搜索

[22089] 2021-06-22_实战渗透-从敏感文件泄露到Getshell

文档创建者：s7ckTeam
浏览次数：44
最后更新：2025-01-18
2021-06-22_实战渗透-从敏感文件泄露到Getshell 实 战 渗 透 - 从 敏 感 文 件 泄 露 到 G e t s h e l l 转 乌 雲 安 全   L e m o n S e c   2 0 2 1 - 0 6 - 2 2 作 者 ： 远 海 作 者 ： 远 海             文 章 来 源 ： 先 知 社 区 文 章 来 源 ： 先 知 社 区 日 常 挖 日 常 挖 E D U S R C 的 思 路 的 思 路 , 欢 迎 各 位 大 佬 指 点 或 补 充 欢 迎 各 位 大 佬 指 点 或 补 充 ~ 目 标 站 点 如 下 : 是 一 个 大 型 仪 器 预 约 平 台 , 先 简 单 通 过 信 息 收 集 得 到 以 下 信 息 中 间 件 : I I S   开 发 语 言 :   . N E T   ( M V C ) 个 人 比 较 偏 向 于 渗 透 N E T 开 发 平 台 的 站 点 ， 因 为 其 不 区 分 大 小 写 ， 在 生 成 字 典 的 时 候 不 需 要 花 费 太 多 时 间 。 该 系 统 提 供 两 个 功 能 , 注 册 以 及 登 录 。 由 于 这 套 系 统 比 较 常 见 ， 基 本 每 个 知 名 高 校 都 有 这 么 一 个 仪 器 平 台 。 所 以 注 册 后 的 功 能 点 就 没 必 要 再 去 花 功 夫 探 测 了 ( 有 的 话 也 被 大 佬 交 完 了 ) 。
这 里 我 直 切 主 题 : 先 F O F A 搜 索 相 同 站 点 。 由 于 是 N E T 平 台 , 可 以 先 搜 集 以 下 所 有 相 同 系 统 的 站 点 。 然 后 扫 一 扫 备 份 之 类 的 。 常 见 的 字 典 如 :   w e b . r a r   备 份 . r a r 等 等 。 . 具 体 看 运 维 的 习 惯 ( 部 分 运 维 喜 欢 用 b a k ) 。 使 用 某 大 佬 的 F O F A 提 取 工 具 提 取 下 结 果 然 后 使 用 御 剑 ( 由 于 御 剑 好 像 不 支 持 h t t p s , 所 以 这 里 我 指 定 了 协 议 为 h t t p 。 如 果 大 佬 们 有 支 持 h t t p s 或 者 可 以 批 量 扫 描 的 工 具 可 惜 推 荐 下 ( 造 轮 子 太 麻 烦 , 性 能 渣 ) ) 在 某 站 点 下 发 现 疑 似 备 份 文 件 b a k . r a r ,   先 下 载 下 来 。 解 压 后 发 现 里 面 都 是 一 些 d l l 文 件 。 由 于 是 N E T 平 台 ， 源 代 码 都 会 打 包 成 d l l 文 件 。 也 就 是 说 这 些 d l l 文 件 里 面 存 放 着 网 站 的 源 代 码 。
那 么 直 接 逆 向 编 码 ， 开 始 代 码 审 计 ~ ~ ~ ~ 发 现 有 点 多 。 。 。 。 由 于 是 M V C 模 式 , 我 们 可 以 直 接 搜 索 C o n t r o l l e r ( 控 制 器 ) 开 始 审 计 ~ 这 里 先 挨 个 探 索 ( 我 个 人 比 较 喜 欢 直 切 主 题 ： 未 授 权 的 文 件 上 传 - 日 志 写 入 ( 部 分 系 统 是 由 请 求 头 决 定 文 件 名 - 反 序 列 化 - S Q L 注 入 ) ) 未 授 权 的 文 件 上 传 ， 这 个 比 较 好 找 。 。 有 没 有 进 行 文 件 效 验 一 看 就 知 道 。 部 分 程 序 员 都 是 把 操 作 写 成 了 一 个 方 法 ， 统 一 调 用 。 如 ： 在 U s e r C o n t r o l l e r 下 面 的 I n i U s e r P h o t o U p l o a d   方 法 就 是 一 处 文 件 上 传 的 操 作 这 里 表 面 看 着 并 没 有 什 么 文 件 属 性 效 验 的 操 作 。 但 是 最 终 写 入 是 由 M a k e T h u m b n a i l 操 作 的 。 在 M a k e T h u m b n a i l 下 面 第 1 5 1 行 ， 可 以 看 到 将 参 数 传 递 给 了 M a k e T h u m b n a i l B y I m g   方 法 。 追 踪 此 方 法
在 1 8 6 行 可 以 明 显 的 看 出 这 里 进 行 了 文 件 效 验 ， 且 规 定 了 后 辍 为 j p g , j p e g , b m p , g i f , p n g , i c o   才 可 以 成 功 上 传 那 么 这 里 无 果 ， 继 续 探 索 下 一 个 。 最 终 在 L a b 下 面 发 现 一 处 疑 似 上 传 L O G O 的 操 作 。 U p l o a d L a b O r g 写 入 操 作 最 终 是 由 S a v e L a b O r g a n i z a t i o n 进 行 写 入 操 作 。 追 踪 此 方 法 。
主 要 操 作 在 这 里 i f   ( b a s e . R e q u e s t . F i l e s . C o u n t   >   0 )                         {                                 f i l e S i z e S t r   =   F i l e U t i l i t y . G e t F i l e S i z e S t r ( ( d o u b l e ) b a s e . R e q u e s t . F i l e s [ 0 ] . C o n t e n t L e n g t h ) ;                                 s t r i n g   f i l e N a m e W i t h E x t e n s i o n B y P a t h   =   F i l e U t i l i t y . G e t F i l e N a m e W i t h E x t e n s i o n B y P a t h ( b a s e . R e q u e s t . F i l e s [ 0 ] . F i l e N a m e ) ;                                 f i l e E x t   =   F i l e U t i l i t y . G e t F i l e E x t B y P a t h ( b a s e . R e q u e s t . F i l e s [ 0 ] . F i l e N a m e ) ;                                 i f   ( ! t h i s . V a l i d a t e L a b O r g a n i z a t i o n L o g o U p l o a d ( S y s t e m . W e b . H t t p C o n t e x t . C u r r e n t . R e q u e s t ,   f i l e E x t ,   f i l e S i z e S t r ,   o u t   e r r o r M e s s a g e ) )                                 {                                         r e s u l t   =   f a l s e ;                                 }                                 e l s e                                 {                                         t h i s . I n i L a b O r g a n i z a t i o n L o g o U p l o a d ( S y s t e m . W e b . H t t p C o n t e x t . C u r r e n t . R e q u e s t ,   f i l e I d ,   f i l e E x t ,   f i l e S i z e S t r ,   o u t   s a v e I m g P a t h ,   o u t   e r r o r M e s s a g e ) ;                                         r e s u l t   =   t r u e ;                                 }                         }                         e l s e                         {                                 r e s u l t   =   f a l s e ;                         }                         r e t u r n   r e s u l t ; 当 上 传 的 文 件 大 于 0 时 ， 执 行 i f 里 面 的 语 句
i f   ( ! t h i s . V a l i d a t e L a b O r g a n i z a t i o n L o g o U p l o a d ( S y s t e m . W e b . H t t p C o n t e x t . C u r r e n t . R e q u e s t ,   f i l e E x t ,   f i l e S i z e S t r ,   o u t   e r r o r M e s s a g e ) )                                 {                                         r e s u l t   =   f a l s e ;                                 }                                 e l s e                                 {                                         t h i s . I n i L a b O r g a n i z a t i o n L o g o U p l o a d ( S y s t e m . W e b . H t t p C o n t e x t . C u r r e n t . R e q u e s t ,   f i l e I d ,   f i l e E x t ,   f i l e S i z e S t r ,   o u t   s a v e I m g P a t h ,   o u t   e r r o r M e s s a g e ) ;                                         r e s u l t   =   t r u e ;                                 } 其 中 V a l i d a t e L a b O r g a n i z a t i o n L o g o U p l o a d 是 判 断 文 件 内 容 大 小 是 否 超 出 以 及 扩 展 名 是 否 正 确 的 。 其 中 并 没 有 进 行 白 名 单 效 验 ~ 只 是 进 行 了 一 些 判 空 以 及 移 除 符 号 的 操 作 找 到 了 一 处 无 效 验 上 传 点 ， 开 始 构 造 P O C : 路 由 地 址 为 : / 控 制 器 名 / 方 法 名 使 用 H T M L 构 造 提 交 表 单 内 容 : < f o r m   a c t i o n = " 地 址 "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   >         < i n p u t   t y p e = " f i l e "   n a m e = " F i l e d a t a " / >         < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " / > < / f o r m >
然 后 开 始 上 传 。 但 是 他 返 回 了 一 个 出 错 。 。 。 有 点 无 解 ， 是 不 是 要 登 陆 ？ ？ 注 册 了 一 个 账 户 ， 发 现 仍 然 出 错 ， 再 次 回 到 代 码 层 ， 可 能 是 监 听 器 的 问 题 。 找 到 f i l t e r 发 现 了 要 验 证 R e f e r e r ， 在 原 有 P O C 上 添 加 一 个 R e f e r e r 成 功 G e t s h e l l 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理