搜索

[2249] 2021-01-21_通过服务器端模板注入的RCE

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2021-01-21_通过服务器端模板注入的RCE 通 过 服 务 器 端 模 板 注 入 的 R C E 原 创   G a u r a v   M i s h r a   E D I 安 全   2 0 2 1 - 0 1 - 2 1 在 本 文 中 ， 我 们 将 看 到 如 何 识 别 远 程 代 码 执 行 漏 洞 并 绕 过 A k a m a i   W A F 规 则 。 在 进 行 安 全 扫 描 时 ， 我 注 意 到 一 个 端 点 ， 该 端 点 将 用 户 可 控 制 的 数 据 合 并 到 字 符 串 中 ， 并 将 其 反 映 回 响 应 中 。 注 意 到 文 本 的 反 射 ， 我 尝 试 了 一 些 X S S 有 效 负 载 ， 但 是 由 于 响 应 C o n t e n t - T y p e 为 a p p l i c a t i o n   /   j s o n ， 因 此 无 法 成 功 执 行 J a v a S c r i p t   。 但 是 ， 当 输 入 诸 如 $   { 1 9 1   *   7 } 之 类 的 有 效 负 载 时 ， 我 很 惊 讶 地 看 到 该 算 术 表 达 式 已 在 响 应 中 成 功 求 值 为 注 意 ：   “   R C E _ ” 不 是 p a y l o a d 的 一 部 分 ， 它 仅 用 于 查 找 反 射 的 文 本 。 要 成 功 评 估 表 达 式 ， 语 法 中 $ 字 符 的 要 求 通 常 表 明 在 处 理 表 达 式 时 涉 及 某 种 模 板 引 擎 / 服 务 器 端 评 估 。 W e b 应 用 程 序 广 泛 使 用 模 板 引 擎 ， 以 通 过 网 页 和 电 子 邮 件 呈 现 动 态 数 据 。 在 模 板 中 不 安 全 地 嵌 入 用 户 输 入 会 启 用 服 务 器 端 模 板 注 入 。 在 这 种 情 况 下 ， 用 户 控 制 c o n t e x t _ t y p e 查 询 参 数 的 内 容 。 在 检 测 到 模 板 注 入 后 ， 下 一 步 是 识 别 使 用 中 的 模 板 引 擎 。 有 时 此 步 骤 与 提 交 无 效 语 法 一 样 简 单 ， 因 为 模 板 引 擎 可 以 在 产 生 的 错 误 消 息 中 标 识 自 己 。 但 是 ， 错 误 消 息 被 抑 制 时 ， 此 技 术 将 失 败 。 在 I n t e r n e t 上 进 行 了 更 多 研 究 之 后 ， 我 对 这 个 应 用 程 序 可 能 使 用 的 模 板 引 擎 有 一 些 猜 测 。 为 了 评 估 该 漏 洞 的 影 响 ， 我 进 行 了 更 多 研 究 ， 找 到 了 可 用 于 远 程 执 行 命 令 的 p a y l o a d ， 并 且 我 发 现 以 下 p a y l o a d 可 用 于 在 远 程 服 务 器 上 执 行 l s 命 令 ： 执 行 后 ， 我 没 有 看 到 任 何 命 令 导 致 响 应 ， 因 为 它 是 盲 注 ， 但 是 我 确 实 收 到 了 U n i x 进 程 参 考 （ 在 上 面 的 响 应 正 文 中 突 出 显 示 ） 。 它 确 认 命 令 已 成 功 执 行 。 现 在 变 得 更 加 有 趣 了 ， 因 为 我 想 上 传 一 个 反 向 s h e l l （ 目 标 计 算 机 与 攻 击 计 算 机 进 行 通 信 的 一 种 s h e l l ） 。 我 执 行 了 另 外 两 个 命 令 ， 以 查 看 是 否 已 经 安 装 了 p y t h o n 和 w g e t 模 块 ， 以 便 下 载 并 执 行 反 向 s h e l l 脚 本 。 作 为 执 行 的 结 果 ， 我 收 到 了 一 个 过 程 参 考 ， 指 出 该 程 序 已 预 先 安 装 。 毫 不 奇 怪 ， 因 为 看 到 这 样 的 程 序 与 U n i x 风 格 捆 绑 在 一 起 是 很 常 见 的 。 因 此 ， 我 使 用 p y t h o n 在 端 口 8 0 上 启 动 了 H T T P 服 务 器 ， 并 托 管 了 一 个 反 向 S h e l l 脚 本 ， 如 下 所 示 ： 首 先 ， 我 将 反 向 S h e l l 下 载 到 易 受 攻 击 的 服 务 器 上 。 [ S N I P ]   …   g e t A p p r o v a l G r o u p B y C o n t e x t . c o n t e x t T y p e ： 1 3 3 7   …   [ /   S N I P $   { “ ” 。 g e t C l a s s （ ） 。 f o r N a m e （ “   j a v a . l a n g . R u n t i m e ” ） 。 g e t M e t h o d s （ ） [ 6 ]   . i n v o k e （ “ ” 。 g e t C l a s s （ ） 。 f o r N a m e （ “   j a v a . l a n g . R u n t i m e ” ） ） 。 e x e c （   “   l s ” ） }
响 应 中 的 U n i x 进 程 参 考 足 以 表 明 反 向 S h e l l 脚 本 已 上 传 到 远 程 计 算 机 上 。 下 一 步 是 在 端 口 4 4 3 上 启 动 N e t c a t 侦 听 器 （ 以 捕 获 外 壳 程 序 ） 并 执 行 脚 本 。 如 下 面 的 屏 幕 快 照 所 示 ， 我 能 够 获 得 登 台 服 务 器 的 反 向 外 壳 并 执 行 命 令 。 E D I 安 全 安 全 一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理