搜索

[17853] 2021-06-30_记一次不停自我追问的学习（下）——有趣的探索之旅

文档创建者：s7ckTeam
浏览次数：23
最后更新：2025-01-18
2021-06-30_记一次不停自我追问的学习（下）——有趣的探索之旅 记 一 次 不 停 自 我 追 问 的 学 习 （ 下 ） — — 有 趣 的 探 索 之 旅 原 创   C o r p 0 r a 1   G o b y S e c   2 0 2 1 - 0 6 - 3 0 收 录 于 话 题   # 技 术 分 享   , 3 个 G o b y 社 区 第 1 7   篇 技 术 分 享 文 章 全 文 共 ： 5 5 5 1   字       预 计 阅 读 时 间 ： 1 4   分 钟 前 言 ： 前 言 ： 上 篇 ＞ ＞ 一 个 文 件 上 传   1 d a y   的   P o C   编 写 ， 从 简 单 的   G U I   编 写 ， 不 满 足 于 是 选 择 用   G o   语 言 编 写 ， 再 到 逐 个 使 用   G o b y   自 带   A P I   优 化   P o C ， 最 终 实 现 一 键 反 弹   s h e l l 。 不 仅 学 习 了   G o ， 也 对   E X P   进 一 步 的 完 善 。 下 篇 ＞ ＞ 下 篇 ＞ ＞ 代 码 审 计 ， 从 一 个 为 什 么 产 生 出 发 ， 不 断 地 问 自 己 问 题 ， 虽 然 是 一 次 简 单 的 代 审 ， 延 伸 出 一 次 溯 源 ， 最 后 的 收 获 远 不 止 一 次 代 码 审 计 ， 而 是 学 习 方 法 ！   0 1
代 码 审 计 代 码 审 计   T L ; D R 为 什 么 文 件 名 后 缀 使 用 就 可 以 绕 过 ? 为 什 么 我 尝 试 的 后 缀 绕 过 方 式 不 行 ？ 为 什 么 有 这 种 神 奇 的 绕 过 方 法 ？ 什 么 原 因 导 致 的 ？ 十 万 个 为 什 么 ， 最 终 促 使 了 我 进 行 代 码 审 计 ！ 不 会 代 码 审 计 ， 只 能 一 步 步 的 断 点 跟 踪 分 析 ， 笨 办 法 1 . 1   s h o w d o c   如 何 限 制 文 件 上 传 的 如 何 限 制 文 件 上 传 的 1 . 1 . 1   黑 名 单 检 测 黑 名 单 检 测 检 测 文 件 名 中 是 否 包 含   p h p   字 样 1 . 1 . 2   白 名 单 检 测 白 名 单 检 测 检 测 文 件 后 缀 名 是 否 在   u p l o a d   类 的 数 组 白 名 单 中 。 1 . 1 . 3   图 片 内 容 检 测 图 片 内 容 检 测 仅 对 图 像 文 件 进 行 进 一 步 检 测 ， 其 他 类 型 则 放 行 （ 有 些 鸡 肋 ） . < > p h p . < p h p s t r s t r ( s t r t o l o w e r ( $ _ F I L E S [ ' e d i t o r m d - i m a g e - f i l e ' ] [ ' n a m e ' ] ) ,   " . p h p " ) $ e x t r e t u r n   e m p t y ( $ t h i s - > c o n f i g [ ' e x t s ' ] )   ?   t r u e   :   i n _ a r r a y ( s t r t o l o w e r ( $ e x t ) ,   $ t h i s - > e x t s ) ;
1 . 2   绕 过 方 法 一 ： 畸 形 后 缀 绕 过 绕 过 方 法 一 ： 畸 形 后 缀 绕 过 1 . 2 . 1   绕 过 方 式 绕 过 方 式 文 件 名 为 ： 1 . 2 . 2   原 理 原 理 的 方 式 绕 过 了 黑 名 单 对 检 测 而 在 之 后 的   s h o w d o c s e r v e r T h i n k P H P L i b r a r y T h i n k U p l o a d . c l a s s . p h p   的 函 数 中 对 文 件 名 使 用 了 函 数 进 行 处 理 ， 去 掉 了 标 签 ， 还 原 后 缀 名 为   p h p 。 t e s t . < > p h p . < > p h p . p h p u p l o a d ( ) s t r i p _ t a g s ( ) < >
1 . 2 . 3   修 复 方 案 修 复 方 案 在 进 行 黑 名 单 检 测 时 ， 先 用 函 数 对 输 入 文 件 名 进 行 处 理 （ 有 趣 的 是 我 在 另 外 一 个 路 径 下 的 同 名 文 件 中 发 现 了 这 种 修 复 方 案 ） ： 1 . 2 . 4   追 问 ： 不 是 后 面 还 会 进 行 白 名 单 检 测 吗 ？ 追 问 ： 不 是 后 面 还 会 进 行 白 名 单 检 测 吗 ？ 重 头 戏 ， 这 个 引 发 后 续 一 系 列 问 题 虽 然 前 面 绕 过 了 黑 名 单 检 测 ， 但 是 后 面 还 有 白 名 单 检 测 ， 那 么 这 里 怎 么 绕 过 的 呢 ？ 赋 值 问 题 ： 后 缀 的 白 名 单 数 组 赋 值 给 了   u p l o a d   类 中 的 变 量 ：   ， 但 是 检 测 文 件 名 后 缀 的 时 候 使 用   u p l o a d   类 中 的 变 量 ： 来 检 测 ， 很 明 显 白 名 单 数 组 赋 值 错 了 ， 导 致   e x t s   变 量 为 空 ， 故 绕 过 了 后 缀 名 的   c h e c k 。 这 是 开 发 者 在 开 发 时 疏 漏 导 致 的 白 名 单 检 测 缺 陷 。 s t r i p _ t a g s ( ) / / 漏 洞 版 本 ： s h o w d o c s e r v e r A p p l i c a t i o n H o m e C o n t r o l l e r P a g e C o n t r o l l e r . c l a s s . p h p s t r s t r ( s t r t o l o w e r ( $ _ F I L E S [ ' e d i t o r m d - i m a g e - f i l e ' ] [ ' n a m e ' ] ) ,   " . p h p " ) / / 另 外 一 个 路 径 下 的 修 复 版 本 ： s h o w d o c s e r v e r A p p l i c a t i o n A p i C o n t r o l l e r P a g e C o n t r o l l e r . c l a s s . p h p s t r s t r ( s t r i p _ t a g s ( s t r t o l o w e r ( $ _ F I L E S [ ' e d i t o r m d - i m a g e - f i l e ' ] [ ' n a m e ' ] ) ) ,   " . p h p " ) a l l o w E x t s $ u p l o a d - > a l l o w E x t s   =   a r r a y ( ' j p g ' ,   ' g i f ' ,   ' p n g ' ,   ' j p e g ' ) ; e x t s $ u p l o a d [ ' e x t s ' ]
1 . 3   绕 过 方 法 二 ： 修 改 输 入 名 称 绕 过 方 法 二 ： 修 改 输 入 名 称 1 . 3 . 1   追 问 ： 绕 过 方 式 追 问 ： 绕 过 方 式 将 文 件 输 入 名 称 改 为 ， 如 （ 绕 过 了 黑 名 单 的 检 测 ， 同 时 结 合 白 名 单 的 缺 陷 ， 以 实 现 目 的 ） 1 . 3 . 2   原 理 原 理 因 为 他 只 检 测 输 入 名 为 文 件 的 文 件 名 是 否 包 含   p h p ， 修 改 对 应 的 输 入 名 即 可 。 举 一 反 三 ： 举 一 反 三 ： 这 也 解 释 了 为 什 么 其 他 场 景 的 文 件 上 传 中 可 以 通 过 修 改 这 个 字 段 名 称 的 方 式 绕 过 了 文 件 上 传 限 制 1 . 3 . 3   缺 陷 缺 陷 虽 然 在 文 件 夹 中 看 到 文 件 成 功 上 传 ， 但 是 返 回 的 文 件 路 径 中 没 有 文 件 名 查 看 源 码 后 发 现 ： 是 因 为 在 返 回 的 文 件 名 中 又 一 次 使 用 到 了 ， 并 通 过 这 个 名 来 获 取 文 件 保 存 路 径 ， 由 于 我 们 更 改 了 输 入 名 ， 并 不 存 在 的 键 值 ， 故 返 回 了 文 件 名 为 空 。 1 . 3 . 4   进 一 步 绕 过 以 获 取 文 件 名 进 一 步 绕 过 以 获 取 文 件 名 虽 然 没 有 返 回 文 件 名 ， 但 是 文 件 是 上 传 成 功 的 ， 那 么 如 何 知 道 上 传 后 的 文 件 名 ？ e d i t o r m d - i m a g e - f i l e 1 n a m e = " e d i t o r m d - i m a g e - f i l e 1 " ;   f i l e n a m e = " t e s t . p h p " e d i t o r m d - i m a g e - f i l e s t r s t r ( s t r t o l o w e r ( $ _ F I L E S [ ' e d i t o r m d - i m a g e - f i l e ' ] [ ' n a m e ' ] ) ,   " . p h p " ) e d i t o r m d - i m a g e - f i l e e d i t o r m d - i m a g e - f i l e
跟 踪 源 码 ， 发 现 文 件 命 名 调 用 了 函 数 ， 而 该 函 数 的 定 义 是 基 于 以 微 秒 计 的 当 前 时 间 ， 生 成 一 个 唯 一 的   I D ， 那 么 在 极 短 的 时 间 内 发 送 两 个 包 ， 那 么 文 件 名 应 该 是 相 近 的 。 方 法 一 ： 第 一 个 正 常 上 传 返 回 路 径 ， 第 二 个 修 改 输 入 名 不 返 回 路 径 ， 依 据 时 间 递 增 遍 历 即 可 找 到 ， 但 是 爆 破 不 知 上 限 有 些 盲 目 。 方 法 二 ： p h p   文 件 在 两 个 包 之 间 ， 对 应 文 件 名 也 在 两 个 包 时 间 之 间 。 如 下 图 ， 需 要 爆 破 5 位 数 1 . 3 . 5   更 进 一 步 以 缩 短 爆 破 时 间 更 进 一 步 以 缩 短 爆 破 时 间 通 过 查 看   t h i n k p h p   文 档 后 发 现 ， 其 支 持 多 文 件 上 传 。 h t t p : / / d o c u m e n t . t h i n k p h p . c n / m a n u a l _ 3 _ 2 . h t m l # u p l o a d 测 试 后 多 文 件 上 传 后 ， 发 现 文 件 处 理 时 间 间 隔 更 近 ， 命 名 更 相 似 ， 3   位 数 ， 对 应 爆 破 次 数 不 超 过   4 0 0 0   次 ， 效 率 更 高 。 1 . 4   修 复 方 案 修 复 方 案 修 复 白 名 单 赋 值 导 致 的 缺 陷 即 可 ： 将 对 应 代 码 更 改 为 h t t p s : / / g i t h u b . c o m / s t a r 7 t h / s h o w d o c / c o m m i t / 1 8 9 b 6 c e d c 0 1 1 a 0 d 2 7 5 8 f 4 2 0 7 c b 8 5 c 5 6 5 3 7 2 0 9 3 d d u n i q i d ( ) $ u p l o a d - > a l l o w E x t s =   a r r a y ( ' j p g ' ,   ' g i f ' ,   ' p n g ' ,   ' j p e g ' ) ; $ u p l o a d - > e x t s =   a r r a y ( ' j p g ' ,   ' g i f ' ,   ' p n g ' ,   ' j p e g ' ) ;
1 . 5   其 他 失 败 尝 试 其 他 失 败 尝 试 1 . 5 . 1   直 接 上 传 直 接 上 传   p h p ？ ？ 原 因 ： 原 因 ： 最 早 跟 踪 < > 的 漏 洞 成 因 ， 发 现 是 白 名 单 后 缀 检 测 失 效 导 致 的 ， 既 然 白 名 单 失 效 ， 为 什 么 不 考 虑 直 接 上 传   p h p 过 程 ： 过 程 ： 测 试 失 败 ， 然 后 下 断 点 跟 踪 代 码 。 收 获 ： 收 获 ： 发 现 了 其 还 有 一 层 黑 名 单 验 证 机 制 1 . 5 . 2   s t r l o w e r   绕 过 ？ 绕 过 ？ U n i c o d e   字 符 ？ 字 符 ？ 原 因 ： 原 因 ： 最 近 打   C I S C N 2 0 2 1   的 一 道   u p l o a d   题 目 ， 遇 到 在 进 行 黑 名 单 匹 配 时 可 通 过   u n i c o d e   绕 过 过 程 ： 过 程 ： 仔 细 查 看 后 发 现 我 记 错 了 ， C T F   中 题 目 是 ， 而 此 处 是 收 获 ： 收 获 ： 对 和 s t r t o l o w e r m b _ s t r t o l o w e r s t r t o l o w e r s t r t o l o w e r
理 解 更 深 1 . 5 . 3   . h t a c c e s s   可 以 吗 ？ 可 以 吗 ？ 背 景 ： 背 景 ： 黑 名 单 只 限 制   p h p ， p h t m l   可 以 上 传 ， 但 无 法 被 解 析 ， 那 么 可 以 上 传 使 之 支 持 解 析 吗 ？ 过 程 ： 过 程 ： 测 试 ， 发 现 上 传 的 会 被 重 命 名 为   “ 6 0 d 1 5 0 f 6 e e 7 1 1 . h t a c c e s s ” 结 局 ： 结 局 ： 不 再 发 散 ， 点 到 为 止   0 2 有 趣 的 溯 源 有 趣 的 溯 源 2 . 1   漏 洞 起 源 于 漏 洞 起 源 于   C T F 1 .   p l z m y y   师 傅 最 早 通 报 这 个 漏 洞 给   s h o w d o c   官 方 在   2 0 2 0   年 的 八 月 2 .   p l z m y y   师 傅 提 到 了 最 早 出 现 在   R o a r C T F 2 0 1 9   的 赛 事 中 的   s i m p l e _ u p l o a d   题 目   E t h a n   师 傅 的   W P h t t p s : / / w w w . f u z z e r . x y z / 2 0 1 9 / 1 0 / 1 4 / R o a r C T F 2 0 1 9 3 .   E t h a n   师 傅 发 现 < > 绕 过 方 法 是   f u z z   出 来 这 个 非 预 期 解 ， 而 查 看 绝 大 部 分   W P   以 及 疑 似 官 方 的   W P   中 介 绍 的 是 利 用   u n i q i d ( )   的 函 数 可 爆 破 的 弱 点 。 h t t p s : / / g i t h u b . c o m / b e r T r A M 8 8 8 / R o a r C T F - W r i t e u p - s o m e - S o u r c e - C o d e / t r e e / m a s t e r / W e b / s i m p l e _ u p l o a d / w r i t e u p 4 .   E t h a n   师 傅 文 章 中 提 到 疑 似   0 d a y ， 引 起 了 我 的 兴 趣 ， 我 想 分 析 到 底 是 哪 个   d a y ？ 2 . 2   有 有 0 d a y ？ ？ 1 .   检 索 相 关 关 键 词 ， 没 有 发 现   0 d a y ， 而 且 到 现 在 都 没 有 爆 出 来 ， 离 谱 ！ 更 加 吸 引 了 我 的 兴 趣 2 .   搜 索 引 擎 限 定 搜 索 时 间 为   1 9   年   1 0   月   R o a r C T F   开 赛 之 前 ， 发 现 一 个   1 4   的 《 T h i n k P H P 文 件 上 传 实 例 教 程 》 一 个   1 5   年 的 《 T h i n k P H P 文 件 上 传 的 实 例 代 码 》 网 页 介 绍 了 如 何 使 用   T h i n k P H P   文 件 上 传   ， 其 使 用 的 方 法 就 是 错 误 的 写 法 ， 而   T h i n k P H P   官 方   3 . 2   版 本 的 说 明 文 档 中 则 使 用 的 是 正 确 的 写 法 m b _ s t r t o l o w e r . h t a c c e s s . h t a c c e s s $ u p l o a d - > a l l o w E x t s $ u p l o a d - > e x t s
《 T h i n k P H P 文 件 上 传 实 例 教 程 》 : h t t p s : / / w w w . j b 5 1 . n e t / a r t i c l e / 5 4 2 0 9 . h t m 《 T h i n k P H P 文 件 上 传 的 实 例 代 码 》 ： h t t p : / / w w w . s p l a y b o w . c o m / p o s t / t h i n k p h p - f i l e - u p l o a d - s a m p l e . h t m l 3 .   那 么 为 什 么   T h i n k P H P   官 方 是 对 的 ， 而 民 间 大 家 用 的 是 这 种 错 误 的 写 法 ？ 会 不 会 是 官 方 早 期 版 本 教 学 用 的 就 是 这 个 错 误 的 写 法 2 . 3   官 方 自 相 矛 盾 ？ 官 方 自 相 矛 盾 ？ 1 .   怀 疑 是   T h i n k P H P 3 . 2   以 下 版 本 的 官 方 文 档 自 身 用 了 错 误 的 写 法 ， 而 民 间 只 是 历 史 沿 用 这 一 用 法 ， 搜 了   T h i n k P H P 3 . 1   的 说 明 文 档 ， 果 不 其 然 用 的 就 是 的 错 误 方 式 h t t p : / / w w w . t h i n k p h p . c n / i n f o / 1 9 4 . h t m l 2 .   那 么   T P 3 . 2   官 方 为 什 么 在 文 档 中 更 正 了 这 种 错 误 的 写 法 ？ 是 因 为 当 时 爆 出 了 漏 洞 吗 ？ 检 索 后 发 现 并 没 有 这 类 漏 洞 3 .   继 续 追 踪 ， 查 看   3 . 1   和   3 . 2   官 方 源 码 发 现 ： 是 在 T P 从 3 . 1 到 3 . 2 版 本 升 级 的 时 候 ， 由 于 编 写 文 件 上 传 类 的 负 责 人 换 了 一 个 → ， 使 得   ①   类 名 → ②   白 名 单 后 缀 数 组 名   → ③   文 件 名 ， 文 件 路 径 等 发 生 变 更 。 4 .   仔 细 对 比   3 . 1   和   3 . 2   的 文 档 ， 发 现 虽 然 源 码 发 生 改 变 ， 对 应 文 档 也 发 生 了 改 变 ， 本 质 上 并 不 存 在 漏 洞 。 5 .   也 就 说   ① 3 . 1   版 本 的 源 码 配 合   3 . 1   的 文 档 ， 搭 配 不 会 产 生 漏 洞 ； ②   3 . 2 版 本 的 源 码 配 合   3 . 2   的 文 档 ， 搭 配 也 不 会 发 生 漏 洞 。 ③   但 是   3 . 2   的 版 本 使 用 3 . 1 的 文 档 ， 搭 配 就 会 产 生 漏 洞 ， 而 s h o w d o c 的 漏 洞 成 因 很 大 几 率 来 源 于 此 。 6 .   再 次 百 度 、 G o o g l e   相 关 教 程 网 页 ， 发 现 民 间 教 程 也 都 和 官 方 文 档 一 样 ， 一 一 对 应 （ 刚 刚 只 关 注 键 名 没 关 住 类 名 了 ） 。 7 .   也 就 说 官 方 教 程 不 存 在 问 题 ， 网 上 教 程 也 不 存 在 问 题 ， 那 么 只 能 是 个 人 了 。 $ u p l o a d - > a l l o w E x t s l i u 2 1 s t z u o j i a z i U p l o a d F i l e ( ) U p l o a d ( )   a l l o w E x t s e x t     $ u p l o a d   =   n e w   U p l o a d F i l e ( ) $ u p l o a d - > a l l o w E x t s $ u p l o a d   =   n e w   T h i n k U p l o a d ( ) $ u p l o a d - > e x t s $ u p l o a d   =   n e w   T h i n k U p l o a d ( ) $ u p l o a d - > a l l o w E x t s
2 . 4   个 人 问 题 ？ 个 人 问 题 ？ 1 .   再 往 前 追 ： 2 0 1 6   年   8   月   s h o w d o c V 1 . 0 . 0   版 本 就 存 在 这 种 错 误 的 写 法 ， 但 是   1 4   年   T P 3 . 2   就 出 现 了 h t t p s : / / g i t h u b . c o m / s t a r 7 t h / s h o w d o c / b l o b / v 1 . 0 . 0 / A p p l i c a t i o n / H o m e / C o n t r o l l e r / P a g e C o n t r o l l e r . c l a s s . p h p 2 .   由 于 作 品 发 布 前 后 间 隔 两 年 ， 首 先 怀 疑 作 者 是 基 于 一 个 通 用 模 板 或   C M S   改 的 ， 但 是 检 索 了 半 天 开 源 框 架 并 没 有 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理