搜索

[20489] 2021-01-22_Packer-Fuzzer漏扫工具RCE0day（当前已被官方修复）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-22_Packer-Fuzzer漏扫工具RCE0day（当前已被官方修复） P a c k e r - F u z z e r 漏 扫 工 具 R C E   0 d a y （ 当 前 已 被 官 方 修 复 ） d r i v e r t o m t t   K h a n 安 全 攻 防 实 验 室   2 0 2 1 - 0 1 - 2 2 P a c k e r - F u z z e r 一 款 针 对 一 款 针 对 W e b p a c k 等 前 端 打 包 工 具 所 构 造 的 网 站 进 行 快 速 、 高 效 安 全 检 测 的 扫 描 等 前 端 打 包 工 具 所 构 造 的 网 站 进 行 快 速 、 高 效 安 全 检 测 的 扫 描 工 具 工 具
0 x 0 1 定 位 定 位 j s 执 行 点 执 行 点                 简 单 搜 索 e x e c j s 就 可 以 找 到 执 行 点 ， 位 置 在 R e c o v e r s p l i t . p y 的 5 7 行 0 x 0 2   防 护 绕 过 防 护 绕 过                                 作 者 在 写 这 个 代 码 的 时 候 也 意 识 到 了 被 反 打 的 可 能 性 （ “ 防 止 黑 吃 黑 被 命 令 执 行 ” ） ， 所 以 当 j s 出 现 了 e x e c 和 s p a w n 的 时 候 就 不 会 执 行 ， 但 是 这 样 的 简 单 的 防 护 几 乎 是 没 有 用 的 。 且 不 说 n o d e j s 沙 箱 逃 逸 已 经 被 师 傅 们 玩 出 花 来 了 ， 单 是 这 里 e v a l 没 有 过 滤 掉 就 可 以 通 过 字 符 串 拼 接 或 者 u r l 编 码 的 方 式 绕 过 这 个 限 制 比 如 说 这 里 就 用 了 u r l 编 码 了 能 弹 出 计 算 器 的 p a y l o a d ， 解 码 并 e v a l 之 后 就 能 弹 出 计 算 器
0 x 0 3   调 用 分 析 调 用 分 析                 那 么 这 个 执 行 点 是 怎 么 被 调 用 到 的 呢 看 了 下 代 码 ， 发 现 执 行 点 在 R e c o v e r S p l i t 类 的 j s C o d e C o m p i l e 里 ， 这 个 函 数 被 同 一 个 类 的 c h e c k C o d e S p i l t i n g 调 用 ， 而 c h e c k C o d e S p i l t i n g 又 被 这 个 类 的 r e c o v e r S t a r t 调 用 ， r e c o v e r S t a r t 被 P r o j e c t 类 的 p a r s e S t a r t 调 用 ， 而 p a r s e S t a r t , 而 再 往 前 追 溯 就 是 命 令 参 数 处 理 之 类 乱 七 八 糟 的 地 方 了 知 道 了 这 些 东 西 之 后 ， 我 们 就 可 以 根 据 它 的 调 用 一 步 一 步 走 ， 一 点 一 点 写 出 R C E 的 P O C 了 0 x 0 4   如 何 进 入 如 何 进 入 r e c o v e r S t a r t 函 数 ？ 让 程 序 相 信 这 个 网 站 使 用 了 函 数 ？ 让 程 序 相 信 这 个 网 站 使 用 了 w e b p a c k 我 们 看 到 这 个 p a r s e S t a r t 长 这 样 发 现 如 果 想 要 让 程 序 调 用 r e c o v e r S t a r t ， 就 需 要 让 前 面 的 c h e c k S t a r t 返 回 1 或 者 7 7 7 ， 这 里 的 c h e c k S t a r t 的 意 思 是 检 查 网 站 是 否 真 的 用 了 w e b p a c k 技 术 ， 如 果 真 的 用 了 才 继 续 扫 描 下 去 c h e c k S t a r t 调 用 了 c h e c k H T M L ， 如 果 能 让 c h e c k H T M L 返 回 1 就 可 以 让 c h e c k S t a r t 返 回 1
跟 过 去 看 一 下 发 现 如 果 返 回 的 h t m l 包 含 了 f i n g e r p r i n t _ h t m l 的 某 一 项 就 返 回 1 在 f i n g e r p r i n t _ h t m l 中 看 到 了 这 些 片 段 ， 可 以 知 道 ， 只 需 要 在 h t m l 里 面 包 含 其 中 的 任 意 一 个 片 段 就 可 以 让 扫 描 器 相 信 网 站 使 用 了 w e b p a c k 技 术 因 此 在 P O C 的 h t m l 中 ， 我 加 入 了 < n o s c r i p t > n a i v e ! < / n o s c r i p t > 来 骗 过 扫 描 器 0 x 0 4   如 何 进 入 如 何 进 入 c h e c k C o d e S p i l t i n g 函 数 ？ 函 数 ？ r e c o v e r S t a r t 用 于 处 理 j s （ 而 不 是 h t m l 了 ）                 这 里 并 没 有 加 入 什 么 恼 人 的 判 断 ， 那 个 i f 也 只 是 判 断 文 件 后 缀 名 不 为 d b 。 推 测 扫 描 器 是 先 把 j s 下 到 本 地 然 后 再 读 取 的 ， 因 此 在 构 造 P O C 的 时 候 ， 通 过 s c r i p t   s r c 引 入 一 个 j s ， 就 可 以 让 它 进 入 到 这 个 函 数
0 x 0 4   如 何 进 入 如 何 进 入 j s C o d e C o m p i l e 函 数 并 把 我 们 想 要 的 东 西 传 入 ？ 函 数 并 把 我 们 想 要 的 东 西 传 入 ？         c h e c k C o d e S p i l t i n g 会 读 取 文 件 ， 判 断 是 否 包 含 了 d o c u m e n t . c r e a t e E l e m e n t ( " s c r i p t " ) ; 这 个 字 符 串 （ 以 检 查 是 否 有 异 步 加 载 的 j s 代 码 ） ， 如 果 是 的 话 再 做 一 个 正 则 匹 配 ， 然 后 把 值 加 一 个 前 缀 一 个 后 缀 之 后 传 入 j s C o d e C o m p i l e 函 数 想 要 成 功 调 用 j s C o d e C o m p i l e 函 数 ， 在 j s 中 就 得 加 入 d o c u m e n t . c r e a t e E l e m e n t ( " s c r i p t " ) ; ， 而 想 要 传 我 们 想 传 的 参 数 进 去 就 得 研 究 这 个 正 则 了 。                 我 比 较 菜 ， 对 正 则 一 直 心 怀 恐 惧 ， 但 是 好 在 这 个 正 则 也 不 难 懂 ， 首 先 匹 配 一 个 字 母 或 者 数 字 或 者 下 划 线 （ w ） ， 在 匹 配 一 个 点 和 一 个 字 母 p 以 及 加 号 （ . p + ） ， 接 着 就 是 匹 配 到 的 内 容 ， 正 则 会 不 断 匹 配 知 道 遇 到 一 个 . 和 一 个 字 母 j 以 及 字 母 s （ . j s ） 因 此 实 际 上 就 是   这 个 正 则 就 是 匹 配 如 下 内 容 【 随 便 一 个 字 母 数 字 下 划 线 】 p 【 我 们 想 让 他 匹 配 的 内 容 】 . j s 匹 配 完 了 之 后 ， 前 面 加 个 " ， 后 面 加 个 . j s ， 变 成 j s C o d e 传 入 j s C o d e C o m p i l e 0 x 0 4   如 何 在 如 何 在 j s C o d e C o m p i l e 函 数 中 实 现 函 数 中 实 现 R C E ？ ？                         这 个 函 数 是 最 后 也 是 最 重 要 的 函 数 ， 它 相 对 复 杂 ， 因 此 需 要 分 几 个 步 骤 分 析 首 先 看 到 这 个 j s 执 行 的 地 方 ， 它 进 行 了 “ 防 止 黑 吃 黑 命 令 执 行 ” 的 检 查 之 后 ， 首 先 会 去 编 译 这 个 j s ， 接 着 从 n a m e L i s t 里 面 取 东 西 然 后 传 入 到 j s 中 的 j s _ c o m p i l e 函 数 里 。 因 此 我 们 要 做 的 就 是 两 件 事 情 ， 一 个 是 让 j s C o d e F u n c 里 面 变 成 我 们 的 R C E 代 码 ， 第 二 个 是 让 n a m e L i s t 里 面 有 东 西 可 以 传 进 去
首 先 我 们 来 出 了 让 j s C o d e F u n c 有 R C E 代 码 的 问 题 j s C o d e F u n c 的 生 成 过 程 如 下                 首 先 从 j s C o d e 中 正 则 匹 配 出 被 [ ] 包 裹 着 的 第 一 个 内 容 ， 作 为 j s _ c o m p i l e 函 数 的 参 数 ， 然 后 j s C o d e 本 身 再 被 插 入 进 去 赋 值 给 作 为 j s _ u r l ， 看 起 来 工 具 的 作 者 是 希 望 能 够 动 态 解 析 j s 以 获 取 u r l 地 址 因 此 为 了 让 里 面 能 够 接 收 一 个 参 数 ， 需 要 直 接 在 j s C o d e 里 面 加 入 一 个 [ s ] ， 匹 配 到 之 后 就 会 让 v a r i a b l e 为 字 母 s ， 这 样 前 面 的 部 分 就 是 j s _ c o m p i l e ( s ) ， 解 决 了 前 面 传 入 参 数 的 问 题                 接 着 就 要 处 理 如 何 加 入 了 j s C o d e 之 后 能 执 行 恶 意 代 码 的 问 题 了 。 刚 才 的 分 析 结 果 表 明 传 入 的 内 容 前 面 被 加 了 个 " 后 面 被 加 了 个 . j s ， 而 且 我 们 还 要 在 传 入 内 容 加 一 个 [ s ] ， 并 且 加 完 了 这 一 堆 东 西 之 后 还 不 能 有 问 题 。                 虽 然 看 起 来 条 件 苛 刻 ， 实 际 上 处 理 起 来 也 不 复 杂 ， 针 对 前 面 的 " ， 我 们 再 加 一 个 " 然 后 来 个 ; 来 结 束 语 句 即 可 。 接 着 加 入 R C E 语 句 ， 最 后 为 了 对 付 后 面 的 . j s 和 [ s ] ， 直 接 用 / / 注 释 掉                 由 于 后 面 拼 接 的 r e t u r n   j s _ u r l } 前 面 有 个 n ， 因 此 注 释 对 其 不 起 作 用 ， 因 此 我 们 不 需 要 自 己 r e t u r n 一 个 值 然 后 用 大 括 号 闭 合 接 着 我 们 来 处 理 如 何 让 n a m e L i s t 有 值 的 问 题                 发 现 n a m e L i s t 就 是 匹 配 了 两 个 正 则 表 达 式 之 后 加 进 来 的 ， 因 此 随 便 加 一 个 能 让 某 个 表 达 式 匹 配 到 内 容 的 字 符 串 就 可 以 了 ， 这 里 我 加 的 是 { 1 1 4 5 1 4 : ， 会 让 第 一 个 正 则 表 达 式 匹 配 到 1 1 4 5 1 4 ， 并 且 加 入 到 n a m e L i s t 中 我 们 把 { 1 1 4 5 1 4 : 加 入 到 刚 才 写 的 语 句 的 注 释 中 就 可 以 了
以 上 就 是 p a y l o a d 的 完 整 生 成 过 程 0 x 0 5   R C E 展 示 & P O C 地 址 ： h t t p s : / / g i t h u b . c o m / T o m A P U / p o c _ a n d _ e x p / t r e e / m a s t e r / P a c k e r - F u z z e r - R C E 文 献 ： h t t p s : / / d r i v e r t o m . b l o g s p o t . c o m / 2 0 2 1 / 0 1 / p a c k e r - f u z z e r r c e - 0 d a y . h t m l ? m = 1
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理