搜索

[20352] 2020-08-06_记录一次“梅花三弄”的渗透之旅

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-06_记录一次“梅花三弄”的渗透之旅 记 录 一 次 “ 梅 花 三 弄 ” 的 渗 透 之 旅 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 6 以 下 文 章 来 源 于 S e c q u a n 圈 子 社 区   ， 作 者 A s a i k a 前 言 前 言 这 个 网 站 的 相 关 漏 洞 是 上 个 月 在 看 动 漫 时 无 意 间 发 现 的 ， 当 时 仅 仅 发 现 了 反 射 型 的 X s s 漏 洞 ， 在 后 期 再 渗 透 过 程 中 还 发 现 了 C S R F 和 I f r a m e 的 钓 鱼 框 架 漏 洞 ， 现 在 把 挖 洞 的 过 程 整 理 一 下 ， 写 成 文 章 投 稿 。 作 为 一 个 网 安 新 人 ， 内 容 上 有 不 妥 的 地 方 希 望 大 佬 们 能 够 指 出 。 写 这 篇 文 章 不 仅 是 为 了 锻 炼 自 己 的 表 达 能 力 ， 同 时 还 为 了 给 那 些 挖 到 X s s 漏 洞 的 新 人 们 一 些 启 发 ， 希 望 能 够 和 大 家 一 起 互 相 学 习 ， 共 同 进 步 ！ 文 章 中 提 到 的 网 址 均 以 h t t p : / / w w w . x x x x x . c o m /   为 主 站 点 。 梅 开 一 度 梅 开 一 度 疫 情 期 间 在 家 闲 着 无 聊 ， 正 好 有 几 部 漫 画 更 新 了 ， 所 以 打 算 去 某 动 漫 网 站 看 下 最 新 章 节 。 当 我 来 到 网 站 登 陆 界 面 的 时 候 ， 脑 袋 里 下 意 识 想 起 了 之 前 学 的 X s s 漏 洞 反 弹 c o o k i e 的 知 识 点 。 抱 着 测 试 的 心 态 ， 首 先 用 御 剑 做 了 个 后 台 扫 描 ， 结 果 如 下 图 ： 经 过 测 试 ， 所 有 有 关 的 / l o g i n 链 接 都 指 向 同 一 个 后 台 登 陆 点 ， 最 终 我 选 择 了 h t t p : / / w w w . x x x x x . c o m / l o g i n   作 为 登 陆 站 点 。 于 是 乎 ， 我 拿 出 了 祖 传 的 X s s 测 试 代 码 ： 在 用 户 框 中 输 入 上 面 的 测 试 代 码 ， 密 码 框 随 便 输 入 ， 测 试 下 输 入 框 内 是 否 对 左 右 < 、 s c r i p t 、 单 双 引 号 以 及 大 小 写 等 过 滤 的 情 况 ， 回 显 结 果 如 下 图 ： 查 看 源 代 码 发 现 写 入 得 代 码 有 高 亮 ， 并 且 需 要 构 造 “ > 来 完 成 闭 合 ， 于 是 重 新 构 造 了 测 试 代 码 ： 二 次 测 试 结 果 如 下 图 ： 输 入 的 测 试 代 码 再 次 高 亮 了 ， 说 明 有 戏 ， 于 是 回 到 正 常 登 陆 界 面 ， 查 看 用 户 名 框 对 应 的 标 签 是 t x t _ n a m e ， 最 终 构 造 了 简 单 的 X s s 测 试 链 接 。 S e c q u a n 圈 子 社 区 圈 子 社 区   . s e c q u a n . o r g 汇 聚 新 锐   共 同 进 步 < s c r i p t   S c r i p t   " ' A s a i k a > " > < s c r i p t   S c r i p t   " ' A s a i k a > h t t p : / / w w w . x x x x x x . c o m / l o g i n / ? t x t _ n a m e = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( / A s a i k a / ) % 3 C / s c r i p t % 3 E
成 功 回 显 弹 窗 ， 如 图 ： 没 想 到 就 这 么 一 发 入 魂 了 ， 这 个 网 站 在 X s s 上 完 全 没 有 做 任 何 防 护 ， 我 又 测 试 了 一 把 弹 c o o k i e 的 代 码 我 用 自 己 的 账 户 测 试 ， 链 接 反 弹 的 c o o k i e 和 正 常 登 陆 下 B u r p   S u i t e 抓 取 的 c o o k i e 是 相 同 的 ， 关 于 进 一 步 构 造 p h p 代 码 来 读 取 i p 和 c o o k i e 并 传 给 指 定 服 务 器 来 窃 取 用 户 c o o k i e 的 方 法 ， 见 参 考 链 接 。 梅 开 二 度 梅 开 二 度 在 挖 到 这 个 站 的 当 天 晚 上 ， 我 仔 细 看 了 B u r p   S u i t e 抓 的 数 据 包 ， 发 现 登 陆 界 面 并 没 有 做 T o k e n 验 证 ， 目 测 可 能 还 存 在 C S R F 漏 洞 ， 于 是 抱 着 试 一 试 的 心 态 ， 开 启 了 “ 梅 开 二 度 ” 之 旅 。 基 于 前 面 在 t x t _ n a m e 下 挖 掘 的 X s s 的 经 验 ， 依 旧 使 用 B u r p   S u i t e 对 其 进 行 抓 包 。 首 先 将 浏 览 器 中 ， 该 网 站 的 c o o k i e 缓 冲 进 行 删 除 ， 然 后 抓 包 ， 如 图 ： 利 用 B u r p   S u i t e 的 E n g a g e m e n t   t o o l s 下 的 G e n e r a t e   C S R F   P o C 功 能 键 生 成 一 个 测 试 的 P o C 代 码 ， 如 图 ： 测 试 代 码 如 下 ： h t t p : / / w w w . x x x x x x . c o m / l o g i n / ? t x t _ n a m e = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( / A s a i k a / ) % 3 C / s c r i p t % 3 E h t t p : / / w w w . x x x x x . c o m / l o g i n / ? t x t _ n a m e = % 2 2 % 3 E % 3 C s c r i p t % 3 E a l e r t ( d o c u m e n t . c o o k i e ) % 3 C / s c r i p t % 3 E < h t m l >     < ! - -   C S R F   P o C   -   g e n e r a t e d   b y   B u r p   S u i t e   P r o f e s s i o n a l   - - >     < b o d y >     < s c r i p t > h i s t o r y . p u s h S t a t e ( ' ' ,   ' ' ,   ' / ' ) < / s c r i p t >         < f o r m   a c t i o n = " h t t p : / / w w w . x x x x x . c o m / l o g i n / " >             < i n p u t   t y p e = " h i d d e n "   n a m e = " t x t _ n a m e "   v a l u e = " "   / >
接 下 来 通 过 生 成 的 P o C 代 码 来 构 造 测 试 链 接 ， 构 造 的 测 试 链 接 如 下 ： 在 网 站 地 址 栏 输 入 上 面 构 造 的 P o C 测 试 链 接 得 到 如 下 的 测 试 界 面 ， 用 户 名 框 下 面 多 了 S u b m i t   r e q u e s t 这 个 点 击 框 ， 并 且 在 源 码 中 其 被 编 译 和 高 亮 显 示 ， 如 下 图 ： 从 P o C 的 检 测 可 以 看 出 ， 其 存 在 C S R F 漏 洞 ， 当 然 除 了 这 种 测 试 方 法 ， 还 可 以 使 用 别 的 方 法 进 行 C S R F 漏 洞 验 证 测 试 ， 详 情 见 参 考 链 接 。 关 于 t x t _ n a m e 下 ， 爆 出 X s s 和 C S R F 两 者 结 合 的 漏 洞 使 用 和 测 试 ， 我 在 此 处 就 不 过 多 描 述 ， 想 了 解 的 可 以 见 参 考 链 接 。 梅 花 三 弄 梅 花 三 弄 本 着 测 试 的 角 度 ， 第 二 天 上 午 ， 开 启 了 我 的 ” 梅 花 三 弄 “ 终 极 之 旅 。 于 是 我 写 了 一 个 简 单 的 钓 鱼 框 架 测 试 链 接 ， 看 其 是 否 存 在 i f r a m e 内 嵌 框 架 钓 鱼 漏 洞 ， 请 求 的 测 试 链 接 选 择 九 零 的 官 网 地 址 ： w t f ？ ， 拒 绝 连 接 请 求 ？ 我 就 是 单 单 想 测 试 一 下 而 已 … … 看 来 只 能 请 求 连 接 我 自 己 的 网 站 了 , 测 试 页 面 回 显 如 图 所 示 ： 很 明 显 ， 构 建 的 钓 鱼 框 架 测 试 成 功 ， 的 确 存 在 i f r a m e 嵌 入 框 架 钓 鱼 漏 洞 。 总 结 总 结 在 挖 洞 的 过 程 中 ， 我 们 基 本 遇 见 最 多 的 就 是 X s s 漏 洞 ， 首 先 因 为 其 测 试 的 P o C 的 确 比 较 容 易 构 造 ， 加 上 其 在 w e b 开 发 时 难 以 避 免 的 原 因 ， 于 是 乎 在 自 动 化 软 件 的 扫 描 下 ， 一 般 的 新 手 也 能 从 中 体 会 到 挖 洞 的 乐 趣 。 而 真 正 的 网 安 之 路 并 非 如 此 容 易 ， 就 拿 这 次 挖 洞 之 旅 而 言 ， 一 般 在 我 们 挖 到 X s s 后 ， 大 部 分 的 人 在 这 个 标 签 的 测 试 基 本 就 结 束 了 ， 其 实 如 果 简 单 的 抓 个 包 ， 好 好 看 下 R e q u e s t 头 部 请 求 ， 说 不 定 还 会 有 新 的 收 获 ， 或 者 用 一 下 其 他 的 漏 洞 P o C 代 码 测 试 下 ， 更 有 可 能 达 到 到 ” 梅 花 三 弄 “ ， 或 者 挖 到 更 多 漏 洞 的 效 果 。 挖 洞 只 有 在 不 断 地 尝 试 后 ， 才 会 有 意 想 不 到 的 进 步 。             < i n p u t   t y p e = " h i d d e n "   n a m e = " t x t _ n a m e "   v a l u e = " "   / >             < i n p u t   t y p e = " s u b m i t "   v a l u e = " S u b m i t   r e q u e s t "   / >         < / f o r m >     < / b o d y > < / h t m l > h t t p : / / w w w . x x x x x . c o m / l o g i n / ? t x t _ n a m e = % 2 2 % 3 E % 3 C I M G + S R C % 3 D % 2 2 % 3 C h t m l % 3 E % 2 0 % 3 C ! - - % 2 0 C S R F % 2 0 P o C % 2 0 - % 2 0 g e n e r a t e d % 2 0 b y % 2 0 B u r p % 2 0 S u i t e % 2 0 P r o f e s s i o n a l % 2 0 - - % 3 E % 2 0 % 3 C b o d y % 3 E % 2 0 % 3 C s c r i p t % 3 E h i s t o r y . p u s h S t a t e ( % 2 7 % 2 7 , % 2 0 % 2 7 % 2 7 , % 2 0 % 2 7 / % 2 7 ) % 3 C / s c r i p t % 3 E % 2 0 % 3 C f o r m % 2 0 a c t i o n = % 2 2 h t t p : / / w w w . d m 5 . c o m / l o g i n / % 2 2 % 3 E % 2 0 % 3 C i n p u t % 2 0 t y p e = % 2 2 s u b m i t % 2 2 % 2 0 v a l u e = % 2 2 S u b m i t % 2 0 r e q u e s t % 2 2 % 2 0 / % 3 E % 2 0 % 3 C / f o r m % 3 E % 2 0 % 3 C / b o d y % 3 E % 2 0 % 3 C / h t m l % 3 E % 2 2 % 3 E h t t p : / / w w w . x x x x x . c o m / l o g i n / ? t x t _ n a m e = % 2 2 % 3 E % 3 C i f r a m e + i d % 3 D 1 7 7 0 + s r c % 3 D h t t p s : / / f o r u m . 9 0 s e c . c o m / % 3 E h t t p : / / w w w . x x x x x . c o m / l o g i n / ? t x t _ n a m e = % 2 2 % 3 E % 3 C i f r a m e + i d % 3 D 1 7 7 0 + s r c % 3 D h t t p s : / / w w w . a s a i k a . c o m / % 3 E
由 于 此 次 挖 洞 仅 限 于 测 试 ， 进 一 步 的 利 用 和 提 权 也 没 拿 到 别 人 的 测 试 权 限 ， 我 只 是 用 P o C 做 了 相 关 漏 洞 存 在 的 测 试 。 只 要 一 些 漏 洞 存 在 ， 查 找 并 运 用 相 关 的 方 法 ， 基 本 都 能 够 比 较 完 美 地 复 现 。 网 上 关 于 此 类 技 术 文 章 可 谓 看 得 眼 花 缭 乱 ， 我 就 不 在 此 班 门 弄 斧 了 ， 各 位 大 佬 们 海 涵 ！ ！ ！ 参 考 链 接 参 考 链 接 写 在 结 尾 写 在 结 尾 文 章 来 自 社 区 会 员 A s a i k a 的 精 品 文 章 ， 特 此 感 谢 A s a i k a 的 分 享 输 出 。 如 有 意 向 投 稿 的 小 伙 伴 可 在 公 众 号 留 言 ， 如 文 章 被 收 录 发 表 ， 可 附 赠 社 区 邀 请 码 哦 。 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ! 社 区 回 复   今 日 日 报 ， 获 取 最 新 线 报 哦 ！ 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们 引 领 实 战 潮 流 ， 回 归 技 术 本 质 汇 聚 行 业 新 锐 力 量   推 动 网 络 安 全 进 步 这 是 一 个 实 战 派 白 帽 子 的 聚 集 地 1 ： X S S 获 取 C o o k i e 过 程 简 单 演 示 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 3 6 6 0 9 9 1 3 / a r t i c l e / d e t a i l s / 7 9 0 6 6 3 2 0 2 ： b u r p s u i t e 之 C S R F 测 试 ： h t t p s : / / b l o g . c s d n . n e t / a n d y f e n g 0 8 8 / a r t i c l e / d e t a i l s / 8 0 1 9 5 1 0 5 3 ： 鸡 肋 C S R F 和 S e l f - X S S 组 合 的 变 废 为 宝 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 6 4 0 6 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理