搜索

[18423] 2021-08-28_某大型CMS后台注入从分析到利用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-28_某大型CMS后台注入从分析到利用 某 大 型 C M S 后 台 注 入 从 分 析 到 利 用 j o k e r   H A C K 之 道   2 0 2 1 - 0 8 - 2 8 本 文 首 发 于 本 文 首 发 于 奇 安 信 攻 防 社 区 奇 安 信 攻 防 社 区 搭 建 环 境 搭 建 环 境 G i t h u b 找 一 下 若 依 4 . 6 . 1 版 本 下 载 到 本 地 ， 丢 到 I D E A 里 面 ， 数 据 库 文 件 导 入 ， d r u i d 连 接 池 配 置 文 件 中 修 改 u s e r n a m e 和 p a s s w o r d 在 a p p l i c a t i o n . y m l 文 件 中 可 更 改 服 务 默 认 端 口 ， 8 0 端 口 被 占 用 修 改 成 其 他 空 闲 端 口 完 成 数 据 库 导 入 和 配 置 文 件 一 些 必 要 信 息 的 修 改 之 后 就 可 以 运 行 整 个 项 目 了
漏 洞 分 析 漏 洞 分 析 若 依 c m s 这 个 后 台 S Q L 注 入 貌 似 还 没 有 公 开 漏 洞 细 节 ， 相 关 的 分 析 内 容 很 难 找 ， G o o g l e 到 了 其 中 一 篇 文 章 ， 获 取 到 了 关 键 的 污 点 传 播 路 径 ， 整 理 如 下 ： 1 .   2 .   3 .   4 .   初 看 比 较 疑 惑 ， 顺 着 污 点 传 播 路 径 跟 进 不 太 明 白 p o c 是 怎 么 整 出 来 的 ， 看 到 最 后 的 x m l 文 件 也 就 是 漏 洞 触 发 点 也 就 清 楚 是 怎 么 一 回 事 了 ， 先 从 污 点 源 开 始 看 R u o Y i / r u o y i - a d m i n / s r c / m a i n / j a v a / c o m / r u o y i / w e b / c o n t r o l l e r / s y s t e m / S y s R o l e C o n t r o l l e r . j a v a : 5 6 - > R u o Y i / r u o y i - c o m m o n / s r c / m a i n / j a v a / c o m / r u o y i / c o m m o n / c o r e / d o m a i n / e n t i t y / S y s R o l e . j a v a : 3 7 , 污 点 源 从 - > R u o Y i / r u o y i - s y s t e m / s r c / m a i n / j a v a / c o m / r u o y i / s y s t e m / m a p p e r / S y s R o l e M a p p e r . j a v a : 1 9 , 污 点 传 入 s e l e c t R o l e L i s t - > R u o Y i / r u o y i - s y s t e m / s r c / m a i n / r e s o u r c e s / m a p p e r / s y s t e m / S y s R o l e M a p p p e r . x m l : 3 6 , ' S Q L I ' 类 型 触 发 注 入 R u o Y i / r u o y i - a d m i n / s r c / m a i n / j a v a / c o m / r u o y i / w e b / c o n t r o l l e r / s y s t e m / S y s R o l e C o n t r o l l e r . j a v a
查 看 代 码 可 以 确 定 利 用 的 漏 洞 路 径 为 ， 以 P O S T 的 方 式 进 行 传 参 ， 可 以 看 到 初 始 的 污 点 源 为 传 递 给 的 参 数 ， 跟 进 方 法 中 调 用 的 方 法 / s y s t e m / r o l e / l i s t T a b l e D a t a I n f o r o l e s t a r t P a g e ( ) R u o y i / r u o y i - c o m m o n / s r c / m a i n / j a v a / c o m / r u o y i / c o m m o n / c o r e / c o n t r o l l e r / B a s e C o n t r o l l e r . j a v a
函 数 体 打 断 点 处 ， 调 用 了 类 的 , 如 果 和 两 个 参 数 值 不 为 空 的 话 就 会 进 行 分 页 处 理 ， 调 用 的 是 p a g e h e l p e r 这 个 第 三 方 插 件 ， 跟 进 方 法 分 析 是 如 何 进 行 赋 值 处 理 的 T a b l e S u p p o r t b u i l d P A g e R e q u e s t ( ) p a g e N u m P a g e S i z e b u i l d P A g e R e q u e s t ( ) R u o y i / r u o y i - c o m m o n / s r c / m a i n / j a v a / c o m / r u o y i / c o m m o n / c o r e / p a g e / T a b l e S u p p o r t . j a v a
实 例 化 一 个 类 ， 并 通 过 类 从 p o s t 传 递 的 数 据 中 获 取 对 应 的 参 数 值 , 所 以 这 几 个 参 数 值 对 漏 洞 利 用 并 没 有 太 大 的 影 响 ， 让 其 获 取 到 的 都 为 空 就 可 以 ， 第 一 部 分 p o c 1 .   顺 着 污 点 传 播 链 ， 跟 进 文 件 P a g e D o m a i n S e r v l e t U t i l s p a g e S i z e = & a m p ; p a g e N u m = & a m p ; o r d e r B y C o l u m n = & a m p ; i s A s c = R u o Y i / r u o y i - c o m m o n / s r c / m a i n / j a v a / c o m / r u o y i / c o m m o n / c o r e / d o m a i n / e n t i t y / S y s R o l e . j a v a
对 参 数 的 一 个 拼 接 ， 并 且 进 行 了 类 型 的 转 换 ， 继 续 跟 传 播 链 ， 注 释 已 经 写 明 此 处 根 据 分 页 查 询 角 色 数 据 ， 暂 时 不 知 道 污 点 为 何 会 传 入 方 法 ， 继 续 跟 传 播 链 d a t a S c o p e R u o Y i / r u o y i - s y s t e m / s r c / m a i n / j a v a / c o m / r u o y i / s y s t e m / m a p p e r / S y s R o l e M a p p e r . j a v a s e l e c t R o l e L i s t ( ) R u o Y i / r u o y i - s y s t e m / s r c / m a i n / r e s o u r c e s / m a p p e r / s y s t e m / S y s R o l e M a p p p e r . x m l
可 以 看 到 这 里 是 S Q L 查 询 语 句 ， 具 体 为 什 么 这 么 写 可 以 去 自 行 百 度 一 下 ， 可 以 看 到 这 里 直 接 将 拼 接 入 了 S Q L 语 句 中 ， 因 此 构 造 S Q L 注 入 语 句 就 能 够 查 询 我 们 想 要 获 取 的 数 据 ， 到 这 里 也 就 不 难 理 解 为 什 么 污 点 源 会 变 成 , 现 在 根 据 公 开 的 p o c 来 捋 一 捋 整 个 链 r o l e 为 初 始 污 点 源 - > 调 用 方 法 - > 方 法 调 用 中 的 类 ， 该 类 会 对 参 数 进 行 处 理 - > 传 入 了 $ { p a r a m s . d a t a S c o p e } d a t a S c o p e R u o Y i / r u o y i - s y s t e m / s r c / m a i n / j a v a / c o m / r u o y i / s y s t e m / s e r v i c e / I S y s R o l e S e r v i c e . j a v a # s e l e c t R o l e L i s t s e l e c t R o l e L i s t R u o Y i / r u o y i - c o m m o n / s r c / m a i n / j a v a / c o m / r u o y i / c o m m o n / c o r e / d o m a i n / e n t i t y / S y s R o l e . j a v a S y s R o l e d a t a S c o p e d a t a S c o p e R u o Y i / r u o y i - s y s t e m / s r c / m a i n / j a v a / c o m / r u o y i / s y s t e m / m a p p e r / S y s R o l e M a p p e r . j a v a # s e l e c t R o l e L i s t
方 法 - > 调 用 S Q L 查 询 时 拼 接 参 数 值 进 行 了 注 入 可 能 并 不 是 很 准 确 ， 但 是 自 己 是 这 么 理 解 的 ， 有 师 傅 理 解 更 到 位 的 话 请 多 多 指 教 第 二 部 分 p o c 1 .   将 两 部 分 p o c 结 合 也 就 得 到 了 公 开 的 p o c ， 其 实 从 p o c 入 手 ， 再 直 接 看 到 最 后 的 漏 洞 注 入 点 能 够 更 好 理 解 p o c 为 什 么 是 这 么 构 造 的 ， 其 他 参 数 的 值 皆 为 空 默 认 就 会 为 n u l l ， 只 传 入 d a t a S c o p e 这 个 参 数 值 也 是 可 以 的 1 .   2 .   本 地 复 现 本 地 复 现 可 以 看 到 通 过 报 错 注 入 获 取 到 了 数 据 库 的 名 字 ， 后 面 更 改 S Q L 语 句 就 能 够 获 取 到 详 细 的 数 据 库 信 息 了 项 目 测 试 项 目 测 试 打 开 给 定 的 地 址 ， 看 到 这 个 界 面 就 觉 得 很 熟 悉 ， 之 前 审 报 告 的 就 是 就 看 到 很 多 回 ， 若 依 没 跑 了 ， 站 点 应 该 只 是 更 改 了 一 些 静 态 资 源 。 d a t a S c o p e r o l e N a m e = & a m p ; r o l e K e y = & a m p ; s t a t u s = & a m p ; p a r a m s [ b e g i n T i m e ] = & a m p ; p a r a m s [ e n d T i m e ] = & a m p ; p a r a m s u r l / s y s t e m / r o l e / l i s t P O S T : p a g e S i z e = & a m p ; p a g e N u m = & a m p ; o r d e r B y C o l u m n = & a m p ; i s A s c = & a m p ; r o l e N a m e = & a m p ; r o l e K e y = & a m p
登 录 还 是 常 规 手 段 尝 试 弱 口 令 ， a d m i n / a d m i n 1 2 3 ， 直 接 进 去 了 后 台 b u r p 抓 个 包 ， p o c 打 过 去 ， 获 取 到 了 数 据 库 名
得 到 如 下 部 分 数 据 库 中 的 信 息 ， 详 细 的 就 不 公 开 了 1 .   2 .   总 结 总 结 整 个 到 这 里 就 差 不 多 结 束 了 ， 漏 洞 分 析 的 可 能 不 是 特 别 到 位 ， 师 傅 们 轻 喷 ， 只 是 想 知 道 p o c 的 参 数 是 怎 么 构 造 的 才 去 扒 拉 源 码 分 析 的 ， 跟 着 p o c 去 分 析 会 更 好 理 解 ， 也 就 有 了 这 篇 文 章 。 E N D 【 版 权 说 明 】 本 作 品 著 作 权 归 j o k e r 所 有 ， 授 权 补 天 漏 洞 响 应 平 台 独 家 享 有 信 息 网 络 传 播 权 ， 任 何 第 三 方 未 经 授 权 ， 不 得 转 载 。 j o k e r 努 力 审 计 J a v a 的 萌 新 阅 读 原 文 e x a m _ b a n n e r , e x a m _ c o l l e c t , e x a m _ p   表 名 i d , t i t l e , b a n n e r _ i m g , i s _ p u t , c o n t     # e x a m _ b a n n e r 表 中 的 列 名 ， 不 完 整 ， 长 度 限 制 ， 可 以 分 长 度 读 出
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理