搜索

[18241] 2020-12-24_记一次通过代码审计完成的渗透

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-12-24_记一次通过代码审计完成的渗透 记 一 次 通 过 代 码 审 计 完 成 的 渗 透 p o p s t a c k   H A C K 之 道   2 0 2 0 - 1 2 - 2 4 这 是 一 次 针 对 某 高 校 的 授 权 安 全 测 试 ， 只 给 了 目 标 学 校 的 名 字 ， 所 有 资 产 自 行 收 集 。 信 息 收 集 无 非 老 三 样 ， 百 度 、 子 域 名 、 C 端 。 通 过 百 度 ， 我 们 找 到 了 目 标 学 校 的 域 名 e x a m p l e . e d u . c n ， 首 先 使 用 百 度 搜 索 目 标 相 关 站 点 ， 尝 试 发 现 脆 弱 站 点 。 接 下 来 利 用 r a i l g u n 对 各 个 域 名 进 行 目 录 扫 描 ， 结 果 收 获 不 小 。 很 意 外 的 扫 描 发 现 某 站 点 存 在 备 份 文 件 泄 露 的 问 题 ， 网 站 源 码 被 打 包 后 存 放 在 根 目 录 下 / w w w . r a r 。 下 载 以 后 得 到 了 如 下 源 码 其 中 压 缩 包 里 打 了 三 个 名 字 很 奇 怪 的 文 件 ， 想 想 就 觉 得 可 疑 。 打 开 以 后 可 以 发 现 这 是 通 过 p h p m y a d m i n 全 局 日 志 备 份 拿 到 的 w e b s h e l l 复 制 链 接 放 入 菜 刀 拿 到 s h e l l
结 束 结 束 不 行 ， s h e l l 被 删 掉 了 。 而 网 站 其 他 目 录 是 两 个 t h i n k p h p 框 架 的 公 众 号 后 端 以 及 一 个 p h p m y a d m i n 。 我 们 可 以 从 t h i n k p h p 数 据 库 配 置 文 件 读 到 m y s q l 账 号 信 息 ， 为 r o o t / r o o t 。 登 录 p h p m y a d m i n 导 出 文 件 拿 到 s h e l l 结 束 结 束 当 然 不 行 ， 网 络 管 理 员 还 是 挺 称 职 的 （ 除 了 源 码 备 份 留 到 根 目 录 ） 。 他 发 现 根 目 录 的 w e b s h e l l 以 后 ， 分 析 出 黑 客 是 通 过 m y s q l 弱 口 令 进 入 p h p m y a d m i n 拿 到 w e b s h e l l ， 于 是 修 改 了 m y s q l 密 码 。
至 此 ， 我 们 渗 透 目 标 站 点 只 有 一 条 思 路 - - - > 审 计 代 码 。 项 目 一 项 目 一 项 目 一 只 有 两 个 A P I 调 用 ， 项 目 路 由 如 下     0 x 0 0   S Q L 注 入 注 入 首 先 我 们 查 看 一 下 版 本 。 3 . 1 . 3 除 了 注 入 不 存 在 R C E 以 及 其 他 威 胁 安 全 的 漏 洞 。 我 们 需 要 具 体 去 看 M V C 中 c o n t r o l l e r 的 实 现 来 发 现 问 题 。 目 标 站 点 的 两 个 w x _ x x x x _ r t m 是 两 个 不 同 的 t h i n k p h p 项 目 ， 其 中 i n t e r f a c e 为 接 口 ， 只 有 两 个 C o n t r o l l e r t h i n k p h p
< ? p h p     / / i n d e x C o n t r o l l e r c l a s s   I n d e x A c t i o n   e x t e n d s   P u b l i c A c t i o n {                 / /   首 页                 p u b l i c   f u n c t i o n   i n d e x   ( )   {                                             $ c a t e   =   n e w   M o d e l ( " c o n t e n t " ) ;                         $ s q l   =   " S e l e c t     c . C O N T E N T _ I D , c .   S O R T _ D A T E   , a . T I T L E ,   a . A U T H O R ,   a . R E L E A S E _ D A T E , b . T X T   f r o m   j c _ c o n t e n t   c   l e f t   j o i n   j c _ c o n t e n t _ e x t       a   o n   a .   C O N T E N T _ I D   = c .   C O N T E N T _ I D   l e f t   j o i n   j c _ c o n t e n t _ t x t     b   o n   b .   C O N T E N T _ I D   = c .   C O N T E N T _ I D   w h e r e   c .   C O N T E N T _ I D   i n   ( s e l e c t   C O N T E N T _ I D   f r o m   j c _ c o n t e n t _ c h a n n e l   w h e r e   c h a n n e l _ i d   i n   ( 7 5 , 7 6 ) )     a n d   c . s t a t u s = 2   o r d e r   b y   c .   S O R T _ D A T E   d e s c " ;                         e c h o   j s o n _ e n c o d e ( $ c a t e - > q u e r y ( $ s q l ) ) ;                 }                 p u b l i c   f u n c t i o n   c o n t e n t   ( )   {                         $ i d   =   $ _ G E T [ ' i d ' ] ;                         $ c a t e   =   n e w   M o d e l ( " c o n t e n t " ) ;                         $ s q l   =   " S e l e c t     c . C O N T E N T _ I D , c .   S O R T _ D A T E   , a . T I T L E ,   a . A U T H O R ,   a . R E L E A S E _ D A T E , b . T X T   f r o m   j c _ c o n t e n t   c   l e f t   j o i n   j c _ c o n t e n t _ e x t       a   o n   a .   C O N T E N T _ I D   = c .   C O N T E N T _ I D   l e f t   j o i n   j c _ c o n t e n t _ t x t     b   o n   b .   C O N T E N T _ I D   = c .   C O N T E N T _ I D   w h e r e     c . C O N T E N T _ I D = " . $ i d . "   a n d   c . s t a t u s = 2   o r d e r   b y   c .   S O R T _ D A T E   d e s c " ;                         e c h o   j s o n _ e n c o d e ( $ c a t e - > q u e r y ( $ s q l ) ) ;                 } } 可 以 很 清 楚 的 看 到 c o n t e n t 方 法 直 接 把 i d 拼 入 s q l 查 询 语 句 ， 存 在 s q l 注 入 。 当 然 我 们 不 只 想 要 s q l 注 入 ， 很 多 时 候 加 盐 就 能 解 决 很 多 问 题 。 0 x 0 1   难 以 利 用 的 请 求 伪 造 难 以 利 用 的 请 求 伪 造 而 p u b l i c A c t i o n 包 含 几 个 工 具 函 数
p r i v a t e   f u n c t i o n   h t t p G e t ( $ u r l )   {         $ c u r l   =   c u r l _ i n i t ( ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ R E T U R N T R A N S F E R ,   t r u e ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ T I M E O U T ,   5 0 0 ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ U R L ,   $ u r l ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ S S L _ V E R I F Y P E E R ,   F A L S E ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ S S L _ V E R I F Y H O S T ,   f a l s e ) ;         $ r e s   =   c u r l _ e x e c ( $ c u r l ) ;         i f   ( $ r e s   = = =   F A L S E )   {         e c h o   " c U R L   E r r o r :   "   .   c u r l _ e r r o r ( $ c u r l ) ; }         c u r l _ c l o s e ( $ c u r l ) ;         r e t u r n   $ r e s ;     } 其 中 h t t p G e t 函 数 很 明 显 ， 存 在 c s r f 漏 洞 。 但 因 为 被 p r i v a t e 修 饰 ， 没 办 法 直 接 调 用 。 跳 过 项 目 二 项 目 二 项 目 二 使 用 了 同 样 的 t h i n k p h p 版 本 ， 但 包 含 了 完 善 的 前 台 、 后 台 、 A P I 等 功 能 ， 猜 测 很 大 概 率 存 在 一 定 漏 洞 。 项 目 结 构 如 下


0 x 0 0   未 授 权 访 问 未 授 权 访 问 阅 读 代 码 可 以 发 现 这 个 系 统 的 开 发 者 似 乎 并 不 理 解 t h i n k p h p 的 权 限 验 证 模 式 。 通 常 来 说 ， t h i n k p h p 在 需 要 权 限 验 证 的 模 块 会 创 建 一 个 基 类 ， 在 基 类 初 始 化 的 方 法 中 验 证 用 户 权 限 。 我 们 只 需 要 让 需 要 权 限 验 证 的 类 继 承 该 权 限 验 证 类 即 可 。 而 这 个 开 发 者 似 乎 并 不 能 始 终 记 住 这 一 点 。 c l a s s   P u b l i c A c t i o n   e x t e n d s   A c t i o n   {                 / / 验 证 登 陆 的 初 始 方 法                 p u b l i c   f u n c t i o n   _ i n i t i a l i z e   ( )   {                         $ n a m e   =   s e s s i o n ( " n a m e " ) ;                         i f ( ! $ n a m e ) {                                 $ t h i s - > r e d i r e c t ( ' A d m i n / I n d e x / l o g i n ' ) ;                         }                 } 我 们 可 以 看 到 他 定 义 了 相 关 的 权 限 验 证 基 类 ， 但 是 实 际 上 在 后 台 某 些 模 块 并 没 有 继 承 该 类 。 c l a s s   A d m i n U s e r A c t i o n   e x t e n d s   P u b l i c A c t i o n   c l a s s   C o m m e n t A c t i o n   e x t e n d s   A c t i o n c l a s s   N e w s A c t i o n   e x t e n d s   A c t i o n c l a s s   O r d e r A c t i o n   e x t e n d s   A c t i o n c l a s s   S y s t e m A c t i o n   e x t e n d s   A c t i o n         . . . 有 很 多 类 都 没 有 使 用 权 限 验 证 ， 造 成 了 未 授 权 访 问 0 x 0 1 任 意 文 件 删 除 任 意 文 件 删 除 在 a d m i n 模 块 下 的 S y s t e m A c t i o n 模 块 存 在 删 除 文 件 夹 方 法
p u b l i c   f u n c t i o n   r m d i r r ( $ d i r n a m e )   {                         i f   ( ! f i l e _ e x i s t s ( $ d i r n a m e ) )   {                                 r e t u r n   f a l s e ;                         }                         i f   ( i s _ f i l e ( $ d i r n a m e )   | |   i s _ l i n k ( $ d i r n a m e ) )   {                                 r e t u r n   u n l i n k ( $ d i r n a m e ) ;                         }                         $ d i r   =   d i r ( $ d i r n a m e ) ;                         i f ( $ d i r ) {                                 w h i l e   ( f a l s e   ! = =   $ e n t r y   =   $ d i r - > r e a d ( ) )   {                                         i f   ( $ e n t r y   = =   ' . '   | |   $ e n t r y   = =   ' . . ' )   {                                                 c o n t i n u e ;                                         }                                         / / 递 归                                         $ t h i s - > r m d i r r ( $ d i r n a m e   .   D I R E C T O R Y _ S E P A R A T O R   .   $ e n t r y ) ;                                 }                         }                         $ d i r - > c l o s e ( ) ;                         r e t u r n   r m d i r ( $ d i r n a m e ) ;                 } 该 方 法 是 一 个 p u b l i c 方 法 ， 可 以 直 接 被 外 部 访 问 。 我 们 通 过 未 授 权 可 以 删 除 目 标 站 点 的 文 件 夹 。 0 x 0 2   请 求 伪 造 请 求 伪 造 在 i n d e x / P u b l i c A c t i o n / 定 义 了 几 个 调 用 C U R L 的 助 手 函 数 ， 并 且 为 p u b l i c 属 性 ， 直 接 导 致 了 C S R F 漏 洞 。 p u b l i c   f u n c t i o n   g e t C u r l   ( $ u r l )   {                         / / 初 始 化                         $ c h   =   c u r l _ i n i t ( ) ;                         / / 设 置 选 项 ， 包 括 U R L                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ u r l ) ;                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ;                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   0 ) ;                         / / 执 行 并 获 取 H T M L 文 档 内 容                         $ o u t p u t   =   c u r l _ e x e c ( $ c h ) ;
                        / / 释 放 c u r l 句 柄                         c u r l _ c l o s e ( $ c h ) ;                         / / 返 回 获 得 的 数 据                         r e t u r n   $ o u t p u t ;                                   }                 / / c u r l 模 拟 p o s t 请 求                 p u b l i c   f u n c t i o n   p o s t C u r l   ( $ u r l , $ p o s t _ d a t a )   {                         $ c h   =   c u r l _ i n i t ( ) ;                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ u r l ) ;                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ;                         / /   p o s t 数 据                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ P O S T ,   1 ) ;                         / /   p o s t 的 变 量                         c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ P O S T F I E L D S ,   $ p o s t _ d a t a ) ;                         $ o u t p u t   =   c u r l _ e x e c ( $ c h ) ;                         c u r l _ c l o s e ( $ c h ) ;                         / / 打 印 获 得 的 数 据                         p r i n t _ r ( $ o u t p u t ) ;                               }                 / / 模 拟 登 录                   f u n c t i o n   l o g i n _ g e t ( $ u r l ,   $ c o o k i e )   {                           $ c u r l   =   c u r l _ i n i t ( ) ; / / 初 始 化 c u r l 模 块                           c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ U R L ,   $ u r l ) ; / / 登 录 提 交 的 地 址                           c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ H E A D E R ,   0 ) ; / / 是 否 显 示 头 信 息                           c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ; / / 是 否 自 动 显 示 返 回 的 信 息                           c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ C O O K I E J A R ,   $ c o o k i e ) ;   / / 设 置 C o o k i e 信 息 保 存 在 指 定 的 文 件 中                           c u r l _ e x e c ( $ c u r l ) ; / / 执 行 c U R L                           c u r l _ c l o s e ( $ c u r l ) ; / / 关 闭 c U R L 资 源 ， 并 且 释 放 系 统 资 源  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理