搜索

[13691] 2019-01-24_命令注入新玩法：巧借环境攻击目标

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-01-24_命令注入新玩法：巧借环境攻击目标 命 令 注 入 新 玩 法 ： 巧 借 环 境 攻 击 目 标 y a n g y a n g w i t h g n u   F r e e B u f   2 0 1 9 - 0 1 - 2 4 在 一 次 漏 洞 赏 金 活 动 中 ， 挖 掘 到 一 个 不 标 准 的 命 令 注 入 漏 洞 ， 我 无 法 用 命 令 分 隔 符 、 命 令 替 换 符 注 入 新 命 令 让 在 一 次 漏 洞 赏 金 活 动 中 ， 挖 掘 到 一 个 不 标 准 的 命 令 注 入 漏 洞 ， 我 无 法 用 命 令 分 隔 符 、 命 令 替 换 符 注 入 新 命 令 让 系 统 执 行 ， 所 以 ， 从 系 统 执 行 ， 所 以 ， 从 ” 型 态 型 态 ” 上 讲 ， 它 不 算 是 命 令 注 入 漏 洞 ； 但 我 又 可 以 借 助 目 标 环 境 让 载 荷 到 达 系 统 命 令 行 ， 上 讲 ， 它 不 算 是 命 令 注 入 漏 洞 ； 但 我 又 可 以 借 助 目 标 环 境 让 载 荷 到 达 系 统 命 令 行 ， 实 现 读 写 文 件 、 执 行 新 命 令 ， 所 以 ， 实 现 读 写 文 件 、 执 行 新 命 令 ， 所 以 ， ” 神 态 神 态 ” 来 看 ， 它 又 像 是 命 令 注 入 。 这 类 借 助 环 境 间 接 注 入 命 令 的 利 用 手 来 看 ， 它 又 像 是 命 令 注 入 。 这 类 借 助 环 境 间 接 注 入 命 令 的 利 用 手 法 ， 很 少 在 常 规 讨 论 命 令 注 入 的 文 章 中 看 到 ， 有 必 要 落 笔 成 文 ， 与 你 分 享 。 法 ， 很 少 在 常 规 讨 论 命 令 注 入 的 文 章 中 看 到 ， 有 必 要 落 笔 成 文 ， 与 你 分 享 。 0 x 0 0   酷 趣 酷 趣   w a r g a m e 由 于 受 赏 金 厂 商 保 密 协 议 所 限 ， 我 无 法 公 开 原 始 漏 洞 详 情 ， 但 我 更 清 楚   “ t a l k   i s   c h e a p ,   s h o w   m e   t h e   c o d e ” ， 耗 时 费 神 ， 找 到 一 个   w a r g a m e ， 相 较 赏 金 漏 洞 ， 不 但 体 现 了 相 同 精 髓 ， 这 个   w a r g a m e   还 多 了 些 限 制 条 件 ， 所 以 ， 让 它 变 得 更 加 有 趣 、 更 有 挑 战 。 我 把   w a r g a m e   源 码 写 入   C M D i _ l a b / e s c a p i n g _ q u o t a t i o n / i n d e x . p h p ， 核 心 如 下 ： 快 速 过 下 源 码 。 首 先 ， 用   G E T   方 法 获 取   f 1 、 f 2   两 个 参 数 ； 然 后 ， 用 相 同 的 正 则 过 滤   f 1 、 f 2 ， 包 括 过 滤 引 号 防 止 利 用 环 境 写   w e b s h e l l ， 过 滤 常 见 命 令 分 隔 符 （ ; ） 、 命 令 替 换 符 （ $ ( ) ） 防 止 注 入 新 命 令 ， 过 滤 常 见 命 令 （ l s 、 c a t ） 禁 止 基 础 操 作 ； 接 着 ， 用 引 号 再 建 一 道 防 御 工 事 ， 让 所 有 输 入 均 在 引 号 内 ， 让 命 令 行 元 字 符 失 效 ； 最 后 ， 以   f 1 、 f 2   为 命 令 参 数 执 行 系 统 命 令   f i l e 。 怎 么 样 ！ 看 上 去 是 很 完 善 的 防 御 体 系 。 先 正 常 访 问 试 试 ：
服 务 端 执 行   f i l e   命 令 ， 正 确 识 别 出 目 录 和 文 件 的 类 型 。 尝 试 提 交 命 令 分 隔 符 （ ; ） 和 命 令 替 换 符 （ ` ` ） ： 由 于 服 务 端 正 则 表 达 式 匹 配 上   ;   和   ` ` ， 导 致 提 交 的 文 件 名 被 置 为 空 ， 所 以 ， f i l e   提 示 无 法 找 到 相 关 文 件 。 经 验 主 义 ， 我 将 从 三 个 层 面 寻 找 突 破 口 ： 攻 击 正 则 、 攻 击 引 号 、 攻 击 命 令 行 。 那 么 ， 我 就 准 备 开 动 了 ， 各 位 。 0 x 0 1   成 败 正 则 成 败 正 则 在 命 令 注 入 场 景 下 审 查 正 则 表 达 式 ， 我 习 惯 关 注 四 个 方 面 ： 是 否 使 用 多 行 模 式 修 饰 符 （ / f o o / m ） 、 是 否 遗 漏 匹 配 对 象 末 尾 的 换 行 符 （ / ^ d + $ / ） 、 是 否 允 许 空 白 字 符 （ s ） 、 是 否 误 写 反 斜 杠 匹 配 模 式 （ / / ） 。 使 用 多 行 模 式 修 饰 符 。 把 多 行 模 式 用 于 匹 配 希 望 允 许 的 字 符 时 ， 就 会 存 在 逻 辑 问 题 。 比 如 ， 如 下 代 码 ：
原 本 希 望 只 允 许   x x . x x . x x . x x   格 式 的   I P   地 址 ， 由 于 使 用 多 行 模 式 ， 只 要 输 入 中 某 行 满 足 条 件 即 可 ， 那 么 ， 我 可 以 用 换 行 符 输 入 多 行 ， 第 一 行 满 足 要 求   1 2 7 . 0 . 0 . 1 、 第 二 行 任 意 内 容 ， 这 样 轻 松 绕 过 正 则 限 制 ： 本   w a r g a m e   未 使 用 多 行 模 式 ， 所 以 不 存 在 这 个 问 题 。 遗 漏 匹 配 对 象 末 尾 的 换 行 符 。 某 些 模 式 在 匹 配 时 会 忽 略 字 符 串 末 的 换 行 符 ， 而 换 行 符 自 身 又 是 一 个 有 效 的 目 录 分 隔 符 ， 将 导 致 注 入 新 命 令 。 如 下 代 码 ： 原 意 是 过 滤 掉 输 入 中 非 字 母 、 数 字 外 的 其 他 所 有 字 符 ， 输 入 换 行 符 试 试 ： 果 然 被 过 滤 了 。 但 ， 若 把 换 行 符 放 至 字 符 串 末 尾 ， 正 则 反 而 无 法 匹 配 上 ：
这 可 有 趣 了 ， 又 能 愉 快 地 注 入 新 命 令 了 ： 本   w a r g a m e   未 能 成 功 过 滤 掉 换 行 符 ， 但 不 是 因 为 上 面 的 原 因 。 允 许 空 白 字 符 。 空 白 字 符 包 括 空 格 、 换 行 符 、 水 平 制 表 符 、 垂 直 制 表 符 等 四 个 ， 命 令 注 入 的 好 朋 友 换 行 符 也 在 其 中 。 代 码 ： 本 意 只 允 许 字 母 、 数 字 、 空 格 等 字 符 ， 但 遗 漏 了 换 行 符 ， 导 致 命 令 注 入 漏 洞 ： 本   w a r g a m e   未 能 成 功 过 滤 掉 换 行 符 ， 但 不 是 因 为 上 面 的 原 因 。 误 写 反 斜 杠 匹 配 模 式 。 正 则 表 达 式 自 身 是 个 字 符 串 ， 并 非 直 接 传 递 给 正 则 引 擎 ， 而 是 先 由 语 言 对 字 符 串 进 行 处 理 后 再 传 递 给 正 则 引 擎 。 我 希 望 匹 配 上 反 斜 杠 （ ） ， 逆 向 思 考 下 这 个 过 程 ， 由 于 反 斜 杠 在 正 则 引 擎 是 个 特 殊 字 符 ， 所 以     才
能 让 正 则 引 擎 正 确 识 别 到 反 斜 杠   ； 正 则 引 擎 之 前 ，   经 过 语 言 的 的 字 符 串 处 理 ， 由 于 反 斜 杠 在 字 符 串 中 也 是 特 殊 字 符 ， 所 以 ， 一 个     就 得 用     表 示 、 两 个     就 得 用     表 示 。 那 么 ， 但 凡 用 正 则 表 达 式 匹 配 斜 杠 ， 必 须 得 用   。 这 是 不 具 备 原 生 字 符 串 特 性 （ r ） 的 脚 本 语 言 的 通 病 ， 是 有 一 点 绕 。 比 如 ： 访 问 看 看 ： 记 得   w a r g a m e   也 过 滤 了 反 斜 杠 ， 回 过 头 看 看 ， 哇 喔 ， 的 确 误 用 了 ： O K ， 在 正 则 部 分 ， 由 于 误 写 匹 配 模 式 ， 我 找 到 了 漏 网 之 鱼 ， 反 斜 杠 。 如 何 利 用 ？ 不 知 道 ， 走 一 步 看 一 步 。 0 x 0 2   引 号 逃 逸 引 号 逃 逸 接 着 我 来 琢 磨 下   2 5 、 2 6   行 。 这 两 行 目 的 很 清 晰 ， 用 引 号 包 裹 输 入 字 符 串 ， 预 防 可 能 因 正 则 过 滤 不 严 传 递 一 些 个 特 殊 字 符 到 命 令 行 环 境 ， 思 路 是 对 的 ， 但 效 果 就 差 强 人 意 了 。 载 荷 一 旦 进 入 引 号 内 ， 都 将 退 化 成 普 通 字 符 串 ， 好 无 杀 伤 力 ， 唯 一 例 外 ， 命 令 替 换 符 （ ` `   或   $ ( ) ） ， 遗 憾 的 是 ， 命 令 替 换 符 被 正 则 严 防 死 守 ， 无 法 到 达   2 5 、 2 6   行 。 所 以 ， 下 意 识 地 想 到 ， 引 号 逃 逸 。 引 号 逃 逸 ， 目 的 是 让 输 入 跳 脱 至 引 号 外 ， 恢 复 特 殊 字 符 的 身 份 ， 而 不 再 被 引 号 所 束 缚 ， 仅 仅 是 个 普 通 字 符 。 我 常 用 两 种 手 法 ， 一 是 闭 合 、 二 是 转 义 。 闭 合 手 法 逃 逸 引 号 。 在 输 入 中 添 加 一 个 引 号 ， 让 其 与 左 引 号 结 对 ， 自 然 闭 合 ， 接 着 输 入 中 就 能 出 现 恶 意 字 符 ， 最 后 输 入 中 再 添 加 一 个 引 号 ， 与 右 引 号 结 对 ， 或 者 ， 输 入 注 释 符 以 忽 略 右 引 号 。 比 如 ：
我 的 所 有 输 入 都 只 能 留 在 引 号 内 ， 导 致 命 令 分 隔 符 无 法 被 命 令 行 正 确 识 别 ： 我 在 输 入 中 增 加 两 个 引 号 （ ② 、 ③ ） ， 这 样 刚 好 与 代 码 中 的 引 号 闭 合 （ ①   和   ② 、 ③   和   ④ ） ， 所 以 ， 我 的 其 他 输 入 字 符 （ ; i d ; ） 就 能 出 现 在 引 号 之 外 ， 成 功 逃 逸 引 号 ： 转 义 手 法 逃 逸 引 号 。 引 号 自 身 也 是 个 特 殊 字 符 ， 如 果 有 办 法 让 它 变 成 普 通 字 符 ， 那 么 输 入 的 其 他 特 殊 字 符 就 能 让 命 令 行 正 确 识 别 。 反 斜 杠 可 以 办 到 ！ 如 下 代 码 ： 含 有 恶 意 字 符 的 输 入 被 限 定 在 引 号 内 ：
假 设 服 务 端 生 成 的 命 令 模 型 为   f i l e   “ f o o ”   “ ; d a t e ” ， 这 时 ， 我 利 用 反 斜 杠 将   ②   号 引 号 转 义 为 普 通 字 符 ， 那 么   ①   和   ③   号 引 号 将 自 然 结 合 ， 接 着 利 用 注 释 符 将   ④   号 引 号 注 释 掉 ， ; d a t e   对 于 命 令 行 直 接 可 见 ， 逻 辑 上 我 能 用   f i l e   “ f o o ”   “ ; i d # b a r ”   注 入 任 意 命 令 ， 再 次 逃 逸 到 引 号 外 ： 注 ， 注 释 符   #   需 要   U R L   编 码 为   % 2 3 。 好 了 ， 还 记 得 前 面 我 找 到 正 则 漏 洞 无 法 过 滤 反 斜 杠 么 ， w a r g a m e   中 的 引 号 已 经 无 法 束 缚 我 ， 虽 然 当 下 无 法 直 接 利 用 ， 但 至 少 又 让 我 向 前 迈 出 一 步 。 0 x 0 3   选 项 注 入 选 项 注 入 继 续 看   2 9 、 3 0   两 行 的 命 令 执 行 代 码 。 显 然 这 与 命 令 注 入 漏 洞 多 少 有 些 关 系 。 命 令 注 入 常 见 三 种 手 法 ： 利 用 命 令 分 隔 符 注 入 命 令 、 利 用 命 令 替 换 符 注 入 命 令 、 利 用 命 令 选 项 注 入 命 令 。 命 令 分 隔 符 注 入 命 令 。 命 令 分 隔 符 包 括 换 行 符 （ n ） 、 分 号 （ ; ） 、 逻 辑 与 （ & & 、 & ） 、 逻 辑 或 （ | | 、 | ） ， 若 在   w i n   批 处 理 脚 本 中 还 能 用   % 1 A 。 比 如 ： 命 令 替 换 符 注 入 命 令 。 s h e l l   优 先 执 行 命 令 替 换 符 内 的 命 令 ， 目 的 是 便 于 运 维 人 员 将 前 个 命 令 的 输 出 作 为 后 个 命 令 的 输
入 。 命 令 替 换 符 包 括   $ ( … ) 、 反 引 号   。 比 如 ： 命 令 选 项 注 入 命 令 。 命 令 选 项 （ o p t i o n ） 和 命 令 参 数 （ a r g u m e n t ） 是 两 个 概 念 ， 国 内 外 很 多 文 献 都 将 他 俩 混 淆 。 比 如 ： 其 中 ， - d   是 命 令 选 项 、 / t m p /   是 命 令 参 数 。 很 多 时 候 ， 蓝 队 过 滤 掉 所 有 命 令 分 隔 符 、 命 令 替 换 符 ， 虽 然 我 无 法 直 接 注 入 命 令 ， 但 我 可 以 注 入 其 他 命 令 选 项 ， 这 就 给 我 很 大 想 像 空 间 ， 某 些 选 项 可 以 读 取 文 件 、 有 些 又 能 写 入 文 件 、 甚 至 执 行 其 他 命 令 。 比 如 ， 有 个 页 面 ， 可 以 将   w e b   目 录 打 包 为 你 指 定 的 归 档 文 件 ， 输 入 为 归 档 文 件 名   $ a r c h i v e   参 数 ， 服 务 端 过 滤 所 有 命 令 注 入 相 关 字 符 ， 调 用   s y s t e m ( “ t a r   - c f ”   .   $ a r c h i v e   .   “ * ” )   执 行 命 令 ： 但 我 通 过 注 入   t a r   命 令 的   — c h e c k p o i n t 、 — c h e c k p o i n t - a c t i o n = e x e c   两 个 选 项 ， 成 功 执 行 命 令   i d ： w a r g a m e   中 执 行 的 是   f i l e   命 令 ， 查 看 下 它 有 哪 些 用 得 上 的 选 项 ， 比 如 ， 是 否 有 选 项 可 以 读 文 件 ， m a n   中 搜 索   r e a d ， 找 到   - f   选 项 ： 仔 细 看 下 ， 该 参 数 并 不 能 读 取 显 示 文 件 内 容 ， 只 是 从 该 文 件 中 获 取 文 件 列 表 ， 没 意 思 ( 。 ・ _ ・ 。 ) 。 等 等 ， 报 错 信 息 中 有 啥 提 示 ： 哇 噢 ， 历 害 啦 ， 通 过 注 入 命 令 选 项   - f ， 让 我 可 以 读 取   w a r g a m e   的 文 件 内 容 。 . . .
0 x 0 4   全 面 瓦 解 全 面 瓦 解 管 它 金 城 汤 池 还 是 铜 墙 铁 壁 ， 一 颗 松 滑 螺 钉 ， 它 将 全 面 瓦 解 。 将 多 个 独 立 漏 洞 组 合 成 漏 洞 链 ， 完 成 目 标 攻 击 ， 绝 对 是 我 的   G   点 。 回 顾 前 面 的 成 果 ， 由 于 误 写 正 则 表 达 式 ， 导 致 无 法 过 滤 反 斜 杠 ； 通 过 反 斜 杠 ， 可 以 逃 逸 引 号 ； 通 过 引 号 逃 逸 ， 创 造 出 命 令 选 项 注 入 的 条 件 ； 通 过 注 入   - f   选 项 ， 实 现   f l a g 文 件 读 取 。 过 滤 反 斜 杠 的 正 则 ， 就 是 那 颗 松 滑 的 螺 钉 。 现 在 ， 攻 击 目 标 前 ， 还 剩 一 个 问 题 ， 我 并 不 清 楚   f l a g   文 件 路 径 及 文 件 名 。 首 先 想 到 的 是 暴 破 。 土 ！ 的 确 很 土 气 ， 用 常 见 的   f l a g 、 F L A G 、 f 1 4 g   等 等 常 见   f l a g   名 暴 了 一 遍 ， 毫 无 收 获 。 换 个 手 法 ， 通 配 符 模 式 匹 配 。 这 下 洋 气 了 吧 。 通 配 符 模 式 匹 配 （ g l o b b i n g   p a t t e r n s ） ， 也 叫 路 径 名 扩 展 （ p a t h n a m e   e x p a n s i o n ） ， 简 单 来 说 ， 在 表 示 文 件 名 / 目 录 名 或 路 径 时 ， 你 可 以 用   ?   代 表 任 一 可 见 字 符 、 用   *   代 表 零 或 多 个 可 见 字 符 、 用   [ a - z ]   代 表 字 符 范 围 ， 唯 一 例 外 ， 以   .   开 头 的 文 件 或 目 录 、 以   /   分 隔 的 路 径 必 须 显 式 写 明 ， 否 则 无 法 被 模 式 匹 配 。 比 如 ， 我 并 不 还 知 道   / t m p /   目 录 下 有 个 名 为   F i n d M e   的 文 件 ， 但 ， 借 助 通 配 符 多 次 测 试 ， 不 但 刺 探 出 该 文 件 的 存 在 ， 还 成 功 查 看 到 文 件 内 容 ： 好 ， 现 在 一 切 就 绪 ， 攻 击   C M D i _ l a b / e s c a p i n g _ q u o t a t i o n 。 有 了 前 面 的 分 析 ， 我 构 造 了 载 荷   f 1 = f o o & f 2 = - f   ?   b a r   # ， 将 f i l e   “ f o o ”   “ b a r ”   转 换 为   f i l e   “ f o o ”   “ - f   ?   b a r   # ” ， 猜 解 文 件 名 只 有 一 个 字 符 的 文 件 ：
显 然 ， 没 找 到 这 样 的 文 件 ， 相 同 思 路 ， 借 助   b u r p   自 动 查 找 文 件 名 长 度 在   [ 1 ,   1 6 ]   的 所 有 文 件 ： 跑 完 还 是 没 有 找 到 任 何 文 件 。 这 就 奇 怪 了 ， 前 面 说 过 ， 通 配 符 无 法 匹 配   . ， 莫 非 是 隐 藏 文 件 ， 调 整 下 载 荷 ， f 1 = f o o & f 2 = - f   . ?   b a r   # ， 再 次 暴 破 ： 找 到 名 为   . f 1 a 9   的 目 录 ， 继 续 调 整 载 荷   f 1 = f o o & f 2 = - f   . f 1 a 9 / . ?   b a r   # ， 暴 破 ： 找 到 名 为   . f 1 a 9 _ / . f l a g _ 1 5 _ h e r e . t x t   的 文 件 ， 带 上 准 确 路 径 访 问 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理