设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [16058] 2020-11-06_溯源复现SiteServer5疑似在野0day ...
返回列表 发新帖
查看: 7|回复: 0

[16058] 2020-11-06_溯源复现SiteServer5疑似在野0day

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 17:55:40 | 显示全部楼层 |阅读模式
2020-11-06_溯源复现SiteServer5疑似在野0day 溯 源 复 现 S i t e S e r v e r 5 疑 似 在 野 0 d a y L i t t l e T 1 g e r   F r e e B u f   2 0 2 0 - 1 1 - 0 6 背 景 背 景 客 户 公 司 有 一 台 比 较 陈 旧 的 w i n s e r v e r 2 0 0 8 ， 上 面 跑 着 陈 旧 的 S i t e S e r v e r 5 . 0 ， 光 是 这 几 年 处 理 被 1 d a y 攻 击 ， 各 种 传 马 ， 小 马 拖 大 马 应 接 不 暇 ， 隔 几 个 月 就 要 在 这 个 跑 马 场 里 陪 攻 击 者 们 博 弈 一 波 ， 甚 是 有 趣 。 比 如 这 次 深 度 溯 源 复 现 发 现 疑 似 在 野 0 d a y 也 是 让 我 学 到 了 很 多 东 西 。 r e v i e w 梳 理 攻 击 过 程 及 各 部 分 安 全 设 备 部 署 的 表 现 梳 理 攻 击 过 程 及 各 部 分 安 全 设 备 部 署 的 表 现 r e v i e w 过 程 大 致 如 下 ： H I D S - a g e n t 发 现 发 现 w e b s h e l l H I D S 非 常 及 时 地 发 现 了 有 恶 意 文 件 上 传 并 邮 件 告 警 ， 这 个 表 现 给 9 9 分 。 确 认 系 统 层 面 安 全 确 认 系 统 层 面 安 全 首 先 简 单 确 认 系 统 用 户 , 系 统 进 程 , 计 划 任 务 等 比 较 关 键 的 地 方 没 有 问 题 。 排 查 排 查 I I S   L o g 找 到 找 到 s q l 注 入 攻 击 入 口 注 入 攻 击 入 口 通 过 w e b - l o g 查 找 被 传 的 这 个 马 的 访 问 记 录 , 顺 着 访 问 记 录 往 前 摸 排 , 最 终 确 定 了 攻 击 者 的 入 口 是 a j a x C m s S e r v i c e . a s p x , 我 们 排 查 出 的 攻 击 者 使 用 的 攻 击 向 量 如 下 ， 这 三 条 p a y l o a d 分 别 对 应 获 取 到 服 务 器 的 U s e r N a m e 、 P a s s w o r d 、 P a s s w o r d S a l t : 到 这 一 步 之 后 ， 攻 击 者 就 已 经 拿 到 了 网 站 后 台 的 登 录 账 号 及 密 码 ， 虽 然 是 加 密 的 ， 但 还 是 有 工 具 可 以 解 开 。 找 到 找 到 w e b s h e l l 上 传 点 上 传 点 根 据 w e b l o g 的 排 查 大 马 的 p o s t 包 上 传 记 录 ， 找 到 了 后 台 上 传 文 件 接 口 ， 上 传 正 常 文 件 ， 抓 包 改 包 ， 通 过 双 写 绕 过 黑 名 单 过 滤 ， 即 可 成 功 上 传 到 u p l o a d 目 录 下 。 这 两 步 实 际 上 在 现 有 的 安 全 设 备 发 展 进 展 下 ， 完 全 应 该 由 w a f 来 检 测 告 警 ， 但 是 很 遗 憾 我 们 这 台 服 务 器 前 面 并 没 有 架 设 w a f ， 或 者 接 入 云 w a f 服 务 ， 可 以 说 在 应 用 层 面 上 对 攻 击 没 有 任 何 防 御 能 力 。 触 发 可 写 不 可 执 行 的 安 全 策 略 触 发 可 写 不 可 执 行 的 安 全 策 略 这 是 次 典 型 的 通 过 实 战 验 证 了 安 全 策 略 的 有 效 性 ， 我 还 是 比 较 兴 奋 的 ， 一 定 要 记 下 来 。 这 个 C M S 老 版 本 来 就 有 很 多 自 动 化 的 1 d a y 在 各 种 攻 击 ， 我 们 也 是 加 固 过 几 次 ， 上 了 一 些 安 全 策 略 ， 诸 如 可 写 目 录 不 可 知 行 ， 所 有 访 问 可 写 目 录 下 的 a s p x 请 求 全 部 重 定 向 去 主 页 等 。 h t t p : / / w w w . x x x x . c n / S i t e S e r v e r / A j a x / a j a x C m s S e r v i c e . a s p x ? t y p e = G e t T i t l e s & p u b l i s h m e n t S y s t e m I d = 1 & n o d e I d = 1 & t i t l e = a % 2 7 , 0 ) % 2 0 % 3 E % 2 0 0 % 2 0 u n i o n % 2 0 s e l e c t % 2 0 T O P % 2 0 2 % 2 0 U s e r n a m e % 2 0 f r o m % 2 0 b a i r o n g _ A d m i n i s t r a t o r - - h t t p : / / w w w . x x x x . c n / S i t e S e r v e r / A j a x / a j a x C m s S e r v i c e . a s p x ? t y p e = G e t T i t l e s & p u b l i s h m e n t S y s t e m I d = 1 & n o d e I d = 1 & t i t l e = a
上 传 目 录 的 w e b . c o n f i g 可 做 如 下 限 制 ： 正 因 为 我 们 之 前 上 过 策 略 ， 所 以 本 次 w e b s h e l l 是 失 效 的 ， 从 l o g 中 也 能 看 到 访 问 的 请 求 返 回 都 是 4 0 3 。 漏 洞 复 现 漏 洞 复 现 每 次 被 攻 击 后 我 们 都 要 进 行 溯 源 , 加 固 ,   该 停 用 的 停 用 , 该 修 复 的 修 复 , 安 全 策 略 更 是 上 了 一 波 又 一 波 , 没 想 到 这 次 又 被 传 马 了 , 一 时 间 我 还 有 点 接 受 不 了 , 毕 竟 加 固 了 那 么 多 次 还 出 问 题 , 有 点 面 子 挂 不 住 , 终 于 下 决 心 来 一 起 看 看 源 码 ， 没 想 到 这 一 看 不 得 了 , 还 真 吓 了 我 一 跳 。 另 一 方 面 原 因 是 ， 以 往 的 攻 击 手 法 都 其 实 都 是 的 1 d a y ， 可 以 在 网 上 找 到 各 种 分 析 的 案 例 ， 这 次 我 居 然 没 有 搜 到 ， 所 以 更 加 怀 疑 了 可 能 是 个 在 野 0 d a y 。 搭 建 环 境 搭 建 环 境 虚 拟 机 起 陈 旧 的 版 本 是 挺 不 容 易 的 , 在 环 境 折 腾 这 块 实 际 上 踩 了 不 少 的 坑 , 我 就 直 接 把 最 终 成 功 的 版 本 信 息 整 理 一 下 发 出 来 . 软 件 版 本 软 件 版 本 注 意 的 点 注 意 的 点 W i n S e r v e r 2 0 0 8 _ R 2 _ e n t e r p r i s e _ a n d _ w e b _ w i t h _ s p 1 在 多 种 带 S P 1 的 镜 像 上 纠 结 选 择 . N E T   F r a m e w o r k 默 认 是 2 . 0 , 要 匹 配 C M S 的 版 本 首 先 安 装 4 . 0 . 然 后 切 到 4 . 5 I I S 默 认 网 站 目 录 的 解 析 到 S i t e S e r v e r 路 径 ; 以 及 对 文 件 的 权 限 配 置 M s s q l 2 0 0 8 默 认 安 装 即 可 S i t e S e r v e r 5 . 1 . 1 5 5 . 0 版 本 官 方 下 不 到 了 , 5 . 1 是 我 找 到 的 最 接 近 的 版 本 D L L 分 析 软 件 I L S p y 最 新 版 w i n S e r v e r 镜 像 链 接 : e d 2 k : / / | f i l e | c n _ w i n d o w s _ s e r v e r _ 2 0 0 8 _ r 2 _ s t a n d a r d _ e n t e r p r i s e _ d a t a c e n t e r _ a n d _ w e b _ w i t h _ s p 1 _ v l _ b u i l d _ x 6 4 _ d v d _ 6 1 7 3 9 6 . i s o | 3 3 6 8 9 6 2 0 4 8 | 7 C 2 1 0 C A C 3 7 A 0 5 F 4 5 9 7 5 8 B C C 1 F 4 4 7 8 F 9 E | / . N E T   F r a m e w o r k 4 . 0 链 接 :   h t t p s : / / w w w . m i c r o s o f t . c o m / e n - u s / d o w n l o a d / d e t a i l s . a s p x ? i d = 1 7 8 5 1 . N E T   F r a m e w o r k 4 . 5 链 接 :   h t t p s : / / d o w n l o a d . m i c r o s o f t . c o m / d o w n l o a d / E / 2 / 1 / E 2 1 6 4 4 B 5 - 2 D F 2 - 4 7 C 2 - 9 1 B D - 6 3 C 5 6 0 4 2 7 9 0 0 / N D P 4 5 2 - K B 2 9 0 1 9 0 7 - x 8 6 - x 6 4 - A l l O S - E N U . e x e S i t e S e r v e r 5 . 1 . 1 5 链 接 :   h t t p s : / / c o d e l o a d . g i t h u b . c o m / s i t e s e r v e r / c m s / z i p / s i t e s e r v e r - v 5 . 0 . 1 5 深 入 分 析 深 入 分 析 打 开 a j a x C m s S e r v i c e . a s p x 文 件 只 有 简 短 的 一 句 话 ， 引 用 继 承 了 一 个 d l l 文 件 用 I L S p y 文 件 打 开 这 个 d l l ， 反 编 译 分 析 到 这 里 就 可 以 拼 语 句 了 ， 我 们 直 接 上 p a y l o a d 来 手 动 拼 一 下 最 终 语 句 会 拼 成 如 下 ， 简 单 的 u n i o n   s e l e c t : 相 应 的 s q l m a p - p a y l o a d : 影 响 范 围 及 修 复 方 案 影 响 范 围 及 修 复 方 案 攻 击 者 可 以 获 取 到 该 站 点 s i t e s e r v e r 应 管 理 员 攻 击 者 可 以 访 问 到 对 应 的 s i t e s e r v e r 数 据 库 数 据 < s y s t e m . w e b S e r v e r > < h a n d l e r s   a c c e s s P o l i c y = " R e a d , W r i t e "   / > < / s y s t e m . w e b S e r v e r > / / 除 此 之 外 ， 还 有 一 些 攻 击 手 法 会 找 一 些 自 动 解 压 的 接 口 打 包 上 传 w e b s h e l l + w e b . c o n f i g ， 以 此 来 覆 盖 原 有 的 w e b . c o n f i g ， 突 破 可 执 行 的 限 制 ， 这 时 就 要 通 过 目 录 权 限 配 置 来 保 护 w e b . c o n f i g 的 安 全 。 < % @   P a g e   l a n g u a g e = " c # "   t r a c e = " F a l s e "   e n a b l e V i e w S t a t e = " F a l s e "   I n h e r i t s = " S i t e S e r v e r . B a c k g r o u n d P a g e s . A j a x . A j a x C m s S e r v i c e "   % > t y p e = G e t T i t l e s & p u b l i s h m e n t S y s t e m I d = 1 & n o d e I d = 1 & t i t l e = a % 2 7 , 0 ) % 2 0 % 3 E % 2 0 0 % 2 0 u n i o n % 2 0 s e l e c t % 2 0 T O P % 2 0 1 % 2 0 P a s s w o r d % 2 0 f r o m % 2 0 b a i r o n g _ A d m i n i s t r a t o r - - % 2 0     / / p a y l o a d G e t I n s t r ( C o l u m N a m e =   T i t l e ; i n S t r = a ' , 0 )   >   0   u n i o n   s e l e c t   T O P   1   P a s s w o r d   f r o m   b a i r o n g _ A d m i n i s t r a t o r - -   ) G e t I n s t r 的 函 数 部 分 如 下 ： i n S t r   =   C H A R I N D E X ( ' a ' , 0 )   >   0   u n i o n   s e l e c t   T O P   1   P a s s w o r d   f r o m   b a i r o n g _ A d m i n i s t r a t o r - -   ) ' ,   { c o l u m n N a m e } )   >   0 s q l m a p   - u   " h t t p : / / 1 9 8 . 1 8 . 9 3 . 1 5 4 / S i t e S e r v e r / A j a x / a j a x C m s S e r v i c e . a s p x ? t y p e = G e t T i t l e s & p u b l i s h m e n t S y s t e m I d = 1 & n o d e I d = 1 & t i t l e = a % 2 7 , 0 ) % 2 0 % 3 E % 2 0 0 % 2 0 "
常 规 s q l 注 入 的 修 复 应 考 虑 使 用 O R M ， 或 者 是 预 编 译 语 句 ， 避 免 用 户 的 输 入 影 响 到 最 终 数 据 库 里 的 执 行 语 句 。 但 在 这 个 古 老 的 版 本 代 码 中 我 们 看 到 了 大 量 的 语 句 直 接 拼 接 ， 大 量 的 接 口 未 授 权 可 直 接 访 问 ， 暂 且 把 它 用 来 学 习 和 测 试 就 好 了 。 我 相 信 在 新 版 中 肯 定 解 决 了 这 些 很 明 显 的 安 全 问 题 ， 但 是 我 们 面 对 的 现 状 就 是 旧 版 的 上 架 系 统 还 是 有 服 务 正 在 运 行 ， 所 以 还 是 要 在 现 有 的 状 况 下 给 出 紧 急 的 修 复 方 案 ， 框 架 性 质 的 漏 洞 直 接 修 改 是 比 较 困 难 的 , 涉 及 的 人 力 成 本 不 亚 于 升 级 到 新 版 , 所 以 最 紧 急 的 修 复 措 施 应 该 是 在 中 间 件 上 加 策 略 : 1 .   停 用 高 危 的 接 口 2 .   修 改 a d m i n 账 户 密 码 3 .   暂 停 后 台 对 公 网 的 开 放 反 编 译 了 s i t e s e r v e r 7 . 0 的 d l l ， 已 经 更 换 为 r e s t f u l - a p i 开 发 ， 且 未 发 现 有 直 接 拼 接 语 句 的 地 方 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-3 04:02 , Processed in 0.603643 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表