设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14495] 2019-08-21_全程带阻：记一次授权网络攻防演练 ...
返回列表 发新帖
查看: 3|回复: 0

[14495] 2019-08-21_全程带阻：记一次授权网络攻防演练（上）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-56

积分

管理员

积分
-56
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-08-21_全程带阻：记一次授权网络攻防演练（上） 全 程 带 阻 ： 记 一 次 授 权 网 络 攻 防 演 练 （ 上 ） y a n g y a n g w i t h g n u   F r e e B u f   2 0 1 9 - 0 8 - 2 1 完 整 攻 击 链 大 概 包 括 信 息 搜 集 、 漏 洞 利 用 、 建 立 据 点 、 权 限 提 升 、 权 限 维 持 、 横 向 移 动 、 痕 迹 清 除 等 七 步 ， 虽 完 整 攻 击 链 大 概 包 括 信 息 搜 集 、 漏 洞 利 用 、 建 立 据 点 、 权 限 提 升 、 权 限 维 持 、 横 向 移 动 、 痕 迹 清 除 等 七 步 ， 虽 然 这 个 站 点 只 经 历 了 前 四 步 ， 但 也 具 有 较 强 的 代 表 性 ， 组 合 利 用 漏 洞 形 成 攻 击 连 ， 拿 下 管 理 权 限 。 然 这 个 站 点 只 经 历 了 前 四 步 ， 但 也 具 有 较 强 的 代 表 性 ， 组 合 利 用 漏 洞 形 成 攻 击 连 ， 拿 下 管 理 权 限 。 事 情 缘 起 事 情 缘 起 杜 兄 弟 在 某 旅 游 集 团 公 司 任 职   I T   技 术 主 管 ， 有 两 家 驻 场 安 全 厂 商 为 其 提 供 安 全 服 务 ， 一 家 负 责 业 务 相 关 的 渗 透 测 试 ， 一 家 负 责 网 络 访 问 、 流 量 监 测 的 安 全 管 控 ， 上 周 和 他 吃 了 个 串 串 ， 整 个 饭 局 除 了 刚 开 始 的 寒 喧 ， 大 部 份 时 间 就 是 布 道 ， 在 他 的 管 理 下 ， 生 产 系 统 做 到 了 绝 对 安 全 。 w e l l ， 你 知 道 的 ， 虽 然 我 在 蓝 队 ， 但 一 直 有 颗 红 心 。 自 然 得 怼 一 下 ， “ 这 个 还 是 要 看 攻 击 者 哟 ， 攻 防 演 练 没 丢 分 ， 说 明 不 了 啥 子 三 ” ， 杜 兄 弟 不 高 兴 了 ， 在 酒 精 的 作 用 下 ， 他 开 腔 了 ， “ 这 样 ， 我 帮 你 申 请   5 K   的 漏 洞 赏 金 ， 你 看 哈 能 找 到 啥 问 题 不 ” 。 对 嘛 ， 找 得 到 ， 挣 点 油 钱 ， 找 不 到 ， 当 学 习 ， 于 是 就 应 下 来 了 。 杜 兄 弟 看 我 敢 接 招 ， 临 走 前 点 了 根 烟 ， 猛 吸 了 两 口 ， 思 索 片 刻 后 又 给 我 加 了 两 个 限 定 条 件 ， 一 是 ， 每 步 实 质 攻 击 前 ， 必 须 先 得 到 他 的 授 权 ， 二 是 ， 单 个 漏 洞 不 算 完 成 任 务 ， 必 须 拿 到 操 作 系 统   r o o t 。 w o w ， 挺 大 的 挑 战 ， 拿 不 下 就 打 脸 ， 我 陷 入 激 烈 的 思 想 斗 争 ， w a i t 、 w a i t ， 我 不 是 应 该 向 钱 看 么 ， 脸 面 不 重 要 ， o k ， 一 下 就 想 通 了 。 初 步 刺 探 初 步 刺 探 拿 到 的 目 标 是 个 供 应 商 管 理 系 统 ， 访 问 之 ， 自 动 跳 转 至 登 录 页 面 ： 正 准 备 启 动 信 息 收 集 工 作 ， 页 面 上 有 三 个 地 方 引 起 了 我 的 注 意 ： . d o   的 接 口 地 址 、 登 录 功 能 、 密 码 找 回 功 能 。 审 查   . d o   接 口 。 看 到   . d o   自 然 联 想 到   s t r u t s 2   命 令 执 行 全 家 桶 。 看 下 用 的 哪 种 脚 本 语 言 ：
的 确 是   j a v a ， 用 安 恒 出 品 的   S 2   漏 洞 验 证 工 具 扫 描 下 ： 无 果 。 审 查 登 录 功 能 。 登 录 功 能 的 审 查 点 很 多 ， 比 如 账 号 是 否 可 枚 举 、 密 码 是 否 可 暴 破 ， 但 前 提 是 没 有 验 证 码 ， 显 然 这 里 存 在 图 片 验 证 码 ， 所 以 ， 我 先 确 认 验 证 码 是 否 可 绕 过 。 拦 截 登 录 请 求 ：
应 答 标 志 为   2 ， 第 二 次 重 发 ， 应 答 标 志 变 为   1 ： 显 然 ， 验 证 码 防 御 机 制 有 效 ， 虽 然   p y t h o n   调 用   t e s s e r a c t   识 别 图 片 的 手 法 可 有 效 攻 击 图 片 验 证 码 ， 但 需 要 我 爬 取 该 站 的 大 量 图 片 来 训 练 ， 这 个 阶 段 无 需 太 深 入 ， 暂 时 放 一 放 。 审 查 密 码 找 回 功 能 。 密 码 找 回 功 能 很 容 易 出 现 逻 辑 错 误 ， 经 验 来 看 ， 至 少 可 从 七 个 方 面 攻 击 密 码 找 回 功 能 ： 重 置 凭 证 接 收 端 可 篡 改 、 重 置 凭 证 泄 漏 、 重 置 凭 证 未 校 验 、 重 置 凭 证 可 暴 破 、 用 户 混 淆 、 应 答 中 存 在 影 响 后 续 逻 辑 的 状 态 参 数 、 t o k e n   可 预 测 。 访 问 密 码 找 回 页 面 ： 拦 截 密 码 找 回 的 请 求 ：
从 应 答 描 述 可 知 ， 提 示 该 用 户 不 存 在 ， 重 发 几 次 ， 结 果 相 同 ， 说 明 图 片 验 证 码 未 生 效 ， 好 了 ， 第 一 个 洞 ， 用 户 名 可 枚 举 。 显 然 ， 用 户 名 在 该 请 求 的   p a r a m s   参 数 中 ， U R L   解 码 可 得 明 文 ： 于 是 ， 将   r o o t   设 定 为 枚 举 变 量 ， 加 载 中 国 人 姓 名 （ t o p 5 0 0 ） 、 后 台 账 号 两 个 字 典 ， 进 行 枚 举 ： 得 到 三 个 有 效 账 号 ： n a n a 、 a d m i n 、 l i u f e i 。 随 意 选 个 账 号 进 入 密 码 找 回 流 程 ， l i u f e i ， 应 答 为   J S O N   数 据 ， 格 式 化 后 吓 我 一 跳 ：
敏 感 信 息 大 赠 送 ！ 有 邮 箱 ， 甚 至 有 哈 希 密 码 。 记 下 来 ， 第 二 个 漏 洞 ， 账 号 相 关 敏 感 信 息 泄 漏 。 我 的 目 的 很 明 确 ， 获 取 登 录 密 码 ， 所 以 ， 我 计 划 利 用 泄 漏 信 息 ， 从 社 工 库 和 哈 希 反 解 两 方 面 达 到 目 的 。 社 工 库 。 提 取 邮 箱 中 的 用 户 名 ， l i u f e i   的   l i u f e i 、 n a n a   的   1 8 x x x x x x 5 6 、 a d m i n   的   l e g x x x x x x n g ， 在 社 工 库 中 查 询 历 史 密 码 ： 只 找 到   l i u f e i   相 关 的 多 个 历 史 密 码 ， 逐 一 验 证 ， 均 错 误 。 哈 希 反 解 。 提 取 三 个 账 号 的 哈 希 密 码 ， l i u f e i   的   a 1 e 0 4 7 6 8 7 9 c a b 2 a 7 6 c c 2 2 c 8 0 b b f 3 6 4 d d 、 n a n a   的 2 0 8 f 0 a b a 4 a 6 d 4 b 9 a f e 9 4 2 0 7 e 6 c 5 7 d 5 9 4 、 a d m i n   的   3 f a f 0 0 9 c 4 3 b b 3 9 c 5 a 3 7 8 5 9 b c 4 8 f e a f f 3 。 有 了 哈 希 密 码 ， 第 一 时 间 查 彩 虹 表 ， 反 解 明 文 密 码 ： 只 有 账 号   l i u f e i   的 密 码 解 出 为   ! Q A Z 2 w s x ， n a n a 、 a d m i n   无 解 ， 暂 时 放 下 。 第 三 个 漏 洞 ， 业 务 系 统 存 在 弱 口 令 账 号 l i u f e i 。 低 权 进 站 低 权 进 站
通 过   l i u f e i   /   ! Q A Z 2 w s x   登 录 网 站 ： 功 能 非 常 有 限 ， 只 有 个 回 收 站 ， 里 面 没 有 业 务 任 何 数 据 。 上 图 中 有 几 个 输 入 框 ， 应 该 是 个 查 询 功 能 ， 但 是 找 不 到 查 询 按 钮 ， 尝 试 在 前 端   H T M L   源 码 中 翻 找 查 询 接 口 ， 无 果 ； 在   b u r p   的 报 文 历 史 中 审 查   J S ， 也 没 找 到 有 用 的 接 口 。 看 来 ， 还 得 找 个 高 权 限 的 账 号 。 回 到 先 前 未 反 解 出 来 的 两 个 账 号 ， n a n a   的   2 0 8 f 0 a b a 4 a 6 d 4 b 9 a f e 9 4 2 0 7 e 6 c 5 7 d 5 9 4 、 a d m i n   的 3 f a f 0 0 9 c 4 3 b b 3 9 c 5 a 3 7 8 5 9 b c 4 8 f e a f f 3 。 h t t p s : / / w w w . c m d 5 . c o m / 拥 有 海 量 的 彩 虹 表 数 据 ， 它 反 解 不 出 来 ， 很 可 能 是 个 强 口 令 。 对 于 强 口 令 的 暴 破 ， 我 习 惯 围 绕 用 户 名 ， 制 作 具 有 社 工 属 性 的 密 码 字 典 ， 如 ， 用 户 名   n a n a ， 社 工 属 性 密 码 可 能 为   N a N a 、 n a 5 2 0 n a 、 n a n a @ 1 9 9 0 1 0 1 5 。 如 何 生 成 社 工 属 性 密 码 字 典 ？ h a s h c a t ！ 对 滴 ， h a s h c a t   不 仅 是 哈 希 暴 破 神 器 ， 也 支 持 基 于 规 则 生 成 密 码 字 典 ， 规 则 库 位 于   h a s h c a t / r u l e s / ： 其 中 ， d i v e . r u l e   含 有 我 需 要 的 规 则 ， 选 之 。 我 把   n a n a   视 为 基 础 信 息 存 入   b a s e . t x t   中 作 为 输 入 ， 让   d i v e . r u l e   模 仿 学 习 生 成 类 似 的 密 码 字 典 ， 保 存 至   s e _ p a s s w d s . t x t ： 接 着 用 社 工 字 典 暴 破 哈 希 密 码 ： 7   秒 出 结 果 ， 得 到   n a n a   的 密 码   n a n a c n a c n a n a c ， 第 四 个 漏 洞 ， 业 务 系 统 存 在 社 工 属 性 口 令 账 号   n a n a 。 用 类 似 的 手 法 ， 制 作 了 账 号   a d m i n   的 社 工 密 码 字 典 ， 遗 憾 ， 并 未 暴 出   a d m i n   的 密 码 。 没 关 系 ， 用   n a n a   /   n a n a c n a c n a n a c   登 录 系 统 ， 或 许 有 新 发 现 。
一 旦 进 入 台 后 ， 习 惯 上 先 找 三 类 功 能 ： 上 传 功 能 、 查 询 功 能 、 命 令 功 能 。 上 传 功 能 ， 通 过 各 种 任 意 文 件 上 传 攻 击 手 法 ， 上 传   w e b s h e l l ； 查 询 功 能 ， 审 查 是 否 存 在   S Q L   注 入 ， 拿 数 据 （ 如 ， 哈 希 密 码 ） ； 命 令 功 能 ， 指 那 些 有 著 名 工 具 实 现 的 功 能 ， 比 如 ， 输 入 个   I P ， 业 务 功 能 探 测 该   I P   是 否 存 活 ， 服 务 端 可 能 执 行 了   p i n g   命 令 ， 又 如 ， 上 传 个 压 缩 包 ， 页 面 显 示 压 缩 包 内 容 ， 服 务 端 可 能 执 行 了   u n z i p   命 令 ， 这 时 ， 用 命 令 注 入 或 命 令 选 项 注 入 的 手 法 ， 攻 击 服 务 端 。 登 录   n a n a   账 号 ， 业 务 功 能 也 不 多 ， 但 有 个 上 传 功 能 ： 我 得 深 入 审 查 它 ， 或 许 是   g e t s h e l l   的 唯 一 通 道 。 先 上 传 一 个 正 常 的   P N G   图 片 ， 页 面 报 错 ， 提 示 非 管 理 员 禁 止 上 传 ： 这 可 不 好 玩 了 ， a d m i n   的 哈 希 密 码 之 前 用 彩 虹 表 、 社 工 字 典 都 尝 试 过 ， 无 法 反 解 ， 前 进 步 伐 再 次 受 阻 。 逻 辑 漏 洞 逻 辑 漏 洞 回 想 之 前 刺 探 过 的 密 码 找 回 功 能 ， 发 现 泄 漏 用 户 哈 希 密 码 就 未 再 深 入 ， 应 该 再 审 查 下 ， 或 许 能 重 置   a d m i n   密 码 。 用   a d m i n   进 入 密 码 找 回 流 程 ， 先 顺 利 通 过 服 务 端 用 户 名 是 否 存 在 的 校 验 ， 然 后 向 该 账 号 绑 定 的 邮 箱 地 址 发 送 密 码 重 置
U R L ， 请 求 如 下 ： 显 然 ， 参 数   e m a i l   存 在 不 安 全 的 直 接 对 象 引 用 （ I D O R ） 问 题 ， 将 其 替 换 为 攻 击 者 的 邮 箱 ， 9 0 %   的 概 率 会 收 到 重 置 邮 件 。 （ I D O R ， 国 内 外 厂 商 对 它 完 全 是 两 个 态 度 ， 一 次 给 国 外 电 商 平 台 提 交 了 个   I D O R   漏 洞 ， 可 导 致 全 量 用 户 邮 箱 泄 漏 ， 拿 了   3 K ， 美 刀 ， 类 似 漏 洞 提 交 给 国 内 厂 商 ， 可 导 致 政 企 用 户 个 人 信 息 泄 漏 、 可 增 删 改 用 户 家 庭 住 址 ， 奖 励 了 2 K ， 还 是 购 物 卡 ， T _ T ） 于 是 ， 我 找 了 个 匿 名 邮 箱 ， 尝 试 劫 持   a d m i n   的 密 码 找 回 邮 件 ： 很 快 ， 匿 名 邮 箱 收 到 来 信 ： 访 问 带   t o k e n   的 密 码 重 置 链 接 ， 还 真 能 修 改 密 码 ：
洋 气 ！ 第 五 个 漏 洞 ， 任 意 用 户 密 码 重 置 。 呵 呵 ， 小 激 动 ， 喝 口 茶 ， 刷 刷 微 信 休 息 下 ， 刚 好 看 到 杜 兄 弟 留 言 ： 茶 吐 了 一 地 ， 到 手 的   a d m i n   又 飞 了 。 没 办 法 ， 人 家 先 就 说 清 楚 了 ， “ 每 步 实 质 攻 击 前 ， 必 须 先 得 到 授 权 ” 。 我 不 得 不 去 找 寻 其 他 攻 击 路 径 ！ 垂 直 越 权 垂 直 越 权 焦 点 回 到   n a n a   账 号 的 上 传 功 能 上 ， 虽 然 服 务 端 报 错 禁 止 非   a d m i n   上 传 ， 但 仔 细 审 查 请 求 报 文 ， 看 到 存 在   t o k e n ： 这 个   t o k e n   让 我 觉 得 很 突 兀 ， 通 常   t o k e n   要 么 用 作 身 份 凭 证 、 要 么 用 于 防   C S R F ， 若 是 前 者 ， 就 不 应 该 与 同 样 表 示 身
份 凭 证 的   c o o k i e   同 时 存 在 ， 若 是 后 者 ， 通 常 为   1 6   位 或   3 2   位 的 哈 希 值 ， 而 非 用 点 号 分 隔 的 三 段   b a s e 6 4 。 于 是 ， 我 依 次 将 每 段 解 码 ： 第 一 段 解 码 看 到   J W T ， 第 二 段 解 码 发 现 用 户 名 ， 第 三 段 因 下 划 线 导 致 解 码 失 败 。 原 来 是   J W T   啊 ！ 老 朋 友 了 ， 全 称 叫   J S O N   W e b   T o k e n ， 现 代   w e b   应 用 中 替 代   c o o k i e   表 示 用 户 身 份 凭 证 的 载 体 。 形 式 类 似   b a s e 6 4 ， 但 使 用 了   b a s e 6 4   可 用 字 符 空 间 之 外 的 点 字 符 ， 且 无 法 直 接 解 码 。 H T T P   报 文 中 一 旦 发 现   J W T ， 应 重 点 关 注 。 一 时 没 想 起 ， 这 不 就 是 现 代   w e b   常 用 的   J W T   么 ， 服 务 端 对   J W T   实 现 不 好 ， 容 易 导 致 垂 直 越 权 ， 比 如 ， 把 第 二 段 的   u s e r   字 段 值 从   n a n a   篡 改   a d m i n 。 但 是 ， J W T   的 签 名 （ 也 就 是 上 面 的 第 三 部 分 ） ， 是 对 信 息 头 和 数 据 两 部 分 结 合 密 钥 进 行 哈 希 而 得 ， 服 务 端 通 过 签 名 来 确 保 数 据 的 完 整 性 和 有 效 性 ， 正 因 如 此 ， 由 于 我 无 法 提 供 密 钥 ， 所 以 ， 篡 改 后 的   t o k e n   到 达 服 务 端 后 ， 无 法 通 过 签 名 校 验 ， 导 致 越 权 失 败 。 攻 击   J W T ， 我 常 用 三 种 手 法 ： 未 校 验 签 名 、 禁 用 哈 希 、 暴 破 弱 密 钥 。 未 校 验 签 名 。 某 些 服 务 端 并 未 校 验   J W T   签 名 ， 所 以 ， 尝 试 修 改   t o k e n   后 直 接 发 给 服 务 端 ， 查 看 结 果 。 于 是 ， 我 将 u s e r   字 段 值 从   n a n a   改 为   a d m i n   后 ， 重 新 生 成 新   t o k e n ： 由 于 未 填 写 正 确 密 钥 ， 即 便 生 成 格 式 正 确 的 新   t o k e n ， 但 提 示 无 效 签 名 （ i n v a l i d   s i g n a t u r e ） ， 没 事 ， 放 入 上 传 请 求 报 文 中 ， 发 给 服 务 端 ， 试 试 手 气 ：
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 22:33 , Processed in 0.813076 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表