搜索

[15165] 2020-03-23_任意文件读取漏洞的曲折历程

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-03-23_任意文件读取漏洞的曲折历程 任 意 文 件 读 取 漏 洞 的 曲 折 历 程 C S e r o a d   F r e e B u f   2 0 2 0 - 0 3 - 2 3 前 言 前 言 这 周 授 权 测 试 了 某 系 统 ， 凭 借 着 一 个 任 意 文 件 读 取 的 漏 洞 ， 不 断 深 挖 ， 一 波 三 折 ， 历 时 将 近 这 周 授 权 测 试 了 某 系 统 ， 凭 借 着 一 个 任 意 文 件 读 取 的 漏 洞 ， 不 断 深 挖 ， 一 波 三 折 ， 历 时 将 近 2 4 小 时 ， 也 和 小 时 ， 也 和 T i d e 安 全 的 小 伙 伴 不 断 讨 论 ， 最 终 拿 下 目 标 的 安 全 的 小 伙 伴 不 断 讨 论 ， 最 终 拿 下 目 标 的 w e b s h e l l 。 过 程 简 直 不 要 太 美 、 太 狗 血 ， 在 此 做 个 整 理 。 。 过 程 简 直 不 要 太 美 、 太 狗 血 ， 在 此 做 个 整 理 。 基 本 信 息 基 本 信 息 目 标 ： w y . x x x . c o m . c n （ 子 域 名 ） I P ： 1 1 4 . x x x . x x x . x x x （ 阿 里 云 ） w e b   四 大 件 ： j a v a 、 A p a c h e   T o m c a t   7 . 0 . 6 1 、 m y s q l 、 l i n u x 端 口 开 放 了 太 多 ， 确 定 的 是 3 0 1 2 6 端 口 为 s s h 子 域 名 更 多 了 ， 大 多 数 均 反 查 为 该 阿 里 云 服 务 器 。 弱 口 令 弱 口 令 测 试 首 先 发 现 验 证 码 无 效 ， 直 接 爆 破 。
这 里 分 享 了 小 技 巧 ： 阿 里 云 服 务 器 在 扫 描 目 录 或 者 爆 破 口 令 的 时 候 ， 如 果 线 程 多 高 ， I P 会 容 易 被 封 。 可 以 再 找 一 台 阿 里 云 服 务 器 做 代 理 进 行 测 试 。 放 弃 图 片 上 传 放 弃 图 片 上 传 选 择 权 限 比 较 高 的 用 户 登 陆 系 统 后 ， 发 现 一 处 图 片 上 传 。
该 处 上 传 无 任 何 校 验 ， 可 以 上 传 任 何 格 式 的 文 件 。 但 都 统 一 受 到 i m a g e s . x x x . c o m . c n 域 名 下 ， 受 n g i n x 解 析 。 多 次 尝 试 无 果 后 ， 遂 放 弃 。 任 意 文 件 读 取 任 意 文 件 读 取 在 系 统 里 闲 逛 一 圈 后 ， 发 现 一 处 任 意 文 件 读 取 漏 洞 。 点 击 " 下 载 模 板 文 件 " 抓 取 数 据 包 ， 可 在 数 据 包 p a t h 参 数 看 到 系 统 路 径 。 使 用 字 典 f u z z 该 参 数 。
查 看 返 回 包 可 收 集 到 系 统 的 许 多 信 息 。 1 . / e t c / p a s s w d 看 到 系 统 只 有 r o o t 、 f t p i m a g e 这 两 个 账 户 是 可 以 登 录 的 。 2 . / e t c / s h a d o w
看 到 s h a d o w 文 件 ， 说 明 当 前 权 限 是 比 较 高 的 。 3 . / r o o t / . b a s h _ h i s t o r y 看 到 r o o t 用 户 执 行 的 历 史 命 令 。 确 定 当 前 为 r o o t 权 限 。 且 发 现 网 站 绝 对 路 径 的 一 部 分 / w w w / x x x - t o m c a t 1 / ， 马 上 想 到 翻 看 t o m c a t - u s e r s . x m l 文 件 ， 但 并 没 有 配 置 用 t o m c a t m a n a g e r 。 还 发 现 了 l o g s 目 录 的 c a t a n l i n a . o u t 日 志 文 件 。 下 载 c a t a n l i n a . o u t 文 件 进 行 分 析 。
4 . c a t a n l i n a . o u t 日 志 日 志 该 日 志 文 件 比 较 大 ， 下 载 了 多 次 都 失 败 了 ， 最 终 也 是 用 自 己 阿 里 云 服 务 器 w g e t 命 令 下 载 下 来 的 ， 高 达 1 . 9 g w a r 包 包 下 载 后 ， 直 接 检 索 / w w w / x x x - t o m c a t 1 / ， 存 在 多 个 w a r 包 。 靠 着 任 意 文 件 读 取 下 载 了 几 个 w a r 包 ， 部 署 到 自 己 搭 建 的 t o m c a t 下 进 行 查 看 。 基 本 上 几 个 w a r 包 都 大 致 差 不 多 。 猜 测 ： 系 统 使 用 w a r 包 部 署 到 t o m c a t ， 一 个 w a r 包 对 应 一 个 域 名 。 f t p i m a g e 账 号 密 码 账 号 密 码 在 c o n f i g . p r o p e r t i e s 配 置 文 件 中 发 现 了 f t p i m a g e 账 户 密 码 ， 以 及 该 w a r 包 所 对 应 的 域 名 。 比 如 r u n . w a r 包 。
一 般 配 置 文 件 都 存 放 在 / W E B - I N F / c l a s s e s / 这 个 文 件 夹 下 。 记 录 着 f t p i m a g e 账 户 的 用 户 名 密 码 i p . i m g s e r v i c e 这 个 属 性 也 看 得 出 ， 上 传 的 图 片 都 会 在 i m a g e . x x . c o m . c n 这 个 域 名 下 。 放 弃 放 弃 a x i s 2 框 架 框 架 有 些 w a r 包 里 存 在 a x i s 2 框 架 找 到 对 应 的 域 名 访 问 a x i s 2 - w e b
如 果 可 以 上 传 a r r 木 马 就 美 滋 滋 了 ， 但 多 次 上 传 均 4 0 4 。 查 找 资 料 ， 发 现 a x i s 2 框 架 的 正 确 结 构 是 这 个 样 子 的 。
猜 测 a x i s 2 框 架 应 该 无 法 使 用 ， 遂 放 弃 。 放 弃 提 权 放 弃 提 权 之 前 获 取 到 的 f t p i m a g e 账 号 密 码 登 录 阿 里 云 ， 发 现 权 限 特 别 低 。 只 有 w w w 、 v a r 文 件 夹 可 读 可 写 可 执 行 的 权 限 。 但 也 能 看 到 n g i n x 、 r e d i s 文 件 夹 。
执 行 了 几 条 提 权 命 令 也 都 不 行 ， 考 虑 到 阿 里 云 服 务 器 ， 遂 放 弃 。 3 3 个 域 名 个 域 名 看 到 n g i n x 文 件 夹 ， 想 到 读 取 n g i n x . c o n f 配 置 文 件 。 统 计 大 概 有 3 3 个 域 名 ， 而 且 看 到 n g i n x 统 一 设 置 了 白 名 单 ， 均 i m a g e . x x x . c o m . c n 这 个 域 名 解 析 。 验 证 了 之 前 的 猜 测 。 结 合 c a t a n l i n a . o u t 日 志 和 n g i n x . c o n f 配 置 文 件 的 域 名 ， 最 终 找 到 绝 对 路 径 和 网 站 域 名 对 应 的 关 系 。 查 看 目 标 绝 对 路 径 / w w w / x x x - t o m c a t 1 / w y / R O O T / / w w w / x x x - t o m c a t 1 / w y / R O O T / - - - - - - - - - w y . x x x . c o m . c n / w w w / x x x - t o m c a t 1 / c a r e / R O O T / - - - - - - - c a r e . x x x . c o m . c n / w w w / x x x - t o m c a t 1 / n d / R O O T / - - - - - - - - - n d . x x x . c o m . c n / w w w / x x x - t o m c a t 1 / e l d e r / R O O T / - - - - - - e l d e r . x x x . c o m . c n / w w w / x x x - t o m c a t 1 / w x 2 / x x x x . w a r / - - - - w x 2 . x x x . c o m . c n
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理