 本 来 是 不 乐 意 的 ， 但 海 底 捞 实 在 是 香 ， 所 以 有 了 这 次 受 委 托 的 产 品 安 全 测 试 。 一 、 组 件 漏 洞 排 查 一 、 组 件 漏 洞 排 查 在 测 试 前 ， 开 发 已 将 【 产 品 用 到 的 组 件 】 以 发 了 过 来 。 而 咱 们 要 做 的 ， 就 是 确 认 这 些 组 件 是 否 存 在 已 披 露 的 漏 洞 。 在 这 部 分 工 作 中 ， 会 经 常 用 到 几 个 平 台 ， 因 此 也 就 介 绍 给 各 位 师 傅 。 s n y k . i o   h t t p s : / / s n y k . i o / v u l n / s e a r c h ? t y p e = a n y & q = f a s t j s o n C V E   D e t a i l s   h t t p s : / / w w w . c v e d e t a i l s . c o m / g o o g l e - s e a r c h - r e s u l t s . p h p ? q = t h i n k p h p s e e b u g   h t t p s : / / w w w . s e e b u g . o r g / s e a r c h / ? k e y w o r d s = t h i n k p h p 当 然 ， 搜 索 引 擎 语 法 搜 索 引 擎 语 法 必 须 拥 有 姓 名 ， 例 如 ： 一 般 情 况 下 ， 此 环 节 主 要 靠 个 人 经 验 完 成 ， 但 由 于 开 发 不 一 定 一 次 把 组 件 和 版 本 给 你 说 全 了 ， 因 此 常 常 需 要 测 试 到 后 期 ， 比 如 拿 到 个 s h e l l ， 才 能 摸 清 整 个 的 组 件 情 况 。 那 么 ， 开 始 吧 。 本 次 测 试 的 组 件 如 下 ： T h i n k P H P   3 T P   3 ： 但 没 说 清 楚 是 哪 个 子 版 本 ， t p < = 3 . 2 . 3 是 存 在 注 入 漏 洞 的 。 一 般 可 以 通 过 路 由 报 错 来 确 定 版 本 ， 或 者 在 有 源 码 时 直 接 查 看 配 置 文 件 （ 可 全 局 搜 索 ） 。 P H P   5 . 4 P H P   5 . 4 ： 版 本 不 高 。 据 我 所 知 ， 首 先 是 不 存 在 % 0 0 截 断 问 题 （ 在 P H P   5 . 3 . 2 4 修 复 ） ， 还 有 其 它 问 题 吗 ， 暂 时 没 想 到 — — 不 着 急 ， 咱 们 继 续 往 后 走 。 二 、 全 端 口 扫 描 二 、 全 端 口 扫 描 W E B 产 品 ， 肯 定 是 部 署 在 某 台 主 机 环 境 上 的 ， 因 此 主 机 漏 洞 也 需 要 关 注 ， 否 则 上 线 时 容 易 被 黑 阔 撸 穿 。 全 端 口 扫 描 ， 本 来 是 直 接 命 令 行 运 行 s i t e : w w w . c n v d . o r g . c n   t h i n k p h p T H I N K _ V E R S I O N
直 接 冲 即 可 。 不 过 ， 这 一 回 ， 我 还 想 介 绍 一 种 全 端 口 扫 描 的 技 巧 ， 利 用 环 境 变 量 ,   先 快 速 扫 全 端 口 ， 再 有 针 对 性 地 对 开 放 端 口 做 漏 洞 扫 描 ， 命 令 如 下 ： p o r t s = $ ( n m a p   - p -   - - m i n - r a t e = 1 0 0 0   - T 4   1 0 . 1 3 . 3 8 . 1 1   |   g r e p   ^ [ 0 - 9 ]   |   c u t   - d   ' / '   - f   1   |   t r   ' n '   ' , '   |   s e d   s / , $ / / ) n m a p   - p $ p o r t s   - s C   - s V   1 0 . 1 3 . 3 8 . 1 1 扫 描 结 果 :   略 三 、 三 、 W E B 目 录 爆 破 目 录 爆 破 爆 破 w e b 目 录 的 原 因 呢 ， 其 实 跟 渗 透 一 样 ： 开 发 常 常 会 遗 漏 一 些 未 授 权 访 问 的 a p i 或 备 份 文 件 ， 越 先 于 攻 击 者 找 到 它 们 ， 产 品 的 风 险 就 越 低 。 例 如 的 未 授 权 ， 就 是 由 于 接 口 未 授 权 访 问 所 导 致 的 。 工 具 方 面 ， 我 选 用 的 目 录 爆 破 工 具 是   d i r s e a r c h   +   D i r b u s t e r   ,   这 俩 都 支 持 保 存 扫 描 结 果 ， 但 我 对 它 俩 的 看 法 是 这 样 的 ： d i r s e a r c h ： 重 在 快 速 快 速 确 定 重 要 的 路 径 以 确 定 问 题 ， 如 a c t u a t o r 未 授 权 、 备 份 文 件 、 a p i 接 口 、 常 见 后 台 等 ； D i r b u s t e r ： 重 在 全 面 全 面 地 爆 破 路 径 。 使 用 4 0 万 关 键 词 级 别 的 m e d i u m 字 典 ， 可 以 爆 破 出 不 少 文 件 夹 ， 效 果 还 不 错 。 扫 描 结 果 :   略 四 、 四 、 W E B 安 全 内 容 测 试 安 全 内 容 测 试 经 过 紧 张 的 测 试 ， 共 发 现 以 下 几 处 漏 洞 ， 下 面 一 起 来 看 看 。 0 x 0 1   服 务 端 自 动 填 充 密 码 服 务 端 自 动 填 充 密 码 既 然 是 产 品 安 全 测 试 ， 那 开 发 必 然 是 要 给 账 号 、 密 码 的 ， 但 成 功 登 录 后 ， 我 猛 然 意 识 到 不 对 劲 。 我 在 另 外 一 台 机 器 上 访 问 后 台 ， 看 到 登 录 口 赫 然 填 着 密 码 — — 合 着 在 上 一 次 成 功 登 录 后 ， 服 务 端 直 接 将 账 号 、 密 码 写 在 前 端 页 面 中 了 。 真 有 你 的 ！ 再 理 一 理 逻 辑 ： 密 码 既 然 不 是 浏 览 器 自 动 填 充 的 ， 那 必 然 就 是 服 务 端 （ 直 接 将 上 一 次 成 功 登 录 的 账 号 密 码 ， 作 为 默 认 值 填 充 到 输 入 框 中 了 （ 也 许 是 为 了 方 便 ） ， 妥 妥 的 逻 辑 问 题 。 另 外 ， 此 处 无 验 证 码 、 且 无 防 止 重 放 的 t o k e n ， 所 以 存 在 账 号 、 密 码 可 被 暴 力 破 解 的 风 险 。 三 分 钟 ， 两 个 洞 ， 妥 妥 的 低 危 小 子 ！ 好 家 伙 ， 测 试 一 整 天 就 找 到 了 明 文 密 码 漏 洞 ， 真 有 你 的 ！ 0 x 0 2   X S S 进 到 后 台 ， 在 属 性 编 辑 页 面 属 性 编 辑 页 面 习 惯 性 地 插 入 ， 观 察 后 端 是 否 对 页 面 的 输 出 进 行 了 H T M L 实 体 转 义 ， 结 果 发 现 未 对 尖 括 号 转 义 。 下 图 的 左 边 部 分 ， 可 以 看 到 ， 已 经 跟 H T M L 代 码 " 融 为 一 体 " 了 , 那 么 可 以 用 右 尖 括 号 闭 合 标 签 ， 我 们 填 写 一 个 弹 框 的 p a y l o a d ， n m a p   - p - S p r i n g   B o o t A c t u a t o r / a c t u a t o r / e n v ! [ 图 片 . p n g ] ( h t t p s : / / c d n . n l a r k . c o m / y u q u e / 0 / 2 0 2 0 / p n g / 1 6 6 0 0 8 / 1 6 0 4 3 8 6 8 8 2 2 4 6 - c d d c a 7 c a - 8 e 5 9 - 4 a 7 1 - 9 6 9 3 - f e 3 8 4 b 1 a 0 9 2 a . p n g # a l i g n = l e f t & d i s p l a y = i n l i n e & h e i g h t = 5 2 2 & m a r g i n = % 5 B o b j e c t % 2 0 O b j e c t % 5 D & n a m e = % E 5 % 9 B % B E % E 7 % 8 9 % 8 7 . p n g & o r i g i n H e i g h t = 5 2 2 & o r i g i n W i d t h = 9 3 8 & s i z e = 9 0 2 6 7 & s t a t u s = d o n e & s t y l e = n o n e & w i d t h = 9 3 8 ) < " > < > < s p a n < " > < s c r i p t > a l e r t ( / x s s / ) < / s c r i p t >
， 刷 新 — — 弹 框 — — 没 毛 病 ， 存 储 型 X S S 到 手 。 既 然 有 了 存 储 型 的 X S S ， 反 射 型 的 X S S 肯 定 也 少 不 了 ， 简 单 找 了 找 ， 又 发 现 了 一 处 接 口 存 在 G E T 类 型 的 反 射 X S S ， 主 要 还 是 服 务 器 返 回 的 页 面 类 型 是 ,   即 浏 览 器 会 把 页 面 内 容 当 成 h t m l 页 面 进 行 渲 染 ， 另 外 该 接 口 的 特 点 是 输 入 的 参 数 会 体 现 在 响 应 中 输 入 的 参 数 会 体 现 在 响 应 中 ， 二 者 结 合 即 为 反 射 X S S 。 哪 个 打 工 人 愿 意 只 止 步 于 X S S 呢 ？ 我 们 继 续 找 找 有 没 有 更 严 重 一 些 的 漏 洞 。 0 x 0 3   命 令 注 入 命 令 注 入 复 杂 命 令 ， 简 单 注 入 。 看 了 看 后 台 的 功 能 点 ,   是 偏 向 于 给 网 管 用 的 运 维 工 具 ,   比 如 可 以 对 L i n u x 服 务 器 做 登 录 扫 描 ,   当 然 ,   前 提 是 咱 们 得 输 入 s s h 的 账 号 、 密 码 。 越 高 端 的 操 作 往 往 越 接 近 底 层 ， 越 底 层 的 东 西 往 往 越 危 险 。 大 胆 猜 测 ： 要 完 成 登 录 S S H 的 操 作 ， 后 端 实 现 可 能 是 调 用 的 ， 说 不 定 存 在 O S 命 令 注 入 的 问 题 ， 试 试 ? #   用 s s h p a s s 直 接 远 程 连 接 某 台 主 机 s s h p a s s   - p   p a s s w o r d   s s h   r o o t @ 1 2 7 . 0 . 0 . 1 从 、 、 、 一 直 试 到 反 引 号 ， 都 是 直 接 报 错 ， 好 家 伙 ， 都 给 过 滤 了 呗 。 然 而 转 机 常 在 灰 头 土 脸 时 到 来 :   开 发 忘 记 了 过 滤 和 括 号 ， 一 发 ， 睡 了 五 秒 再 醒 过 来 ， 正 好 拿 到 s h e l l 。 拿 到 s h e l l 后 的 第 一 件 事 :   拿 授 权 ,   拖 代 码 ,   审 计 。 0 x 0 4   S Q L 注 入 注 入 这 套 系 统 ,   跟 我 审 计 O n e T h i n k 的 那 篇 文 章 一 样 ， 都 是 T P 3 的 框 架 :   一 开 始 想 着 看 看 是 否 也 存 在 前 台 登 录 绕 过 的 问 题 前 台 登 录 绕 过 ： 在 U S E R N A M E 处 实 施 注 入 ,   用 U N I O N   S E L E C T 联 合 查 询 ,   控 制 数 据 库 返 回 的 密 码 值 ,   使 其 与 P A S S W O R D 值 相 同 ,   以 此 来 达 成 前 台 登 录 的 绕 过 . 先 说 结 论 :   由 于 系 统 的 用 户 名 参 数 并 无 注 入 ， 即 无 法 控 制 数 据 库 返 回 的 密 码 值 ， 那 么 就 算 知 道 了 密 码 的 加 密 方 式 ， 也 无 法 构 成 前 台 登 录 的 绕 过 。 意 味 者 后 台 也 没 有 。 后 台 存 在 不 少 用 变 量 ， 都 是 拼 接 的 用 户 输 入 ,   用 单 引 号 闭 合 即 可 实 施 注 入 ， S Q L M A P 一 把 梭 即 可 直 捣 黄 龙 。 不 过 ， 话 又 说 回 来 ： 都 有 s h e l l 了 ,   要 后 台 的 S Q L 注 入 干 嘛 ， 命 令 执 行 不 香 ？ 0 x 0 5   前 台 前 台 S S R F C o n t e n t - T y p e :   t e x t / h t m l s s h p a s s & & | | > < $ ( ) $ ( s l e e p   5 ) $ w h e r e
在 一 路 审 计 代 码 的 过 程 中 ,   又 发 现 了 几 处 缺 乏 认 证 的 P H P 散 文 件 ,   首 先 找 到 的 是 两 处 S S R F H T T P S 型 型 S S R F 注 册 的 时 候 ， 发 现 请 求 数 据 里 存 在 一 个 i p 地 址 的 字 段 ,   跟 到 源 码 里 ,   原 来 后 端 会 对 其 进 行 请 求 只 不 过 ,   由 于 属 性 并 未 启 用 ,   导 致 不 能 使 用 3 0 2 跳 转 ,   只 能 做 请 求 万 金 油 型 万 金 油 型 S S R F 还 有 一 个 支 持 3 0 2 的 S S R F 问 题 :   跟 进 函 数 ,   它 是 一 个 开 启 了 的 C U R L 封 装 ,   那 么 我 们 就 能 用 3 0 2 跳 转 到 协 议 来 打 内 网 。 当 然 ： 此 处 只 做 论 证 ， 不 演 示 。 0 x 0 6   前 台 任 意 文 件 上 传 前 台 任 意 文 件 上 传 其 实 ， 刚 刚 那 张 图 中 的 分 支 处 ， 是 存 在 任 意 文 件 上 传 的 ,   只 不 过 文 件 是 传 到 了 内 网 ， 并 无 实 际 用 处 。 后 来 ， 我 注 意 到 使 用 了 一 个 文 件 上 传 相 关 的 组 件 ， 在 中 ,   存 在 以 下 代 码 c u r l C U R L O P T _ F O L L O W L O C A T I O N h t t p s g o C U R L O P T _ F O L L O W L O C A T I O N g o p h e r c a s e   1 2 3 x x x x x x / u p l o a d f i l e / a p p . p h p
/ / a p p . p h p < ? p h p $ D I R   =   ' b a s e ' ; $ s r c   =   f i l e _ g e t _ c o n t e n t s ( ' p h p : / / i n p u t ' ) ; i f   ( p r e g _ m a t c h ( " # ^ d a t a : i m a g e / ( w + ) ; b a s e 6 4 , ( . * ) $ # " ,   $ s r c ,   $ m a t c h e s ) )   {         $ a p p U r l   =   s p r i n t f (                 " % s : / / % s % s " ,                 i s s e t ( $ _ S E R V E R [ ' H T T P S ' ] )   & &   $ _ S E R V E R [ ' H T T P S ' ]   ! =   ' o f f '   ?   ' h t t p s '   :   ' h t t p ' ,                 $ _ S E R V E R [ ' H T T P _ H O S T ' ] ,                 $ _ S E R V E R [ ' R E Q U E S T _ U R I ' ]         ) ;         $ a p p U r l   =   s t r _ r e p l a c e ( " a p p . p h p " ,   " " ,   $ a p p U r l ) ;         $ b a s e 6 4   =   $ m a t c h e s [ 2 ] ;         $ t y p e   =   $ m a t c h e s [ 1 ] ;         i f   ( $ t y p e   = = =   ' j p e g ' )   {                 $ t y p e   =   ' j p g ' ;         }         $ f i l e n a m e   =   m d 5 ( $ b a s e 6 4 ) . " . $ t y p e " ;         $ f i l e P a t h   =   $ D I R . D I R E C T O R Y _ S E P A R A T O R . $ f i l e n a m e ;         i f   ( f i l e _ e x i s t s ( $ f i l e P a t h ) )   {                 d i e ( ' { " r e s u l t "   :   " $ a p p U r l " . ' b a s e / ' . " $ f i l e n a m e " ' ) ;         }   e l s e   {                 $ d a t a   =   b a s e 6 4 _ d e c o d e ( $ b a s e 6 4 ) ;                 f i l e _ p u t _ c o n t e n t s ( $ f i l e P a t h ,   $ d a t a ) ;                 d i e ( ' { " r e s u l t "   :   " $ a p p U r l " . ' b a s e / ' . " $ f i l e n a m e " ' ) ;         } 这 真 是 教 科 书 级 的 上 传 漏 洞 啊 ,   不 但 能 让 人 学 正 则 ,   又 熟 悉 了 伪 协 议 。 本 来 我 还 准 备 了 H T M L 的 上 传 表 单 ， 没 想 到 连 这 步 都 省 了 。 整 个 文 件 的 逻 辑 是 ： 通 过 正 则 ， 提 取 出 形 如 的 字 符 串 中 和   值 ， 分 别 作 为 文 件 后 缀 和 文 件 内 容 。 那 么 利 用 方 式 就 呼 之 欲 出 了 ： 直 接 将 上 传 内 容 进 行 b a s e 6 4 编 码 ， 把 数 据 放 到 P O S T _ D A T A 里 ， 实 现 无 损 上 传 P H P 文 件 。 并 且 ， 由 于 文 件 内 容 缺 少 P H P 脚 本 的 特 征 ， 上 传 过 程 顺 带 把 W A F 给 绕 了 — — 我 直 呼 内 行 d a t a : i m a g e / p h p ; b a s e 6 4 , d X B s b 2 F k I H R l c 3 Q 8 P 3 B o c C B w a H B p b m Z v K C k 7 I D 8 + 前 台 上 传 ,   一 发 入 魂 ， 直 接 起 飞 。 实 际 上 ， X S S 、 S Q L i   、 S S R F ， 都 只 是 手 段 ， 不 是 目 的 — — 要 是 存 在 前 台 R C E 问 题 的 话 ， 为 什 么 不 提 出 来 呢 ？ 0 x 0 7   前 台 命 令 执 行 前 台 命 令 执 行 经 过 复 杂 的 变 量 跟 踪 ,   最 终 发 现 一 处 获 取 网 管 机 器 版 本 的 接 口 存 在 未 授 权 命 令 执 行 ,   可 谓 一 瞬 起 飞 。 总 结 总 结 弦 歌 渐 远 ， 海 底 捞 吃 完 了 ， 生 活 还 得 继 续 ： 最 近 在 看 阿 里 巴 巴 的 J a v a 开 发 手 册 ， 作 者 在 第 一 章 里 就 提 到 了 S Q L 注 入 ， 开 发 牛 ， 安 全 的 知 识 也 不 落 下 ， 可 见 功 底 之 深 厚 。 其 实 ， 开 发 也 好 ， 安 全 也 罢 ， 都 不 能 闭 门 造 车 ： 开 发 需 要 了 解 安 全 ， 安 全 也 应 当 学 学 开 发 ； d a t a : i m a g e / X X X X X ; b a s e 6 4 , Y Y Y Y Y Y Y X X X X X Y Y Y Y Y Y Y
毕 竟 ， 不 懂 开 发 的 我 ， 现 在 还 在 打 工 。 阅 读 原 文 转 载 ： 先 知 社 区     作 者 : H e n r y 原 文 链 接 ： h t t p s : / / x z . a l i y u n . c o m / t / 8 4 7 7
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理