搜索

[2062] 2021-03-04_Java代码审计复现-铁人下载系统v1.0

文档创建者：s7ckTeam
浏览次数：49
最后更新：2025-01-16
2021-03-04_Java代码审计复现-铁人下载系统v1.0 J a v a 代 码 审 计 复 现 - 铁 人 下 载 系 统   v 1 . 0 原 创   d o n 9   d o n 9 s e c   2 0 2 1 - 0 3 - 0 4 收 录 于 话 题   # 代 码 审 计   , 8 个 环 境 搭 建 环 境 搭 建 导 入 数 据 库 c r e a t e   d a t a b a s e   l i u x i n g ; u s e   l i u x i n g ; s o u r c e     l i u x i n g . s q l ; 设 置 字 符 集 为 G B K s h o w   t a b l e s ;    
访 问 安 装 文 件 路 径 h t t p : / / 1 2 7 . 0 . 0 . 1 / i n s t a l l / i n d e x . h t m l 填 好 相 关 参 数 即 可 。 后 台 管 理 地 址 h t t p : / / 1 2 7 . 0 . 0 . 1 / a d m i n / i n d e x . j s p 默 认 管 理 员 账 号 密 码 a d m i n / a d m i n
漏 洞 分 析 漏 洞 分 析 安 装 漏 洞 安 装 漏 洞   ？ ？ 打 开 文 件 夹 ， 发 现 安 装 成 功 后 ，   没 有 删 除 安 装 页 面   ， 很 有 可 能 存 在 重 安 装 漏 洞 。 安 装 路 径 为 h t t p : / / 1 2 7 . 0 . 0 . 1 / i n s t a l l / i n d e x . h t m l 跟 一 下 / i n s t a l l / i n d e x . h t m l 再 继 续 跟 进 i n s t a l l . j s p 继 续 跟 进 i n s t a l l _ s e t u p . j s p
通 过 i m p o r t 导 入 了 要 使 用 的 类   l i u x i n g . u t i l . I n s t a l l ， 继 续 跟 进   安 装 完 成 后 会 通 过 u p d a t e C o n f i g 函 数 将   d b _ a n   设 置 为 n o , 通 过 i n s t a l l _ s e t u p . j s p 进 行 安 装 时 ， 对 d b _ a n 进 行 了 判 断 ， 所 以 即 使 i n s t a l l 页 面 没 有 删 除   ， 但 是 已 经 不 能 进 行 重 复 安 装 了 。 S Q L 注 入 注 入   ？ ？ 从 前 台 开 始 ， 看 见 搜 索 框 ， 点 击 “ 搜 索 ” ， 跳 转 到 s o . j s p 跟 进 一 下 s o . j s p
发 现 存 在 p r e p a r e S t a t e m e n t ,   注 入 是 基 本 凉 凉 。 这 里 采 用 了 预 编 译 ， 允 许 数 据 库 已 参 数 化 的 形 式 进 行 查 询 ， 当 运 行 时 动 态 地 把 参 数 传 给 P r e p r a r e S t a t e m e n t 时 ， 即 使 参 数 里 有 敏 感 字 符 如   o r   ' 1 = 1 ' ， 数 据 库 也 只 是 会 作 为 一 个 参 数 一 个 字 段 的 属 性 值 来 处 理 ， 而 不 会 作 为 指 令 ， 所 以 ， S Q L 注 入 基 本 无 戏 ！ 看 看 其 他 有 s q l 查 詢 的 的 地 方 ： 结 果 都 是 像 这 样 的
像 这 样 的 有 很 多 ' ? ' ,   这 其 实 是 占 位 符 ，   预 编 译 机 制 的 需 要 。 存 储 型 存 储 型 X S S 先 注 册 一 个 账 号 ， 看 看 修 改 资 料 的 功 能 点 尝 试 闭 合 一 下 前 面 的 > 的 ， 查 看 源 码 发 现 p a y l o a d 没 有 被 转 义 " " > < s c r i p t > a l e r t ( d o n 9 s e c ) < / s c r i p t > 然 后 再 次 点 开 修 改 资 料 ， 成 功 弹 窗
存 储 型 x s s 一 枚 。 看 一 下 漏 洞 原 理 ， 根 据 关 键 字 ' y o u x i a n g ' ， 跟 一 下 传 参 过 程 跟 进 U s e r g u a n l i . g e t I n s t a n c e ( ) . X i u g a i y o n g h u 2 （ ） 继 续 跟 u s e r D a o . X i u g a i y o n g h u 2 ， 进 到 U s e r D a o M y s q l 文 件 ， 可 以 看 到 数 据 库 与 资 料 修 改 功 能 点 的 交 互 可 以 看 见 ， y o u x i a n g 这 个 参 数 没 有 经 过 任 何 过 滤 机 制 或 判 断 机 制 ， 直 接 就 拼 接 到 s q l 语 句 中 ， 存 到 数 据 库 。
S Q L 注 入 注 入 登 录 后 台 ， 开 启 代 理 后 对 管 理 员 的 功 能 都 测 试 一 遍 ， 顺 便 抓 包 分 析 ， 再 用 户 管 理 功 能 点 存 在 一 处 时 间 盲 注 。 抓 包 s q l m a p 跑 一 下 存 在 时 间 盲 注 ， 跟 一 下 源 码   d e l e t e . j s p 往 上 回 溯   函 数 s h a n c h u y o n g h u
  d e l e t e 语 句 中 没 做 任 何 过 滤 ， 直 接 拼 接 参 数 文 件 上 传 文 件 上 传 在 “ 其 他 管 理 ”   - >   “ 添 加 友 情 链 接 ” 处 发 现 一 处 文 件 上 传 的 接 口 对 应 的 文 件 为 s h a n g c h u a n w e n 3 . j s p ,   主 要 看 这 两 段 代 码 ： 开 发 者 意 图 黑 名 单 机 制 :   如 果 后 缀 为 e x e , a s p 等 后 缀 ， 则 会 跳 进 w r o n g   t y p e d e l e t e   f r o m   u s e r   w h e r e   i d   i n ( ' 3 ' )   o r   i f ( a s c i i ( s u b s t r ( u s e r ( ) , 1 , 1 ) )   <   7 2 , 0 , s l e e p ( 1 ) ) ; d e l e t e   f r o m   u s e r   w h e r e   i d   i n ( ' 3 ' )   o r   i f ( a s c i i ( s u b s t r ( u s e r ( ) , 1 , 1 ) )   <   7 2 , 0 , s l e e p ( 5 ) ) ; d e l e t e   f r o m   u s e r   w h e r e   i d   i n ( ' 3 ' )   o r   i f ( a s c i i ( s u b s t r ( u s e r ( ) , 1 , 1 ) )   <   7 2 , 0 , s l e e p ( 1 0 ) ) ;
正 则 匹 配   : S t r i n g   r e g E x p   =   " . + ( . + ) $ " ; 四 个 转 义 字 符 ， 即 1 为 2 转 义 ， 3 为 4 转 义 ， 最 后 为 ;     也 就 是 说 文 件 名 必 须 是 带 路 径 的 形 式 ， 如 x x x x 。 这 一 段 代 码 表 示 文 件 名 的 生 成 ， 时 间 戳 + . g i f ,   估 计 没 戏 了 此 条 路 径 先 放 着 ， 看 看 s h a n g c h u a n w e n . j s p 和 s h a n g c h u a n w e n 2 . j s p ， 本 以 为 代 码 会 差 不 太 多 ， 但 是 在 s h a n g c h u a n w e n 2 . j s p 文 件 后 缀 竟 然 可 控 这 里 文 件 名 为 p a t h n a m e = d a t e + m e n m . g r o u p ( 1 ) 的 结 果 根 据 正 则 表 达 式 来 的 ， 比 如 我 们 输 入 的 f i l e n a m e = " t e s t . j s p " , 那 么 g r o u p ( 1 ) 则 为 . j s p 而 d a t e 为 时 间 戳 ， 也 是 可 控 的 ， 所 以 这 里 完 全 可 以 构 造 想 要 上 传 的 文 件 ； w e n / ， 上 传 的 文 件 所 在 路 径 上 传 t e s t . j s p ,   打 印 字 符 串 “ d o n 9 s e c ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理