搜索

[13171] 2018-09-11_一次安全测试引发的对Django框架文件上传安全机制的初步分析

文档创建者：s7ckTeam
浏览次数：53
最后更新：2025-01-18
2018-09-11_一次安全测试引发的对Django框架文件上传安全机制的初步分析 一 次 安 全 测 试 引 发 的 对 D j a n g o 框 架 文 件 上 传 安 全 机 制 的 初 步 分 析 原 创   F o r r e s t X 3 8 6   F r e e B u f   2 0 1 8 - 0 9 - 1 1 0 x 0 0 .   起 因 起 因 我 司 的 堡 垒 机 是 基 于 我 司 的 堡 垒 机 是 基 于 j u m p s e r v e r   0 . 3 版 本 进 行 二 次 开 发 ， 进 行 了 大 量 的 重 构 和 新 功 能 的 添 加 ， 基 本 满 足 了 公 司 版 本 进 行 二 次 开 发 ， 进 行 了 大 量 的 重 构 和 新 功 能 的 添 加 ， 基 本 满 足 了 公 司 安 全 运 维 的 需 求 。 在 对 文 件 上 传 接 口 进 行 安 全 审 计 的 时 候 发 现 ， 其 对 上 传 文 件 名 没 有 过 滤 处 理 ， 然 后 直 接 写 入 安 全 运 维 的 需 求 。 在 对 文 件 上 传 接 口 进 行 安 全 审 计 的 时 候 发 现 ， 其 对 上 传 文 件 名 没 有 过 滤 处 理 ， 然 后 直 接 写 入 磁 盘 （ 部 分 代 码 如 下 ） 磁 盘 （ 部 分 代 码 如 下 ） 隐 隐 觉 得 可 以 搞 搞 任 意 文 件 写 入 漏 洞 （ j u m p s e r v e r   w e b   控 制 面 板 都 是 以 r o o t 权 限 运 行 ， 如 果 可 以 任 意 文 件 写 入 ， 危 害 呵 呵 ， 你 懂 得 ） 。 启 动 b u r p s u i t e   ， 拦 截 请 求 ， 修 改 文 件 名 （ 含 有 目 录 穿 越 字 符 ） ， 但 是 结 果 没 成 功 ， 调 试 发 现 u p l o a d _ f i l e . n a m e   已 经 是 . . / . . / 等 目 录 穿 越 字 符 过 滤 后 的 结 果 ， 有 点 奇 怪 ， 莫 非 是 框 架 自 动 帮 我 过 滤 掉 了 ， 好 奇 心 驱 使 我 必 须 弄 明 白 其 中 的 原 理 ， 于 是 有 了 本 文 。 0 x 0 1 .   分 析 过 程 分 析 过 程 切 入 点 就 是 r e q u e s t . F I L E S   对 象 的 由 来 ， 整 个 流 程 涉 及 到 5 个 模 块 ， 如 下 ： d j a n g o . c o r e . h a n d l e r s . w s g i d j a n g o . h t t p . r e q u e s t d j a n g o . h t t p . m u l t i p a r t p a r s e r d j a n g o . c o r e . f i l e s . u p l o a d h a n d l e r d j a n g o . c o r e . f i l e s . u p l o a d e d f i l e r e q u e s t . F I L E S   是 一 个 类 似 于 d i c t 的 对 象 ， 上 传 文 件 输 入 框 n a m e 属 性 的 值 为 键 名 ， 键 值 指 向 处 理 后 的 文 件 对 象 （ 框 架 会 调 用 指 定 的 文 件 处 理 器 处 理 ） ， 这 个 文 件 对 象 就 是 d j a n g o . c o r e . f i l e s . u p l o a d e d f i l e   模 块 中 U p l o a d e d F i l e 类 的 实 例 。 详 细 分 析 如 下 : 访 问 r e q u e s t . F I L E S   就 是 访 问   d j a n g o . c o r e . h a n d l e r s . w s g i   模 块 中 W S G I R e q u e s t （ 继 承 至 d j a n g o . h t t p . r e q u e s t 模 块 的 H t t p R e q u e s t 类 ） 类 的 F I L E S 属 性 。
也 即 访 问 W S G I R e q u e s t . _ g e t _ f i l e s ， 这 个 方 法 会 先 判 断 是 否 已 经 解 析 过 上 传 的 文 件 （ 也 即 判 断 是 否 有 _ f i l e s 属 性 ， 其 实 F I L E S   就 是 _ f i l e s , M u l t i V a l u e D i c t   类 的 实 例 ） ， 跟 进 _ l o a d _ p o s t _ a n d _ f i l e s   方 法 （ 这 是 继 承 至 其 父 类 d j a n g o . h t t p . r e q u e s t 模 块 的 H t t p R e q u e s t 类 中 的 方 法 ） ， 如 下 ： 跟 进 p a r s e _ f i l e _ u p l o a d 方 法 ( 这 里 的 d a t a 为 W S G I R e q u e s t   的 实 例 ) ， 如 下 ：
这 里 要 先 说 下 u p l o a d _ h a n d l e r s   成 员 ， 如 下 ： 初 始 化 u p l o a d _ h a n d l e r s 的 时 候 会 调 用 d j a n g o . c o r e . f i l e s . u p l o a d h a n d l e r 模 块 的 l o a d _ h a n d l e r 加 载 系 统 默 认 的 文 件 处 理 器 ， 如 下 ：
默 认 就 是 指 的 红 框 中 的 两 个 文 件 处 理 器 ， 大 于 2 . 5 M 的 就 用 T e m p o r a r y F i l e U p l o a d H a n d l e r   处 理 器 ， 否 则 用 M e m o r y F i l e U p l o a d H a n d l e r 。 初 始 化 文 件 上 传 处 理 器 之 后 ， 就 开 始 调 用 d j a n g o . h t t p . m u l t i p a r t p a r s e r   模 块 的 M u l t i P a r t P a r s e r   类 的 p a r s e   方 法 对 上 传 文 件 进 行 解 析 处 理 ， 在 解 析 处 理 过 程 中 ， 会 调 用   h a n d l e _ f i l e _ c o m p l e t e   对 上 传 后 的 文 件 进 行 再 次 处 理 （ 处 理 完 成 后 就 返 回 一 个 d j a n g o . c o r e . f i l e s . u p l o a d e d f i l e . U p l o a d e d F i l e 类 的 实 例 ,   这 个 实 例 对 象 会 被 添 加 到 _ f i l e s   对 象 中 ， 然 后 由 p a r s e   方 法 返 回 此 对 象 ，   这 个 过 程 就 包 含 文 件 名 被 过 滤 掉 的 过 程 ） ， 如 下 ： 图 中 的 o l d _ f i l e d _ n a m e   即 为 上 一 个 解 析 完 毕 的 文 件 ， 跟 进 h a n d l e _ f i l e _ c o m p l e t e   ， 如 下 ： 跟 进 文 件 处 理 器 的 f i l e _ c o m p l e t e 方 法 ,   这 个 方 法 返 回 的 就 是 处 理 后 的 文 件 对 象 ， 也 就 是 0 x 0 0   图 中 u p l o a d _ f i l e   变 量 指 向 的 文 件 对 象 ， 这 里 我 们 以 M e m o r y F i l e U p l o a d H a n d l e r   文 件 处 理 器 为 例 进 行 说 明 ： s e t t i n g s . F I L E _ U P L O A D _ H A N D L E R S
也 就 是 说 0 x 0 0   中 的 u p l o a d _ f i l e   也 即 I n M e m o r y U p l o a d e d F i l e   类 的 实 例 ， 所 以 调 用 u p l o a d _ f i l e . n a m e   即 调 用 I n M e m o r y U p l o a d e d F i l e   的 n a m e 属 性 ， 如 下 ： 调 用 I n M e m o r y U p l o a d e d F i l e   的 n a m e 属 性 ， 即 调 用 g e t n a m e 方 法 ， 在 I n M e m o r y U p l o a d e d F i l e     实 例 话 的 过 程 中 有 n a m e 的 赋 值 操 作 （ 在 其 父 类 _ _ i n i t 方 法 中 ） 如 下 ：
赋 值 操 作 就 会 触 发 _ s e t _ n a m e 方 法 的 执 行 ： 在 _ s e t _ n a m e 中 就 会 对 上 传 的 文 件 进 行 过 滤 处 理 ， o s . p a t h . b a s e n a m e ( n a m e ) 防 止 了 目 录 穿 越 漏 洞 ， 所 以 我 们 在 0 x 0 0   图 中 使 用 u p l o a d f i l e . n a m e 获 取 到 的 是 经 过 o s . p a t h . b a s e n a m e   处 理 后 的 文 件 名 ， 当 然 没 法 任 意 文 件 写 入 了 0 x 0 2 .   总 结 总 结 梳 理 完 成 之 后 ， 终 于 对 D j a n g o   文 件 上 传 中 的 安 全 机 制 有 了 一 些 了 解 ， 解 决 了 我 的 困 惑 ， 像 D j a n g o   这 种 现 代 的 w e b 框 架 对 传 统 的 安 全 漏 洞 （ 比 如 X S S ， C S R F 、 文 件 上 传 等 ） 都 做 了 比 较 好 的 处 理 ， 在 开 发 中 ， 这 些 都 是 值 得 我 们 借 鉴 和 学 习 的 地 方 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： F o r r e s t X 3 8 6 ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理