搜索

[2137] 2020-09-01_简单远程执行代码漏洞示例

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2020-09-01_简单远程执行代码漏洞示例 简 单 远 程 执 行 代 码 漏 洞 示 例 O z g u r   A l p   E D I 安 全   2 0 2 0 - 0 9 - 0 1 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 1 不 受 限 制 的 文 件 上 传 1 在 我 正 在 寻 找 的 主 机 系 统 上 ， 我 在 l o g i n 目 录 的 /   s u p p o r t   / 目 录 下 找 到 了 一 个 登 录 页 面 。 在 该 登 录 页 面 上 加 载 的 j a v a s c r i p t 文 件 的 帮 助 下 ， 我 列 举 了 一 些 登 录 后 终 结 点 ， 并 且 在 直 接 访 问 该 终 结 点 的 范 围 内 ， 我 发 现 某 些 管 理 员 页 面 无 需 登 录 即 可 访 问 。 其 中 之 一 包 括 上 载 文 件 页 面 ， 该 页 面 也 允 许 a s p 文 件 扩 展 名 。 在 上 传 之 后 ， 我 试 图 从 f u z z 和 J a v a S c r i p t 文 件 中 枚 举 文 件 的 上 传 目 录 ， 但 这 是 不 可 能 的 。 之 后 ， 我 尝 试 将 文 件 上 载 到 尝 试 遍 历 文 件 名 的 漏 洞 中 的 上 层 目 录 ， 并 且 它 起 作 用 了 。 0 1 使 用 使 用 . . / 攻 击 上 传 攻 击 上 传 w e b s h e l l 文 件 文 件 我 使 用 B u r p   S u i t e 的 “   F u z z i n g - P a t h   T r a v e r s a l ” 字 典 进 行 了 轻 松 ， 自 动 的 攻 击 ， 以 发 现 漏 洞 。 但 是 请 注 意 ， 尽 管 它 在 文 件 收 集 方 面 没 有 任 何 问 题 ， 但 在 文 件 创 建 / 更 新 / 删 除 功 能 上 可 能 会 出 现 问 题 ， 因 为 所 有 p a y l o a d s 都 会 在 服 务 器 上 创 建 一 个 新 文 件 。 0 2 B u r p   p a y l o a d 中 的 路 径 遍 历 中 的 路 径 遍 历 f u z z 列 表 列 表
0 3 从 从 p a y l o a d 处 理 处 理 - > 匹 配 匹 配 / 替 换 规 则 配 置 文 件 名 替 换 规 则 配 置 文 件 名 0 3 从 根 目 录 访 问 从 根 目 录 访 问 S h e l l
2 不 受 限 制 的 文 件 上 传 2 在 我 正 在 测 试 的 W e b 系 统 上 ， 我 在 G o o g l e   D o r k s 的 帮 助 下 ( 例 如 搜 索 s i t e : d o m a i n . c o m   e x t : a s p x ) 找 到 了 一 个 根 本 不 在 W e b 应 用 程 序 站 点 地 图 或 U I 上 的 W e b 表 单 。 该 W e b 表 单 还 具 有 文 件 上 传 部 分 ， 该 部 分 允 许 上 传 a s p 扩 展 名 。 0 1 将 将 A S P   S h e l l 上 载 到 服 务 器 上 载 到 服 务 器 在 这 个 时 候 ， 查 找 上 传 目 录 是 一 件 麻 烦 的 事 情 。 无 论 我 做 什 么 ， 我 都 无 法 枚 举 上 传 目 录 ， 也 没 有 发 现 任 何 与 第 一 个 示 例 类 似 的 漏 洞 ， 例 如 目 录 遍 历 。
之 后 ， 我 回 到 了 正 在 填 写 的 W e b 表 单 。 这 是 我 不 记 得 的 事 情 的 申 请 表 。 我 填 写 了 巨 大 的 表 格 并 将 其 发 送 。   几 分 钟 后 ， 我 从 W e b 应 用 程 序 收 到 有 关 我 的 应 用 程 序 的 电 子 邮 件 。 该 电 子 邮 件 包 含 我 在 表 单 中 填 写 的 所 有 信 息 ， 包 括 指 向 我 在 同 一 应 用 程 序 范 围 内 的 上 传 文 档 的 链 接 。 单 击 该 链 接 将 返 回 与 第 一 个 示 例 相 同 的 w e b s h e l l ， 以 及 从 平 台 获 得 的 大 约 3 k 的 付 款 。 3 已 知 的 R C E 开 发 在 主 机 测 试 中 ， 我 发 现 一 个 在 范 围 内 I P 地 址 上 运 行 的 S u g a r C R M 应 用 程 序 版 本 。 在 该 软 件 的 收 集 版 本 中 ， 并 在 G o o g l e 上 搜 索 P H P   C o d e   E x e c u t i o n 漏 洞 ， 即 使 在 M e t a s p l o i t 模 块 中 ， 我 也 很 容 易 检 测 到 该 版 本 容 易 受 到 漏 洞 的 攻 击 ！ 0 1 为 易 受 攻 击 的 主 机 运 行 为 易 受 攻 击 的 主 机 运 行 m s f 模 块 模 块 当 攻 击 完 成 时 ， 没 有 创 建 会 话 。 我 尝 试 使 用 与 框 架 不 同 的 m s f 有 效 负 载 ， 但 它 们 均 无 效 ， 可 能 是 防 火 墙 阻 止 了 绑 定 / 反 向 s h e l l 的 传 入 和 传 出 请 求 。 之 后 ， 我 打 开 了 漏 洞 ， 利 用 代 码 并 进 行 了 分 析 。 漏 洞 利 用 代 码 是 在 / c u s t o m / 目 录 下 创 建 一 个 随 机 的 命 名 文 件 ， 然 后 从 该 p h p 文 件 中 创 建 一 个 到 提 供 的 I P 地 址 的 反 向 s h e l l 。 当 我 直 接 访 问 上 面 通 过 利 用 尝 试 创 建 的 文 件 ( 在 图 片 中 可 以 显 示 为 / c u s t o m / s v b G h t x S . p h p ) 时 ， 它 返 回 空 响 应 ， 这 意 味 着 该 文 件 实 际 上 已 创 建 并 且 可 以 利 用 。 之 后 ， 在 下 面 的 代 码 中 ， 我 注 意 到 一 个 特 殊 的 p a y l o a d 头 文 件 从 此 文 件 发 送 到 服 务 器 ， 以 便 通 过 此 代 码 进 行 b a s e 6 4 编 码 的 完 全 利 用 ： 0 2 利 用 漏 洞 代 码 的 第 二 步 利 用 漏 洞 代 码 的 第 二 步
因 此 ， 我 将 p a y l o a d 编 码 为 @ s y s t e m ( w h o a m i ) ; 对 于 ： 来 自 p h p 的 系 统 命 令 ， 用 于 运 行 O S 命 令 。 w h o a m i   o s 命 令 ， 用 于 返 回 结 果 。 0 3 手 动 对 手 动 对 p a y l o a d 进 行 进 行 b a s e 6 4 解 码 解 码
0 4 W h o a m i 命 令 输 出 命 令 输 出 请 求 由 M e t a s p l o i t 创 建 的 文 件 （ 带 有 p a y l o a d 下 图 创 建 的 标 头 ） 将 返 回 w h o a m i 命 令 的 输 出 以 及 大 约 3 k 的 支 出 。 当 我 尝 试 删 除 创 建 的 W e b s h e l l 进 行 清 理 时 ， 我 发 现 了 其 他 不 是 我 创 建 的 W e b s h e l l （ 从 文 件 名 和 创 建 日 期 时 间 中 找 出 来 ） ， 这 意 味 着 还 有 其 他 研 究 人 员 发 现 了 这 个 漏 洞 ， 但 是 没 有 被 利 用 ， 因 为 M e t a s p l o i t 模 块 不 能 完 全 正 常 工 作 ， 并 且 他 们 没 有 阅 读 利 用 该 漏 洞 的 源 代 码 。 4 应 用 程 序 级 别 命 令 注 入
在 经 过 身 份 验 证 的 W e b 应 用 程 序 测 试 中 ， 存 在 用 于 将 自 定 义 表 达 式 添 加 到 用 户 创 建 的 案 例 的 功 能 。 例 如 ， 如 果 案 件 与 付 款 有 关 ， 则 可 以 f i r s t A m o u n t   —   l a s t A m o u n t 根 据 需 要 返 回 案 件 输 出 中 的 。 对 于 此 表 达 式 ， 使 用 自 定 义 创 建 的 函 数 ， 例 如 a d d D a t e 和 d i f f D a t e 函 数 ： 由 于 扩 展 名 为 . d o ， 所 以 底 层 技 术 是 J a v a ， 我 认 为 也 许 在 输 入 脚 本 阶 段 ， 它 们 还 允 许 J a v a 功 能 以 及 自 定 义 创 建 的 功 能 ？ 0 1 将 将 J a v a 代 码 注 入 自 定 义 表 达 式 代 码 注 入 自 定 义 表 达 式 我 附 加 了 一 行 j a v a 代 码 n e w   j a v a . i o . D a t a I n p u t S t r e a m ( j a v a . l a n g . R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " w h o a m i " ) . g e t I n p u t S t r e a m ( ) ) . r e a d L i n e ( ) 到 自 定 义 创 建 的 a d d M e s s a g e 函 数 下 ， 以 使 我 返 回 到 代 码 输 出 ， 然 后 保 存 了 表 达 式 。 从 另 一 个 页 面 触 发 后 ， 我 得 到 的 输 出 为 ： 0 2 在 恶 意 表 达 式 中 创 建 的 案 例 从 在 恶 意 表 达 式 中 创 建 的 案 例 从 J a v a 代 码 返 回 了 代 码 返 回 了 “ n t 权 限 权 限 / 系 统 系 统 ”
其 中 返 回 了 成 功 的 纯 J a v a 代 码 注 入 。 扫 码 关 注 我 们 扫 码 关 注 我 们                     长 按 二 维 码 关 注 E D I 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理