搜索

[14714] 2019-10-18_利用文件上传功能构造实现针对后端验证机制的RCE漏洞

文档创建者：s7ckTeam
浏览次数：46
最后更新：2025-01-18
2019-10-18_利用文件上传功能构造实现针对后端验证机制的RCE漏洞 利 用 文 件 上 传 功 能 构 造 实 现 针 对 后 端 验 证 机 制 的 R C E 漏 洞 c l o u d s   F r e e B u f   2 0 1 9 - 1 0 - 1 8 * 本 文 中 涉 及 到 的 相 关 漏 洞 已 报 送 厂 商 并 得 到 修 复 ， 本 文 仅 限 技 术 研 究 与 讨 论 ， 严 禁 用 于 非 法 用 途 ， 否 则 产 生 的 本 文 中 涉 及 到 的 相 关 漏 洞 已 报 送 厂 商 并 得 到 修 复 ， 本 文 仅 限 技 术 研 究 与 讨 论 ， 严 禁 用 于 非 法 用 途 ， 否 则 产 生 的 一 切 后 果 自 行 承 担 。 一 切 后 果 自 行 承 担 。 本 文 讲 述 了 作 者 在 参 与 某 一 邀 请 众 测 项 目 中 ， 针 对 身 份 验 证 功 能 的 目 标 本 文 讲 述 了 作 者 在 参 与 某 一 邀 请 众 测 项 目 中 ， 针 对 身 份 验 证 功 能 的 目 标 W e b 应 用 ， 对 其 文 件 上 传 功 能 点 进 行 利 应 用 ， 对 其 文 件 上 传 功 能 点 进 行 利 用 ， 绕 过 了 其 客 户 端 校 验 方 式 ， 以 用 ， 绕 过 了 其 客 户 端 校 验 方 式 ， 以 W e b 应 用 后 端 文 件 核 实 人 员 为 目 标 ， 构 造 上 传 了 可 执 行 应 用 后 端 文 件 核 实 人 员 为 目 标 ， 构 造 上 传 了 可 执 行 P a y l o a d 的 文 件 ， 结 合 的 文 件 ， 结 合 X S S   H u n t e r 实 现 了 远 程 代 码 执 行 （ 实 现 了 远 程 代 码 执 行 （ R C E ） ， 获 得 了 厂 商 ） ， 获 得 了 厂 商 $ 3 0 0 0 美 金 奖 励 。 这 种 漏 洞 测 试 姿 势 算 是 常 见 ， 但 怎 么 美 金 奖 励 。 这 种 漏 洞 测 试 姿 势 算 是 常 见 ， 但 怎 么 一 个 绕 过 招 式 就 变 成 了 高 危 的 一 个 绕 过 招 式 就 变 成 了 高 危 的 R C E 了 呢 ？ 一 起 来 看 看 作 者 的 测 试 分 享 和 上 报 思 路 。 了 呢 ？ 一 起 来 看 看 作 者 的 测 试 分 享 和 上 报 思 路 。 分 析 目 标 分 析 目 标 在 参 与 厂 商 的 众 测 项 目 之 前 ， 我 会 先 去 了 解 该 项 目 的 一 些 运 行 数 据 信 息 ， 如 赏 金 范 围 和 项 目 持 续 时 间 等 ， 如 果 你 觉 得 这 样 毫 无 必 要 的 话 ， 那 么 盲 目 地 参 与 可 能 会 与 一 些 好 项 目 擦 肩 而 过 。 我 参 与 这 个 项 目 就 是 个 例 子 ， 我 大 约 于 2 0 1 9 年 5 月 收 到 测 试 邀 请 ， 该 项 目 自 2 0 1 6 年 就 运 行 至 今 ， 有 效 漏 洞 提 交 量 总 共 1 5 0 多 个 。 但 不 管 怎 样 ， 我 还 是 对 其 做 了 一 番 了 解 。 之 后 ， 我 又 从 其 在 H a c k e r O n e 上 的 项 目 更 新 中 看 到 ， 有 一 些 新 的 服 务 端 被 陆 续 添 加 进 入 测 试 范 围 ， 并 在 测 试 策 略 （ P o l i c y ） 中 具 体 描 述 了 厂 商 对 哪 些 漏 洞 比 较 感 兴 趣 。 经 验 经 验 1 ： 漏 洞 总 是 有 的 。 前 期 的 测 试 目 标 可 能 和 新 增 测 试 目 标 一 样 存 在 很 多 漏 洞 。 ： 漏 洞 总 是 有 的 。 前 期 的 测 试 目 标 可 能 和 新 增 测 试 目 标 一 样 存 在 很 多 漏 洞 。 了 解 目 标 了 解 目 标 从 H a c k e r O n e 上 的 项 目 更 新 策 略 中 可 知 ， 厂 商 对 第 三 方 合 作 伙 伴 W e b 应 用 网 站 p a r t n e r . p r o g r a m . c o m 的 某 子 域 名 站 点 存 在 的 漏 洞 较 为 关 注 。 访 问 该 子 域 名 网 站 后 ， 我 发 现 它 是 一 个 允 许 用 户 注 册 成 为 厂 商 合 作 伙 伴 或 附 属 机 构 的 W e b 应 用 。 通 常 我 喜 欢 关 注 W e b 应 用 的 访 问 授 权 功 能 ， 一 般 我 会 在 W e b 应 用 中 注 册 至 少 两 个 账 户 以 备 测 试 。 因 为 两 个 账 户 可 以 方 便 地 进 行 越 权 （ I D O R ） 测 试 。 在 注 册 登 录 之 后 ， 我 发 现 了 其 中 一 个 有 意 思 的 地 方 ： 身 份 验 证 文 件 上 传 。
这 就 是 使 用 该 W e b 应 用 的 第 一 步 。 由 于 目 标 厂 商 是 一 家 商 贸 公 司 ， 合 作 伙 伴 和 用 户 需 要 通 过 上 传 他 们 的 / * 等 证 明 来 通 过 身 份 验 证 ， 才 能 开 始 使 用 W e b 应 用 。 终 于 遇 到 对 手 了 ， 我 非 常 喜 欢 捣 鼓 文 件 上 传 功 能 了 。 经 验 经 验 2 ： 不 要 忽 视 一 些 看 似 正 常 的 功 能 。 比 如 搜 索 栏 位 置 可 能 会 存 在 一 些 ： 不 要 忽 视 一 些 看 似 正 常 的 功 能 。 比 如 搜 索 栏 位 置 可 能 会 存 在 一 些 “ 致 命 致 命 ” 的 的 X S S 或 或 S Q L 注 入 漏 注 入 漏 洞 ， 而 洞 ， 而 1 3 3 7 名 白 帽 都 会 把 它 忽 视 。 名 白 帽 都 会 把 它 忽 视 。 漏 洞 发 现 漏 洞 发 现 以 前 我 曾 发 现 过 一 些 文 件 上 传 功 能 漏 洞 ， 总 结 来 说 ： 需 要 认 真 分 析 其 具 体 的 上 传 机 制 ， 比 如 其 限 制 属 性 有 什 么 、 规 定 上 传 文 件 格 式 有 哪 些 ， 等 等 ， 一 般 这 些 都 是 问 题 所 在 。 由 于 这 是 一 个 身 份 验 证 证 明 的 上 传 功 能 点 ， 所 以 通 常 会 存 在 两 种 证 明 文 件 验 证 机 制 ： 要 么 其 后 台 有 一 个 自 动 程 序 来 验 证 用 户 上 传 的 证 明 文 件 ， 要 么 其 后 端 有 一 个 实 际 的 工 作 人 员 来 通 过 用 户 上 传 证 明 文 件 核 对 用 户 身 份 。 该 上 传 功 能 如 下 ： 上 图 显 示 ， W e b 应 用 后 端 只 接 收 P N G 、 J P G 、 P D F 或 B M P 格 式 文 件 ， 因 此 ， 我 尝 试 上 传 了 一 些 非 可 接 受 格 式 文 件 ， 看 看 后 端 服 务 的 反 应 如 何 。 但 很 遗 憾 ， 后 端 服 务 完 全 没 反 应 。 即 使 从 B u r p 的 请 求 历 史 中 ， 也 没 有 发 现 任 何 文 件 限 制 响 应 消 息 或 相 应 的 请 求 记 录 ， 我 有 点 懵 了 。 只 是 ， 如 果 上 传 有 效 的 J P G 文 件 （ f o o b a r . j p g ） 后 ， 会 产 生 以 下 样 式 的 上 传 请 求 ： 这 是 什 么 意 思 ？ 这 貌 似 表 示 其 中 还 有 一 种 客 户 端 校 验 措 施 ， 如 果 用 B u r p 来 拦 截 上 传 请 求 然 后 改 包 ， 很 容 易 绕 过 这 种 客 户 端 检 查 。 比 如 ， 我 们 拦 截 上 传 请 求 ， 然 后 把 请 求 修 改 如 下 ， 其 中 上 传 的 J P G 文 件 名 被 修 改 为 了 f o o r b a r . f o o ： 执 行 这 样 的 请 求 后 ， 后 端 响 应 了 请 求 成 功 ， 服 务 器 成 功 创 建 文 件 的 “ 2 0 1   C r e a t e d ” 状 态 码 ， 并 返 回 响 应 了 文 件 的 上 体 i d ：
这 看 似 非 常 不 错 。 但 是 我 们 上 传 的 文 件 去 了 哪 呢 ？ 回 到 W e b 应 用 中 ， 却 出 问 题 了 ： 然 而 ， 刷 新 文 件 上 传 页 面 后 ， 却 出 现 了 惊 喜 ， 刚 刚 上 传 的 文 件 出 现 在 了 待 上 传 文 件 区 ， 如 下 ： 只 不 过 它 是 后 缀 为 . f o o 且 文 件 名 是 一 串 哈 希 值 的 文 件 ： 3 4 b e d u c … … . 3 d f e d . f o o 。 如 果 再 次 上 传 同 一 个 文 件 ， 其 作 为 文 件 名 的 哈 希 值 会 再 次 发 生 变 化 ， 成 为 f d 3 3 d 3 f … … 3 8 3 3 8 9 9 9 d e e . f o o 这 样 子 的 。 也 就 是 说 ， 文 件 后 缀 不 会 变 ， 但 文 件 名 每 次 都 会 被 哈 希 成 新 的 值 ， 所 以 ， 要 想 在 后 端 服 务 器 中 来 发 现 并 执 行 该 上 传 文 件 估 计 有 点 难 度 。 那 我 们 如 何 来 对 它 进 行 漏 洞 利 用 呢 ？ 你 会 怎 么 做 ？ 漏 洞 验 证 漏 洞 验 证 我 是 这 样 考 虑 的 ， 针 对 目 标 W e b 应 用 的 后 端 环 境 ， 必 须 构 造 上 传 一 种 可 被 执 行 运 行 的 文 件 。 如 果 W e b 应 用 后 端 是 一 个 工 作 人 员 来 核 对 上 传 文 件 ， 那 么 会 存 在 多 种 情 况 ， 他 使 用 的 是 L i n u x 、 W i n d o w s 还 是 M a c 系 统 ？ 不 同 的 系 统 可 能 会 对 上 { " f i l e _ i d " : 1 6 x x x x x 1 }
传 文 件 中 的 P a y l o a d 造 成 影 响 。 如 果 W e b 应 用 后 端 是 自 动 验 证 程 序 ， 那 至 少 我 需 要 它 能 响 应 返 回 一 些 消 息 ， 我 才 能 判 断 上 传 文 件 是 否 被 执 行 了 。 所 以 ， 这 样 看 来 ， 还 是 有 些 麻 烦 。 之 后 ， 我 想 到 了 X S S   H u n t e r 。 如 果 你 没 用 过 X S S   H u n t e r ， 请 访 问 它 的 主 页 进 行 了 解 ， 它 是 一 个 B l i n d   X S S 利 器 ， 可 实 现 一 些 隐 蔽 X S S 的 测 试 发 现 、 反 馈 响 应 和 监 测 管 理 。 使 用 方 式 在 于 先 注 册 X S S   H u n t e r 账 号 ， 通 过 注 册 x s s . h t 域 名 形 成 自 己 的 短 域 y o u r s u b d o m a i n . x s s . h t ， 用 它 实 现 P a y l o a d 的 识 别 和 托 管 ， 然 后 构 造 X S S   P a y l o a d 如   “ > 植 入 目 标 应 用 中 待 受 害 者 点 击 ， 如 果 该 P a y l o a d 被 有 效 执 行 ， 其 内 置 域 名 y o u r s u b d o m a i n . x s s . h t 的 相 关 请 求 会 被 X S S   H u n t e r 探 测 到 ， 之 后 ， X S S   H u n t e r 会 通 过 你 的 X S S   H u n t e r 注 册 预 留 邮 箱 给 予 你 反 馈 提 醒 。 在 我 预 想 的 上 述 后 端 验 证 环 境 中 ， H T M L 文 件 应 该 是 最 容 易 被 执 行 的 了 ，   所 以 我 想 到 了 用 B u r p 抓 包 改 包 ， 并 配 合 X S S H u n t e r 来 构 造 P a y l o a d ， 来 尝 试 触 发 上 传 H T M L 文 件 的 执 行 。 该 测 试 目 的 在 于 检 测 W e b 应 用 后 端 的 文 件 验 证 机 制 是 否 存 在 X S S 等 代 码 可 执 行 漏 洞 。 我 最 终 构 造 的 请 求 如 下 ， 上 传 文 件 实 体 为 H T M L 内 容 ， 先 把 它 命 名 为 . p n g 图 片 格 式 ， 上 传 后 ， 通 过 B u r p 抓 包 改 包 ， 再 把 它 修 改 为 后 期 可 执 行 的 . h t m l 格 式 ： 改 包 后 在 文 件 待 上 传 区 显 示 的 文 件 为 ：
然 后 执 行 上 传 即 可 ， 这 是 典 型 的 客 户 端 校 验 绕 过 姿 势 。 好 戏 是 ， 两 天 之 后 ， 我 收 到 了 X S S   H u n t e r 的 反 馈 提 醒 ， 提 示 我 们 的 P a y l o a d 被 成 功 触 发 执 行 了 3 次 ： 看 似 我 们 H T M L 的 P a y l o a d 文 件 被 目 标 W e b 应 用 后 端 的 文 件 核 实 人 员 点 击 执 行 了 ， 从 X S S   H u n t e r 反 馈 回 来 的 报 告 可 看 到 一 些 受 害 者 I P 和 U s e r   A g e n t 等 系 统 基 本 信 息 。 经 验 经 验 3 ： 有 多 种 方 式 去 利 用 一 个 工 具 ， 但 在 某 些 场 景 下 ， 需 要 有 创 新 的 想 法 去 实 现 不 可 思 议 的 点 子 。 最 ： 有 多 种 方 式 去 利 用 一 个 工 具 ， 但 在 某 些 场 景 下 ， 需 要 有 创 新 的 想 法 去 实 现 不 可 思 议 的 点 子 。 最 好 的 工 具 其 实 是 你 的 想 法 的 视 角 。 好 的 工 具 其 实 是 你 的 想 法 的 视 角 。 获 得 赏 金 获 得 赏 金 无 论 上 报 方 式 是 否 正 确 ， 但 能 发 现 并 利 用 漏 洞 已 经 是 很 好 的 了 ， 同 样 我 们 也 希 望 获 得 一 定 的 赏 金 。 可 能 有 些 人 看 到 这 里 会 觉 得 ， 这 也 不 算 什 么 大 漏 洞 啊 ， 只 不 过 是 让 W e b 后 端 的 文 件 核 实 人 员 执 行 了 一 个 H T M L 文 件 啊 ， 有 什 么 了 不 起 的 啊 ？ 但 这 就 是 我 要 强 调 说 明 的 地 方 。 我 在 漏 洞 描 述 中 是 这 样 描 写 的 ： 如 以 上 图 中 所 示 ， 攻 击 者 只 需 构 造 特 定 文 件 ， 伪 装 为 上 传 的 J P E G 图 片 文 件 ， 然 后 抓 包 改 包 ， 就 可 轻 松 绕 过 W e b 应 用 的 客 户 端 校 验 措 施 ， 实 现 任 意 文 件 上 传 。 那 么 ， 从 执 行 层 面 来 说 ， 至 少 可 以 说 明 ， 负 责 文 件 核 实 的 W e b 应 用 后 端 人 员 或 是 自 动 程 序 ， 根 本 就 没 对 攻 击 者 上 传 文 件 的 有 效 性 执 行 检 查 ， 也 不 管 扩 展 名 是 否 为 图 片 格 式 ， 就 直 接 执 行 上 传 文 件 了 。 在 这 种 情 况 之 下 ， 如 果 攻 击 者 上 传 的 是 E L F 或 E X E 格 式 的 恶 意 程 序 文 件 ， 那 非 常 容 易 导 致 远 程 代 码 执 行 ， 进 一 步 造 成 入 侵 渗 透 。 就 比 如 攻 击 者 可 以 上 传 一 个 反 弹 木 马 ， 待 W e b 应 用 后 端 核 实 人 员 或 程 序 运 行 之 后 ， 即 可 形 成 对 内 部 系 统 的 入 侵 控 制 。 这 样 的 漏 洞 描 述 让 厂 商 漏 洞 分 类 人 员 心 服 口 服 ： 我 们 会 尽 快 确 认 该 漏 洞 … . ， B T W ， 这 真 是 个 好 洞 : ) 最 终 ， 我 收 获 了 厂 商 奖 励 的 $ 3 0 0 0 美 金 ：
* 参 考 来 源 ： 参 考 来 源 ： a n o t h e r h a c k e r b l o g ， ， c l o u d s 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理