搜索

[21642] 2021-02-02_业务漏洞挖掘笔记

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2021-02-02_业务漏洞挖掘笔记 业 务 漏 洞 挖 掘 笔 记 转 自 先 知 社 区   L e m o n S e c   2 0 2 1 - 0 2 - 0 2 多 年 的 实 战 业 务 漏 洞 挖 掘 经 验 ， 为 了 让 今 后 的 业 务 漏 洞 挖 掘 工 作 更 清 晰 ， 以 及 尽 可 能 的 把 重 复 性 的 工 作 自 动 化 、 半 自 动 化 ， 所 以 花 费 很 大 精 力 做 了 这 个 笔 记 。 具 体 操 作 流 程 : 得 到 测 试 目 标 - 目 标 资 产 范 围 确 定 - 资 产 收 集 - 资 产 管 理 - 资 产 分 类 - 具 体 业 务 功 能 理 解 - 业 务 漏 洞 测 试 - 逻 辑 漏 洞 测 试 - 提 交 报 告 资 产 管 理 资 产 管 理 很 多 文 章 和 大 佬 都 讲 过 ， 渗 透 测 试 的 本 质 就 是 信 息 收 集 渗 透 测 试 的 本 质 就 是 信 息 收 集 ， 收 集 到 的 信 息 越 多 ， 发 现 漏 洞 的 概 率 越 大 ， 这 些 信 息 被 称 为 资 产 资 产 。 那 么 常 规 的 资 产 收 集 手 段 ， 思 路 已 经 千 篇 一 律 了 ， 围 绕 着 子 域 名 和 I P 收 集 ， 其 实 资 产 收 集 的 核 心 思 想 是 ， 确 定 资 产 范 围 确 定 资 产 范 围 ， 确 定 资 产 范 围 就 需 要 先 分 析 出 资 产 特 征 ， 然 后 通 过 各 种 手 段 全 网 寻 找 符 合 特 征 的 资 产 ， 这 叫 做 资 产 识 别 资 产 识 别 , 把 收 集 到 的 资 产 分 类 编 辑 的 具 有 较 高 可 用 性 ， 叫 做 资 产 管 理 资 产 管 理 。 如 当 你 要 去 干 一 个 目 标 之 前 ， 首 先 第 一 步 肯 定 是 要 知 道 目 标 是 啥 ， 了 解 目 标 是 做 什 么 的 ， 凭 借 安 全 测 试 人 员 的 常 识 和 经 验 分 析 目 标 存 在 那 些 特 征 ， 来 确 定 资 产 范 围 来 收 集 符 合 特 征 的 资 产   就 是 资 产 收 集 资 产 收 集 。 目 标 资 产 目 标 资 产 确 定 资 产 范 围 确 定 资 产 范 围 / 目 标 画 像 目 标 画 像 需 要 收 集 到 的 信 息 1 .   域 名 、 子 域 名 2 .   网 页 内 容 特 征 信 息 3 .   I C P 备 案 信 息 4 .   W H O I S 联 系 信 息 5 .   S S L / T L S 证 书 信 息 6 .   D N S 解 析 信 息 7 .   W H O I S - N A M E S E R V E R 信 息 8 .   I P 以 及 同 I P 其 他 端 口 和 站 点 服 务 类 型 和 版 本 等 基 础 信 息 9 .   C 段 、 B 段 、 等 相 关 i p 段 1 0 .   目 标 全 名 、 介 绍 、 招 股 书 、 所 在 地 / 联 系 方 式 / 邮 箱 / 电 话 / g i t h u b 1 1 .   目 标 负 责 人 、 法 人 、 管 理 员 、 员 工   姓 名 / 所 在 地 / 联 系 方 式 / 邮 箱 / 电 话 1 2 .   客 户 端 应 用 w i n d o w s / a n d r o i d / i o s / m a c / 公 众 号 / 小 程 序 1 3 .   其 他 收 集 这 些 信 息 、 会 大 大 增 加 挖 到 业 务 漏 洞 的 成 功 率 ， 但 是 遇 到 中 大 型 政 企 相 关 目 标 ， 他 们 的 业 务 是 很 多   业 务 线 很 长 ， 通 过 手 工 去 收 集 管 理 ， 无 疑 是 个 体 力 活 ， 但 有 很 多 的 资 产 收 集 工 具 ， 稍 微 能 帮 助 安 全 测 试 人 员 降 低 些 工 作 量 ， 我 用 的 都 是 自 己 开 发 的 ， 哈 哈 哈 ， 如 图 。
功 能 资 产 功 能 资 产 收 集 到 资 产 后 ， 就 要 进 行 资 产 管 理 、 资 产 分 类 ， 以 便 于 安 全 测 试 ， 更 好 的 可 视 化 ， 可 以 帮 助 快 速 定 位 到 风 险 点 。 这 些 信 息 在 安 全 测 试 时 都 是 需 要 去 测 试 的 点 和 很 可 供 参 考 的 信 息 ， 如 : 1 .   一 个 组 建 应 用 突 然 爆 出 0 d a y , 可 以 快 速 第 一 时 间 定 位 到 目 标 资 产 中 存 在 该 组 建 的 资 产 。 2 .   租 用 若 干 v p s ， 7 x 2 4 小 时 爆 破 目 标 资 产 中 可 以 爆 破 弱 密 码 的 资 产 。 3 .   租 用 若 干 v p s ， 7 x 2 4 监 控 资 产 变 化 ， 以 便 发 现 高 风 险 的 点 。 资 产 监 控 资 产 监 控 仅 仅 是 收 集 到 这 些 资 产 是 不 够 的 ， 要 持 续 监 控 业 务 的 变 化 ， 在 职 业 刷 s r c 或 者 a p t 攻 击 者 的 角 度 ， 单 单 过 一 遍 刚 收 集 到 的 资 产 是 不 能
满 足 持 续 性 业 务 漏 洞 挖 掘 ; 从 职 业 刷 s r c 的 角 度 ， 过 一 遍 收 集 的 资 产 ， 已 经 发 现 了 所 有 漏 洞 并 已 经 提 交 后 修 复 ， 或 者 用 当 前 漏 洞 测 试 方 法 并 没 发 现 有 漏 洞 ， 这 样 业 务 是 安 全 的 ， 但 这 个 安 全 是 在 当 下 时 间 的 ， 企 业 要 发 展 、 要 解 决 当 前 问 题 ， 就 会 出 新 业 务 、 或 者 不 断 的 修 复 更 新 旧 问 题 ， 这 就 是 业 务 的 变 化 ， 通 过 持 续 性 监 控 业 务 变 化 ， 最 快 速 度 的 发 现 变 化 ， 对 变 化 进 行 安 全 测 试 、 漏 洞 挖 掘 。 有 经 验 的 刷 s r c 的 同 学 都 知 道 ， 新 业 务 和 刚 更 新 过 的 业 务 发 现 漏 洞 概 率 都 很 高 。 业 务 变 化 主 要 分 为 三 类 : w e b 业 务 的 变 化 I P 和 端 口 的 变 化 客 户 端 软 件 的 更 新 迭 代 那 么 资 产 监 控 这 么 大 的 工 作 量 ， 靠 手 工 是 不 可 能 的 必 须 要 靠 代 码 实 现 ， 至 少 半 自 动 化 、 甚 至 自 动 化 。 漏 洞 漏 洞 业 务 面 临 的 风 险 业 务 面 临 的 风 险 数 据 被 窃 取 、 权 限 被 控 制 、 业 务 不 能 正 常 运 行 。 机 器 权 限 功 能 权 限 相 关 应 用 服 务 权 限 数 据 泄 露 什 么 是 漏 洞 ？ 什 么 是 漏 洞 ？ 一 个 产 品 的 实 现 、 总 会 有 很 多 逻 辑 包 括 在 内 ， 如 一 个 网 购 网 站 ， 他 需 要 的 功 能 ， 1 .   商 品 展 示 、 商 品 分 类 搜 索 、 商 品 购 买 等 。 2 .   网 站 后 台 管 理   商 品 管 理 、 订 单 处 理 、 相 关 反 馈 处 理 等 。 3 .   个 人 用 户 管 理 、 用 户 注 册 、 用 户 登 录 处 理 、 用 户 个 人 资 料 编 辑 、 收 获 地 址 管 理 、 订 单 管 理 等 。 这 是 一 个 最 基 础 的 网 购 平 台 网 站 ， 单 纯 用 技 术 角 度 来 描 述 ， 你 买 一 件 商 品   其 中 用 到 经 过 多 少 技 术 。 我 要 开 个 网 购 网 站 ， 最 基 础 的   首 先 要 有 一 个 域 名 、 一 台 服 务 器 、 服 务 器 上 装 相 关 w e b 服 务 软 件 ， 如 a p a c h e ( w e b 服 务 软 件 ) + p h p ( w e b 脚 本 语 言 ) + m y s q l ( 数 据 库 ) 。 界 面 展 示 ， 需 要 前 端 开 发 前 端 开 发 做 界 面 展 示 、 前 端 程 序 员 需 要 掌 握 的 技 术 、 h t m l + c s s + j a v a s c r i p t + p s 等 ， 为 了 适 配 移 动 端 或 者 技 术 进 阶 需 要 h t m l 5 + c s s 3 + j q u e r y 还 有 一 些 前 端 常 用 的 框 架 v u e b o o t s t r a p A n g u l a r J S w e b p a c k 等 ， 还 要 尽 量 让 前 端 浏 览 器 处 理 更 快   首 屏 速 度 更 快 ， 还 要 有 一 定 的 设 计 能 力 ， 让 界 面 看 着 更 美 观 吗 ， 用 户 打 开 浏 览 器 看 见 的 页 面 就 是 通 过 这 些 技 术 实 现 。 用 户 打 开 浏 览 器 看 见 的 页 面 就 是 通 过 这 些 技 术 实 现 。 后 端 开 发 、 根 据 业 务 场 景 情 况 、 最 优 选 择 一 个 适 合 业 务 的 后 端 开 发 语 言 ， 如 p h p n o d e j s j s p a s p x a s p 其 他 w e b   c g i 等 ， 就 选 p h p 吧 ， 资 深 后 端 程 序 员 必 须 框 架 开 发 ， 请 参 考   P H P 的 2 5 种 框 架   目 前 国 内 p h p 最 火 框 架 T h i n k P H P ， 后 端 开 发 主 要 为 了 实 现 后 端 开 发 主 要 为 了 实 现   业 务 逻 辑 、 如 那 些 业 务 逻 辑 、 如 那 些
表 单 操 作 多 的 功 能 ， 商 品 搜 索 、 用 户 登 录 注 册 、 购 买 、 个 人 信 息 修 改 、 商 品 修 改 等 功 能 ， 都 需 要 通 过 前 端 页 面 通 过 表 单 操 作 多 的 功 能 ， 商 品 搜 索 、 用 户 登 录 注 册 、 购 买 、 个 人 信 息 修 改 、 商 品 修 改 等 功 能 ， 都 需 要 通 过 前 端 页 面 通 过 h t t p / s 协 协 议 传 输 到 后 端 议 传 输 到 后 端   通 过 通 过 p h p 之 类 后 端 开 发 语 言 进 行 处 理 。 之 类 后 端 开 发 语 言 进 行 处 理 。 数 据 库 建 设 , 根 据 业 务 场 景 情 况 、 最 优 选 择 一 个 适 合 业 务 的 数 据 库 ， 数 据 库 分 为 s q l 数 据 库 、 如 M y S Q L S Q L   s e r v e r O r a c l e P o s t g r c S Q L 等 ， n o s q l 数 据 库 M o n g o d b R e d i s 等 ， 用 户 的 提 交 的 数 据 就 保 存 在 这 些 数 据 库 里 ， 如 账 号 密 码 、 个 人 信 息 、 订 单 信 息 等 ， 管 理 员 用 户 的 提 交 的 数 据 就 保 存 在 这 些 数 据 库 里 ， 如 账 号 密 码 、 个 人 信 息 、 订 单 信 息 等 ， 管 理 员 存 放 的 商 品 信 息 存 放 的 商 品 信 息   也 都 在 数 据 库 里 ， 通 过 脚 本 语 言 的 逻 辑 处 理 调 用 数 据 库 里 的 数 据 也 都 在 数 据 库 里 ， 通 过 脚 本 语 言 的 逻 辑 处 理 调 用 数 据 库 里 的 数 据   展 示 到 前 端 页 面 。 展 示 到 前 端 页 面 。 选 择 一 个 靠 谱 的 w e b 服 务 、 如 a p a c h e i i s N g i n x L i g h t t p d T o m c a t 等 其 他 w e b 服 务 软 件 ， 还 要 考 虑 并 发 、 扩 容 、 灾 备 等 相 关 技 术 问 题 ， 面 对 1 w 用 户   1 0 w 用 户   1 0 0 万 的 用 户   1 0 0 0 万 乃 至 上 亿 ， 都 有 最 优 不 同 的 应 对 方 式 方 法 策 略 ， 当 然 这 都 是 架 构 师 架 构 师 、 全 栈 程 序 员 考 虑 的 问 题 ， 我 们 我 们 w e b 黑 盒 测 试 的 漏 洞 挖 掘 选 手 ， 只 需 要 考 虑 ， 这 些 流 程 黑 盒 测 试 的 漏 洞 挖 掘 选 手 ， 只 需 要 考 虑 ， 这 些 流 程   这 些 点 上 ， 那 些 地 方 最 容 易 这 些 点 上 ， 那 些 地 方 最 容 易   最 常 出 现 漏 洞 ？ 最 常 出 现 漏 洞 ？ 因 为 有 了 功 能 ， 所 以 有 了 漏 洞 因 为 有 了 功 能 ， 所 以 有 了 漏 洞 ， 需 要 用 到 数 据 库 的 w e b 业 务 就 很 有 可 能 出 现 s q l 注 入 ， 需 要 有 文 件 操 作 或 系 统 命 令 执 行 的 地 方 ， 就 会 出 现 命 令 注 入 或 任 意 文 件 操 作 的 漏 洞 ， 信 息 管 理 系 统 自 然 存 在 信 息 泄 露 的 风 险 . . . . 话 归 正 题 、 什 么 是 漏 洞 ？ 比 如 一 个 登 陆 功 能 ， 我 通 过 技 术 手 段 ， 未 经 许 可 登 陆 进 其 他 用 户 或 者 管 理 员 账 号 ， 那 么 这 其 中 肯 定 是 存 在 漏 洞 的 ， 漏 洞 列 表 如 下 . . . . 黑 盒 测 试 相 关 漏 洞 黑 盒 测 试 相 关 漏 洞
如 图 所 见 ， 大 多 数 技 术 相 关 漏 洞 都 是 因 为 注 入 非 法 字 符 串 导 致 出 现 漏 洞 ， x s s 是 j s 代 码 注 入 ， j s 可 以 控 制 当 前 浏 览 器 页 面 ; s q l 注 入 是 注 入 的 s q l 命 令 ， s q l 是 操 作 数 据 库 的 语 言 ; 命 令 注 入 ， 操 作 系 统 命 令 可 以 控 制 机 器 ;   就 因 为 用 户 输 入 的 非 法 字 符 串 ， 被 不 安 全 代 码 处 就 因 为 用 户 输 入 的 非 法 字 符 串 ， 被 不 安 全 代 码 处 理 ， 让 理 ， 让   操 作 系 统 操 作 系 统 / 编 程 语 言 编 程 语 言 / 数 据 库 数 据 库 / 浏 览 器 浏 览 器   理 解 执 行 后 ， 导 致 出 现 了 漏 洞 。 理 解 执 行 后 ， 导 致 出 现 了 漏 洞 。 X s s
< ? e c h o   $ _ G E T [   ' x s s '   ] ; ? > S q l < ? p h p $ i d = $ _ G E T [ " i d " ] ;         i f   ( i s s e t ( $ i d ) ) {                 / / $ s t a t e m e n t   =   $ l i n k - > p r e p a r e ( " S E L E C T   *   F R O M   u s e r s   w h e r e   i d = " . $ i d ) ;                 $ r e s u l t   =   m y s q l i _ q u e r y ( $ l i n k , " S E L E C T   *   F R O M   u s e r s   w h e r e   u s e r _ i d = " . $ i d ) ;                 i f   ( ! $ r e s u l t )   {                         p r i n t f ( " E r r o r :   % s n " ,   m y s q l i _ e r r o r ( $ l i n k ) ) ;                         e x i t ( ) ;                         }                 w h i l e ( $ r o w   =   m y s q l i _ f e t c h _ a r r a y ( $ r e s u l t ) ) {                                 e c h o   $ r o w [ ' f i r s t _ n a m e ' ] ;                                 e c h o   " < b r > " ;                         }         } e l s e   {                 e c h o   ' { " t e x t " : " e r r o r " } ' ;         } ? > S s r f < ? p h p i n i _ s e t ( " d i s p l a y _ e r r o r s " ,   " O n " ) ;   $ c h   =   c u r l _ i n i t ( ) ; c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   $ _ G E T [ ' u r l ' ] ) ; # c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ F O L L O W L O C A T I O N ,   1 ) ; c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   0 ) ; # c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ P R O T O C O L S ,   C U R L P R O T O _ H T T P   |   C U R L P R O T O _ H T T P S ) ; c u r l _ e x e c ( $ c h ) ; c u r l _ c l o s e ( $ c h ) ; ? > 服 务 端 通 过 内 网 访 问 用 户 输 入 的 u r l 链 接 就 是 s s r f 文 件 读 取 X x e x m l 注 入 逻 辑 漏 洞 命 令 注 入
< ? p h p / * 命 令 注 入 案 例 * / i f (   i s s e t (   $ _ G E T [   ' S u b m i t '   ]     )   )   {         / /   G e t   i n p u t         $ t a r g e t   =   $ _ R E Q U E S T [   ' c m d '   ] ;         / /   D e t e r m i n e   O S   a n d   e x e c u t e   t h e   p i n g   c o m m a n d .         i f (   s t r i s t r (   p h p _ u n a m e (   ' s '   ) ,   ' W i n d o w s   N T '   )   )   {                 / /   W i n d o w s                 $ c m d   =   s h e l l _ e x e c (   ' l s     '   .   $ t a r g e t   ) ;         }         e l s e   {                 / /   * n i x                 $ c m d   =   s h e l l _ e x e c (   ' d i r   '   .   $ t a r g e t   ) ;         }         / /   F e e d b a c k   f o r   t h e   e n d   u s e r         e c h o   " < p r e > { $ c m d } < / p r e > " ; } ? > 代 码 注 入 p h p / n o d e j s / j s p / a s p x / a s p / p y t h o n / g o l a n g / c / c + + 等 等 编 程 语 言 的 写 入 与 拼 接 。 信 息 泄 露 上 传 漏 洞 上 传 可 执 行 文 件 到 可 执 行 目 录 ， 或 者 被 服 务 端 执 行 。 那 么 这 些 漏 洞 都 是 由 h t t p 协 议 传 输 ， 测 试 漏 洞 存 在 的 第 一 步 ， 修 改 请 求 参 数 值 ， 重 放 判 断 响 应 包 是 否 与 正 常 请 求 的 响 应 包 有 所 不 同 ， 如 : 正 常 异 常
这 是 一 个 很 典 型 的 s q l 报 错 注 入 判 断 方 式 。 当 然 ， 判 断 是 否 存 在 漏 洞 依 据 很 多 ， 大 体 分 为 : 响 应 内 容 响 应 时 间 D n s l o g / H t t p l o g 判 断 浏 览 器 D o m 渲 染 后 的 H t m l 浏 览 器 D e v T o o l s   C o n s o l e 根 据 实 际 情 况 ， 选 择 最 适 合 的 判 断 方 式 ， 其 实 常 见 的 、 标 准 化 的 h t t p 传 参 方 式 ， 完 全 可 以 依 照 以 上 列 举 的 规 则 ， 做 出 一 个 减 轻 工 作 量 漏 洞 测 试 工 具 ， 如 下 图 通 过 修 改 请 求 参 数 值 后 追 加   单 双 引 号   逐 个 重 放 ， 遍 历 每 个 参 数 ， 确 认 那 个 参 数 会 引 起 响 应 异 常 。 1 .   对 异 常 的 参 数 ， 通 过 修 改 请 求 参 数 值 后 追 加 p a y l o a d   来 检 测 命 令 注 入 、 s s r f 、 代 码 注 入 、 s q l 注 入 、 信 息 泄 露 等 漏 洞 。 2 .   如 果 响 应 C o n t e n t - T y p e = h t m l ， 用 浏 览 器 重 放 请 求 来 检 测 d o m x s s 、 和 抓 取 d o m 渲 染 后 页 面 u r l 、 d o m a i n 等 相 关 信 息 。 对 于 一 些 点 击 ， 和 页 面 的 表 单 ， 其 实 打 开 浏 览 器 挖 洞 时   你 可 以 加 个 参 数   然 后 远 程 调 试   可 以 做 一 些 ， 便 捷 的 工 具 ， 如 自 动 表 单 填 写 ， 自 动 点 击 页 面 等 功 能 ， 辅 助 测 试 ， 减 少 不 必 要 的 重 复 工 作 。 - - r e m o t e - d e b u g g i n g - p o r t = 9 2 2 2
对 于 常 规 的 业 务 场 景 ， 从 目 标 范 围 确 定 ， 资 产 收 集 到 漏 洞 检 测 ， 尽 可 能 的 规 范 化 ， 流 程 化 ， 工 具 化 ， 做 黑 客 绝 对 不 应 该 是 整 天 去 手 工 修 改 h t t p 通 信 里 的 参 数 ， 在 u r l 里 加 单 引 号   加 , 修 改 i d 遍 历 ， 能 不 能 酷 一 点   做 个 帅 一 点 的 黑 客 ？ 一 直 幻 想 着 通 过 自 动 化 挖 洞 躺 赚 的 一 天 . . . . 转 自 :   h t t p s : / / x z . a l i y u n . c o m / t / 9 0 2 8 作 者 :   g u i m a i z i 觉 得 思 路 挺 好 的 ， 分 享 给 大 家 看 看 。 本 文 已 经 联 系 作 者 得 到 许 可 后 转 载 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c < s c r i p t >
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理