搜索

[13325] 2018-10-21_Cookie篡改与命令注入

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-10-21_Cookie篡改与命令注入 C o o k i e 篡 改 与 命 令 注 入 原 创   A o h a n h   F r e e B u f   2 0 1 8 - 1 0 - 2 1 * 本 文 原 创 作 者 ： A o h a n h ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 在 渗 透 测 试 过 程 中 ， 我 们 经 常 会 遇 到 c o o k i e 得 不 到 正 确 的 利 用 ， 但 是 在 一 些 框 架 中 （ 比 如 P L A Y 、 R A C K ） ， 我 们 能 利 用 c o o k i e 达 到 欺 骗 或 篡 改 的 目 的 ， 达 到 跨 权 登 陆 ， 拿 取 W e b s h e l l 控 制 网 站 权 限 的 作 用 。 c o o k i e   篡 改 篡 改   ( c o o k i e   p o i s o n i n g )   是 一 项 主 要 以 获 取 模 拟 和 隐 私 权 泄 密 著 称 的 技 术 ， 通 过 维 护 客 户 （ 或 终 端 用 户 ） 身 份 的 会 话 信 息 操 纵 来 实 现 的 。 通 过 打 造 这 些 是 一 项 主 要 以 获 取 模 拟 和 隐 私 权 泄 密 著 称 的 技 术 ， 通 过 维 护 客 户 （ 或 终 端 用 户 ） 身 份 的 会 话 信 息 操 纵 来 实 现 的 。 通 过 打 造 这 些   c o o k i e   ， 攻 击 者 可 以 模 ， 攻 击 者 可 以 模 拟 一 个 有 效 的 客 户 ， 因 此 获 取 详 细 信 息 并 执 行 代 表 病 毒 的 行 为 。 这 种 打 造 的 能 力 ， 像 会 话 拟 一 个 有 效 的 客 户 ， 因 此 获 取 详 细 信 息 并 执 行 代 表 病 毒 的 行 为 。 这 种 打 造 的 能 力 ， 像 会 话   c o o k i e   （ 或 者 更 通 俗 地 说 ， 会 话 标 识 ） 源 自 于 这 些 标 识 不 是 以 安 全 的 方 式 产 生 的 事 实 。 （ 或 者 更 通 俗 地 说 ， 会 话 标 识 ） 源 自 于 这 些 标 识 不 是 以 安 全 的 方 式 产 生 的 事 实 。 在 p e n t e s t e r 环 境 中 存 在 C o o k i e 篡 改 与 命 令 注 入 的 W E B 程 序 ， 我 们 下 载 下 来 搭 建 ， 下 载 地 址 ： h t t p s : / / p e n t e s t e r l a b . c o m / e x e r c i s e s / r a c k _ c o o k i e s _ a n d _ c o m m a n d s _ i n j e c t i o n 一 个 普 通 的 登 录 界 面 ， 可 以 将 攻 击 分 为 四 个 部 分 ： 1 . 指 纹 识 别 ： 收 集 有 关 W e b 应 用 程 序 和 正 在 使 用 的 技 术 的 信 息 。 2 . 暴 力 强 制 验 证 页 面 。 3 . 篡 改 机 架 c o o k i e 以 获 得 管 理 员 权 限 。 4 . 从 管 理 页 面 ， 通 过 注 入 获 取 命 令 ， 以 运 行 底 层 操 作 系 统 上 的 任 何 命 令 。 一 、 指 纹 识 别 一 、 指 纹 识 别 抓 个 包 b u r p s u i t , 查 看 信 息 , 我 们 可 以 看 到 应 用 程 序 使 用 A p a c h e   2 . 2 . 1 6 和 P h u s i o n   P a s s e n g e r   3 . 0 . 1 2 在 D e b i a n 服 务 器 上 运 行 。 P h u s i o n 可 能 是 托 管 基 于 R u b y   /   R a c k 的 应 用 程 序 的 最 常 用 方 法 。 我 们 还 可 以 看 到 应 用 程 序 将 我 们 重 定 向 到 具 有 H T T P   3 0 2 和 L o c a t i o n 标 头 。 扫 扫 端 口 ： n e t c a t     t e l n e t 等 等 。 二 、 暴 力 破 解 二 、 暴 力 破 解 该 题 为 一 正 常 渗 透 题 ， 登 陆 界 面 考 虑 S Q L 注 入 和 爆 破 等 ， s q l 注 入 万 能 密 码 等 报 错 没 法 实 现 ， 采 用 爆 破 。 爆 破 方 法 ： 1 、 b u r p s u i t       2 、 p a t a t o r 暴 力 破 解 ， 这 里 采 用 p a t a t o r 暴 力 破 解 ， ( P a t a t o r （ h t t p : / / c o d e . g o o g l e . c o m / p / p a t a t o r / ） 是 一 个 多 协 议 暴 力 破 解 工 具 ， 它 可 用 于 查 找 W e b 应 用 程 序 和 许 多 其 他 服 务 的 默 认 凭 据 ) 。 扫 描 语 句 ： p a t a t o r   h t t p _ f u z z   u r l = h t t p : / / 目 的 地 址 / l o g i n   m e t h o d = P O S T   b o d y = ’ l o g i n = F I L E 0 & p a s s w o r d = F I L E 0 ’   0 = ~ / 1 2 3 . t x t   a c c e p t _ c o o k i e = 1     f o l l o w = 1   - x   i g n o r e : f g r e p = ’ D N S   M a n a g e r   L o g i n ’     - l / t m p / p a t a t o r h t t p _ f u z z 用 于 告 诉 P a t a t o r 使 用 该 模 块 h t t p _ f u z z ； u r l =   用 于 设 置 U R L ； e t h o d = P O S T   告 诉 P a t a t o r 使 用 H T T P   P O S T ； b o d y   是 基 于 我 们 之 前 收 集 的 信 息 的 请 求 的 主 体 。 我 们 还 希 望 使 用 a c c e p t _ c o o k i e = 1 和 f o l l o w = 1 接 受 应 用 程 序 发 回 的 c o o k i e 并 遵 循 重 定 向 ， 因 为 应 用 程 序 在 尝 试 失 败 后 重 定 向 我 们 ， 它 可 能 会 成 功 尝 试 。 - x   i g n o r e : f g r e p = ’ D N S   M a n a g e r   L o g i n ’   用 于 告 诉 P a t a t o r 忽 略 包 含 “ D N S   M a n a g e r   L o g i n ” 的 响 应 ， 一 旦 我 们 登 录 ， 很 可 能 我 们 不 会 在 网 站 的 经 过 身 份 验 证 的 部 分 看 到 这 一 点 。 找 到 爆 破 出 的 账 号 密 码 ， 登 陆 成 功 ！ 三 、 篡 改 三 、 篡 改 c o o k i e 提 权 提 权 登 录 并 检 查 H T T P 流 量 时 ， 您 可 以 看 到 服 务 器 发 回 一 个 名 为 的 c o o k i e   r a c k . s e s s i o n 。 我 们 将 看 到 如 何 解 码 和 修 改 此 c o o k i e 以 提 升 我 们 的 权 限 。 默 认 的 C o o k i e 有 两 种 形 式 。 C o o k i e : r a c k . s e s s i o n = B A h 7 B k k i D 3 N l c 3 N p b 2 5 f a W Q G O g Z F R i J F N W E 4 O W J h Z m N h N D c 2 M G Y 1 M T A 0 M T J m % 0 A Z T M 0 M D J l Z j E 3 M z A x N 2 Z j M z B j Y W R m M W N i Y T g w N G Y x N z E 3 N T I 1 N T g x N j Z m Y w % 3 D % 3 D % 0 A ; p a t h = / ;   H t t p O n l y 2 . 字 符 串 和 签 名 分 隔 符 号 — ：                           S e t - C o o k i e : r a c k . s e s s i o n = B A h 7 B k k i D 3 N l c 3 N p b 2 5 f a W Q G O g Z F R i J F Y m J i M T R i O D I 3 Y j d l O D g 2 O W M w N W Y 3 % 0 A N j d m M G N l Z j g 2 Y j V k N 2 V j M D Q x N 2 Z l Y T U 0 Y W M 3 Z T I 5 O T U w N T Y 3 M j g z M W I 3 Y g % 3 D % 3 D % 0 A
— 6 1 2 1 5 f a 1 3 9 4 2 9 0 3 f a a 4 6 5 2 f 7 3 e 6 1 3 a a 0 c e d 6 d b 2 d ;   p a t h = / ;   H t t p O n l y r a c k . s e s s i o n 是 R u b y 里 面 的 中 间 件 实 现 的 一 个 方 法 ， 可 以 访 问 应 用 程 序 的 源 代 码 ， 则 可 以 通 过 搜 索 “ 使 用 R a c k   : :   S e s s i o n   : :   C o o k i e ” 快 速 检 查 用 于 签 署 c o o k i e 的 值 。 如 果 使 用 签 名 的 c o o k i e ， 该 行 应 该 看 起 来 像 ` 使 用 R a c k : : S e s s i o n : : C o o k i e ,   : s e c r e t   = >   “ s 3 c r 3 t ” 。 看 到 可 以 访 问 应 用 程 序 通 过 一 系 列 操 作 过 后 的 源 码 ， 那 么 我 们 可 以 对 获 取 到 的   c o o k i e 进 行 解 码 。 C o o k i e 编 码 分 为 三 个 部 分 ： 1 . 使 用 r u b y 函 数 M a r s h a l . d u m p 序 列 化 该 对 象 ； 2 . 结 果 使 用 b a s e 6 4 编 码 ； 3 . 然 后 对 结 果 进 行 U R L 编 码 以 防 止 H T T P 出 现 任 何 问 题 。 为 了 解 码 c o o k i e ， 我 们 需 要 反 转 这 三 个 操 作 ： 1 . 提 取 c o o k i e 值 ： 删 除 c o o k i e 的 名 称 和 选 项 以 及 签 名 ； 2 . 使 用 U R L 编 码 和 b a s e 6 4 解 码 此 值 ； 3 . 使 用 r u b y 函 数 M a r s h a l . l o a d 加 载 对 象 。 通 过 观 察 r a c k . s e s s i o n 的 形 式 判 断 为 字 符 串 和 签 名 分 隔 符 号 — ， 所 以 再 将 c o o k i e 解 码 后 还 需 要 将 之 后 的 签 名 重 新 匹 配 。 我 们 首 先 获 取 解 码 过 后 的 c o o k i e 值 ， 写 一 个 R u b y 脚 本 ： 9 9 . r b 返 回 结 果 ： 通 过 执 行 这 些 操 作 ， 我 们 现 在 可 以 访 问 服 务 器 提 供 的 信 息 。 访 问 信 息 是 好 的 ， 特 别 是 如 果 开 发 人 员 在 c o o k i e 中 存 储 敏 感 信 息 ， 但 是 这 里 的 目 标 是 操 纵 c o o k i e 以 进 一 步 尝 试 修 改 我 们 刚 解 码 的 值 以 更 改 属 性 a d m i n 。 1 . 要 篡 改 未 签 名 的 c o o k i e ， 我 们 需 要 解 码 c o o k i e ， 篡 改 它 然 后 重 新 编 码 。 我 们 刚 刚 看 到 了 如 何 解 码 c o o k i e ， 现 在 我 们 只 需 要 修 改 属 性 并 重 新 编 码 。 首 先 ， 我 们 需 要 在 U s e r 类 中 添 加 一 行 才 能 访 问 该 a d m i n 属 性 ： 类 里 面 添 加 a t t t _ a c c e s s o r   : a d m i n 。 之 后 再 将 C o o k i e 编 码 ：
2 . 篡 改 签 名 的 c o o k i e ， 要 篡 改 签 名 的 c o o k i e ， 需 要 找 到 用 于 签 署 c o o k i e 的 秘 密 ， 使 用 以 前 的 脚 本 来 篡 改 和 重 新 签 名 被 篡 改 的 c o o k i e 。 在 文 件 l i b / r a c k / s e s s i o n / c o o k i e . r b 中 有 如 何 对 签 名 进 行 匹 配 的 方 法 ： 写 一 个 R u b y 脚 本 匹 配 密 码 字 典 ， 获 得 生 成 该 签 名 的 密 钥 ： 4 5 6 7 8 9 . r b 此 处 的 c o o k i e 为 破 解 登 陆 t e s t 过 后 获 取 的 c o o k i e 。 结 果 ： 此 处 我 们 获 取 了 该 c o o k i e 的 签 名 密 钥 ， 说 明 我 们 可 以 重 新 签 名 我 们 需 要 提 交 的 C o o k i e 。 添 加 以 下 脚 本 代 码 ：
如 果 一 切 正 确 完 成 ， 您 应 该 得 到 H T T P   /   2 0 0 响 应 。 但 是 很 多 浏 览 器 会 重 新 编 码 某 些 字 符 ， 如 果 你 重 定 向 到 登 录 页 面 。 就 会 返 回 3 0 2 。 我 们 可 以 采 用 b u r p s u i t 重 新 提 交 c o o k i e 。 页 面 重 新 加 载 ， 返 回 为 管 理 员 界 面 ， 提 权 成 功 。 四 、 四 、 命 令 注 入 命 令 注 入 当 开 发 人 员 无 法 确 保 用 户 发 送 的 参 数 被 正 确 编 码 时 ， 页 面 易 受 命 令 注 入 攻 击 。 有 很 多 方 法 可 以 获 取 命 令 注 入 ： 1 . 用 ` ` 来 获 取 我 们 想 要 先 运 行 的 命 令 ； 2 . 使 用 | ， & 或 ; 在 第 一 个 之 后 插 入 另 一 个 命 令 。 与 任 何 W e b 漏 洞 一 样 ， 测 试 和 查 找 命 令 执 行 是 基 于 大 量 的 尝 试 来 尝 试 理 解 代 码 可 能 对 您 提 供 的 数 据 执 行 的 操 作 。 您 需 要 在 应 用 程 序 中 找 到 命 令 中 使 用 参 数 的 位 置 。 然 后 ， 您 可 以 尝 试 操 纵 此 参 数 以 触 发 错 误 或 奇 怪 的 行 为 。 如 果 您 没 有 看 到 任 何 更 改 ， 您 还 可 以 尝 试 使 用 服 务 器 回 答 的 时 间 。 例 如 ， 您 可 以 使 用 以 下 命 令 在 服 务 器 响 应 中 创 建 延 迟 ： 如 果 您 看 到 时 间 延 迟 ， 则 可 能 会 在 远 程 服 务 器 上 注 入 命 令 并 运 行 任 意 命 令 。 首 先 我 们 尝 试 直 接 在 修 改 或 者 新 建 数 据 的 窗 口 进 行 命 令 注 入 。 页 面 返 回 错 误 ： 然 而 ， 基 于 R u b y 的 应 用 程 序 的 一 个 非 常 普 遍 的 问 题 是 对 正 则 表 达 式 如 何 工 作 的 误 解 ： 在 R u b y 中 ， 正 则 表 达 式 默 认 是 多 行 的 。 例 如 ， 以 下 正 则 表 达 式 / ^ d + $ / 将 验 证 ： “ 1 2 3 ” ， 与 任 何 其 他 语 言 一 样 ； “ 1 2 3     n   a r b i t r a r y   d a t a ” ； “   a r b i t r a r y   d a t a   n 1 2 3     n   a r b i t r a r y   d a t a ” 。 我 们 现 在 可 以 通 过 抓 包 并 % 0 a 在 请 求 中 注 入 新 行 （ 编 码 为 ） 和 任 意 命 令 来 测 试 此 值 ： 页 面 返 回 信 息 ： 正 如 我 们 所 看 到 的 ， 服 务 器 不 会 发 回 命 令 注 入 的 完 整 输 出 。 我 们 需 要 找 到 一 种 通 过 其 他 方 式 获 取 此 信 息 的 方 法 。 第 一 种 方 法 是 ， 如 果 命 令 每 行 只 返 回 一 个 单 词 ， 则 过 滤 第 一 个 单 词 。 例 如 ， 您 可 以 运 行 l s ， 它 将 G e m f i l e 作 为 第 一 个 结 果 返 回 。 然 后 你 可 以 运 行 l s   |   g r e p   - v   G e m f i l e ， 然 后 返 回 c o n f i g . r u 。 您 可 以 继 续 操 作 直 到 获 得 所 有 结 果 ， 但 是 您 可 能 会 达 到 参 数 的 大 小 限 制 并 返 回 到 默 认 错 误 消 息 。 使 用 第 一 个 命 令 ， 我 们 看 到 （ 通 过 运 行 p w d ） 应 用 程 序 位 于 / v a r / w w w 。 由 于 应 用 程 序 是 基 于 R a c k 的 应 用 程 序 ， 因 此 很 可 能 存 在 公 共 存 储 库 （ 据 我 所 知 ， 这 是 强 制 性 的 ） 。 我 们 可 以 使 用 此 信 息 来 运 行 命 令 并 将 结 果 放 入 文 件 中 ， / v a r / w w w / p u b l i c 或 者 只 将 文 件 复 制 到 此 存 储 库 。
例 如 ， 我 们 可 以 运 行 ： 然 后 ， 我 们 可 以 直 接 访 问 h t t p ： / / 目 的 地 址 / p a s s w d 。 总 结 ： 当 网 站 采 用 r u b y - P L A Y 框 架 时 ， 我 们 能 将 c o o k i e 篡 改 达 到 提 权 登 陆 的 目 的 ， 使 用 i r b 将 c o o k i e 解 码 ， 用 a d m i n 管 理 员 用 户 登 陆 成 功 ， 上 传 w e b s h e l l , 从 而 威 胁 网 站 权 限 。 此 文 部 分 内 容 转 载 于 ： h t t p s : / / w w w . p e n t e s t e r l a b . c o m / e x e r c i s e s / r a c k _ c o o k i e s _ a n d _ c o m m a n d s _ i n j e c t i o n / c o u r s e ， 谢 谢 浏 览 。 * 本 文 原 创 作 者 ： A o h a n h ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理