搜索

[18545] 2021-04-12_记一次代码审计的APP渗透

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-12_记一次代码审计的APP渗透 记 一 次 代 码 审 计 的 A P P 渗 透 原 创   R a i l g u n   H A C K 学 习 呀   2 0 2 1 - 0 4 - 1 2 好 久 没 更 新 了 ， 刚 好 遇 到 ， 就 记 录 一 下 吧 好 久 没 更 新 了 ， 刚 好 遇 到 ， 就 记 录 一 下 吧 注 注 : 本 文 的 测 试 经 过 授 权 本 文 的 测 试 经 过 授 权 0 x 0 1   信 息 收 集 信 息 收 集 第 一 步 肯 定 先 抓 包 找 到 域 名 ， 访 问 一 下 。
上 面 这 个 图 是 我 本 地 的 ， 远 程 的 访 问 比 较 慢 就 不 截 图 了 。 没 有 做 U A 头 检 测 等 ， 它 本 身 就 是 移 动 端 和 P C 端 都 可 以 访 问 的 一 种 c m s 。 看 到 开 放 的 端 口 ， 2 1 尝 试 爆 破 和 匿 名 登 陆 都 没 有 成 功 。 而 8 8 8 8 以 为 是 s u n - a n s w e r b o o k ， 其 实 是 B T 。 因 为 服 务 器 性 能 的 原 因 以 及 还 有 其 他 人 同 时 在 看 ， 因 此 没 有 进 行 大 规 模 的 扫 描 探 测 。 后 面 小 线 程 扫 描 发 现 了 源 代 码 ， 后 面 再 说 。 0 x 0 2   黑 盒 测 试 黑 盒 测 试
上 传 点 ， 经 过 测 试 白 名 单 验 证 ， 没 办 法 利 用 。 总 计 有 六 七 个 上 传 点 吧 ， 有 的 是 直 接 不 作 为 文 件 上 传 ， 反 正 都 没 什 么 进 展 。 有 个 视 频 导 入 功 能 ， 测 试 了 一 下 ， 也 没 什 么 用 。 2 1 爆 破 不 成 ， 3 3 8 9 爆 破 也 不 成 ， 所 以 下 面 直 接 来 审 代 码 看 能 不 能 有 突 破 。 0 x 0 3   白 盒 审 计 白 盒 审 计 0 x 3 . 1   本 地 环 境 搭 建 e m m m ， 是 真 的 麻 烦 ， 我 第 一 次 碰 到 这 么 难 搭 的 c m s 。 是 个 收 费 的 c m s ， 源 码 来 看 应 该 是 破 解 版 ， 需 要 输 入 购 买 码 等 ， 安 装 完 以 后 需 要 配 置 n g i n x 伪 静 态 规 则 。 那 具 体 的 路 由 和 伪 静 态 规 则 我 这 里 就 不 多 说 了 ， 看 看 代 码 加 上 熟 悉 一 下 网 站 基 本 就 能 心 里 有 数 。 0 x 3 . 2   越 权 访 问 后 台 / a d m i n - p a n e l / a u t o l o a d . p h p
后 台 是 通 过 a u t o l o a d . p h p 来 进 行 模 块 加 载 ， 呈 现 给 用 户 ， 但 是 这 里 只 是 可 以 看 ， 具 体 的 后 端 操 作 还 是 在 另 外 的 p h p 中 。 可 以 看 到 这 里 并 没 有 进 行 身 份 验 证 ， 因 此 存 在 越 权 。 会 存 在 上 图 这 种 情 况 ， 发 现 并 没 有 引 进 常 用 函 数 文 件 ， 估 计 是 通 过 其 他 文 件 来 引 用 。 后 面 看 到 / a j a x . p h p ( a j a x 目 录 存 放 的 就 是 后 台 的 后 端 p h p ) 因 此 p a y l o a d 如 下 : 可 以 通 过 它 ， 它 确 实 引 入 了 函 数 文 件 ， 但 是 需 要 绕 过 : h t t p : / / w w w . m y . c o m / a j a x . p h p ? t y p e = . . / a d m i n - p a n e l / a u t o l o a d & p a g e = m a n a g e - u s e r s
简 单 来 说 就 是 不 能 让 $ i s _ e r r o r 为 1 ， 那 么 就 要 G E T 传 入 h a s h 并 且 通 过 C h e c k M a i n S e s s i o n 的 检 查 并 返 回 t r u e ( 上 面 的 p r i n t _ r ( ) 是 我 调 试 自 己 加 上 的 ) S e c u r e ( ) 就 是 用 来 过 滤 的 ， 做 字 符 串 安 全 性 检 查 。 跟 进 C h e c k M a i n S e s s i o n ( ) 发 现 ， 要 想 返 回 t r u e 就 需 要 我 们 传 入 的 $ h a s h _ i d 和 $ _ S E S S I O N [ ‘ m a i n _ h a s h _ i d ’ ] 是 一 样 的 。 所 以 看 想 办 法 能 不 能 绕 过 。 跟 进 / a s s e t s / i n c l u d e s / f u n c t i o n _ g e r n e l . p h p 这 个 m a i n _ h a s h _ i d 生 成 规 则 比 较 简 单 ， 1 1 1 1 - 9 9 9 9 随 机 数 的 s h a 1 哈 希 值 ， 一 开 始 想 用 p y 写 个 爆 破 的 ， 但 是 发 现 P y t h o n 请 求 的 m a i n _ h a s h _ i d 和 浏 览 器 不 一 样 ， 那 直 接 b u r p s u i t e 跑 一 下 就 行 了 。
r e s p o n s e 打 印 了 这 个 h a s h 是 因 为 我 本 地 环 境 ， 调 试 时 留 下 的 。 后 面 发 现 不 用 爆 破 也 可 以 ， 网 站 会 隔 段 时 间 就 请 求 n o t i f i c a t i o n s ， 会 有 h a s h : 那 我 们 最 终 p a y l o a d 就 是 : h t t p : / / w w w . m y . c o m / a j a x . p h p ? h a s h = 9 0 d 6 f f 0 d 9 3 5 b 8 3 1 6 9 1 5 5 f 1 3 6 5 1 0 5 2 2 4 7 d a 5 8 e 4 1 6 & t y p e = . . / a d m i n - p a n e l / a u t o l o a d & p a g e = m a n a g e - u s e r s
但 是 只 能 看 到 当 前 设 置 ， 因 为 后 端 p h p 其 实 都 是 做 了 身 份 验 证 的 。 首 先 上 图 可 以 看 到 所 有 用 户 名 的 密 码 ， 其 次 有 f t p 设 置 ， 访 问 s 3 模 板 可 以 看 到 ( 如 果 管 理 员 在 网 站 配 置 了 f t p ) 。 0 x 3 . 3   安 装 未 验 证 重 装 / i n s t a l l / i n d e x . p h p
并 没 有 验 证 是 否 安 装 。 并 且 就 算 是 我 们 传 入 的 s q l 相 关 信 息 连 接 不 上 数 据 库 ， 仍 然 会 更 新 c o n f i g . p h p ， 因 此 这 里 有 两 种 利 用 思 路 。 第 一 种 ， 本 地 服 务 器 m y s q l 开 启 外 连 ， 重 新 安 装 c m s 获 得 后 台 账 号 密 码 。 第 二 种 ， 就 算 不 开 启 本 地 也 可 以 随 便 填 s q l ， 然 后 闭 合 字 符 串 g e t s h e l l 。 大 概 看 了 一 下 ， u r l 参 数 有 过 滤 器 检 测 是 否 是 u r l ， 但 是 p u r c h a r s e _ c o d e 因 为 是 破 解 版 可 以 随 便 填 。 本 地 效 果 : 本 地 能 成 ， 那 去 目 标 试 一 下 ， 访 问 / i n s t a l l 确 实 可 以 ， 但 是 点 击 n e x t 没 有 反 应 ， 因 此 效 仿 本 地 访 问 : h t t p : / / w w w . m y . c o m / i n s t a l l / ? p a g e = i n s t a l l a t i o n
闭 合 字 符 串 不 用 我 多 说 了 吧 ， 直 接 g e t s h e l l 。 0 x 3 . 3   绕 过 补 丁 再 次 R C E 服 务 器 做 了 修 补 ， 判 断 了 $ S e r v e r E r r o r s [ ] 不 为 空 则 不 会 写 入 。 那 我 们 需 要 满 足 一 下 条 件 : 连 接 上 数 据 库 ， u r l 符 合 、 规 则 ( c h e c k _ ( ) 是 总 返 回 s u c c e s s 的 ) 。 要 么 拿 到 远 程 的 数 据 库 账 号 密 码 要 么 本 地 开 外 链 。
如 上 可 g e t s h e l l 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理