搜索

[26533] 2020-11-27_【代码审计】对另一套钓鱼网站的代码审计

文档创建者：s7ckTeam
浏览次数：249
最后更新：2025-01-19
2020-11-27_【代码审计】对另一套钓鱼网站的代码审计 【 代 码 审 计 】 对 另 一 套 钓 鱼 网 站 的 代 码 审 计 M 7 8 安 全 团 队   2 0 2 0 - 1 1 - 2 7 以 下 文 章 来 源 于 台 下 言 书   ， 作 者 说 书 人 前 言 前 言 之 前 有 粉 丝 投 稿 过 一 篇 对 钓 鱼 网 站 的 代 码 审 计 ， 然 后 就 有 位 老 哥 给 我 发 了 另 一 套 还 算 比 较 新 的 钓 鱼 网 站 的 源 代 码 让 我 玩 玩 。 源 码 收 到 后 拖 了 好 几 天 终 于 抽 出 一 点 时 间 来 审 计 一 下 并 记 录 此 文 。 （ 打 工 人 就 是 一 块 砖 ， 哪 里 需 要 往 哪 里 搬 ~ ） 钓 鱼 网 站 介 绍 钓 鱼 网 站 介 绍 通 过 本 地 搭 建 该 钓 鱼 网 站 ， 发 现 这 是 一 个 通 过 抓 取 转 转 交 易 网 、 猎 趣 交 易 网 等 页 面 的 ， 伪 造 真 实 的 商 品 购 买 页 面 进 行 钓 鱼 ， 受 害 人 下 单 了 但 是 钱 却 不 是 走 官 方 平 台 交 易 ， 而 是 进 了 骗 子 的 钱 包 ， 而 受 害 者 也 不 会 真 的 收 到 购 买 的 商 品 。 前 台 钓 鱼 页 大 概 长 这 样 ~ （ 随 便 生 成 了 一 个 ）   页 面 还 是 很 逼 真 的 ~ 后 台 长 这 样 ：   台 下 言 书 台 下 言 书   . s t a y   h u n g r y   , s t a y   f o o l i s h .
代 码 审 计 代 码 审 计 一 、 自 带 一 、 自 带 p h p 大 马 后 门 大 马 后 门 路 径 ： / d e t a i l / j s / j b 6 6 6 . p h p 没 什 么 可 说 的 ， 作 者 偷 偷 加 的 后 门 用 于 黑 吃 黑 ~ 二 、 二 、 垂 直 越 权 漏 洞 垂 直 越 权 漏 洞 打 开 后 台 登 录 页 面 / a d m i n . p h p 输 入 正 确 的 账 号 密 码 a d m i n / a d m i n 8 8 8 ， 走 一 下 登 录 流 程
根 据 a c t i o n 跟 踪 到 / a d m i n / i n d e x . p h p 继 续 跟 到 / a d m i n / f u n c t i o n / a d m i n _ l o g i n . f u n c . p h p ， 发 现 这 里 有 一 个 创 建 c o o k i e 的 函 数 ， 键 为 “ A n a m e ” ， 值 为 变 量 $ _ A n a m e 的 值   继 续 往 下 看 ， 发 现 登 录 成 功 了 之 后 其 实 就 是 将 前 面 “ A n a m e ” 的 值 改 为 数 据 库 中 a d m i n _ u s e r 表 中 的 标 识 登 录 的 a u _ n a m e 的 值
对 比 登 录 前 后 的 c o o k i e ， 其 实 只 是 多 了 一 个 “ A n a m e = a d m i n ” 所 以 说 我 们 访 问 需 要 权 限 验 证 的 页 面 ， 只 需 要 在 c o o k i e 中 加 上 “ A n a m e = a d m i n ” 就 可 以 用 管 理 员 的 身 份 去 登 录 了 其 他 页 面 判 断 是 否 登 录 的 逻 辑 也 是 这 样 三 、 未 授 权 的 文 件 上 传 三 、 未 授 权 的 文 件 上 传 路 径 ： / a d m i n / p l u p l o a d a j a x . p h p 这 是 一 个 文 件 上 传 功 能 点 ， 写 的 也 比 较 简 短 ， 代 码 如 下
  可 以 看 到 采 用 白 名 单 的 形 式 ， 通 过 判 断 后 缀 是 否 在 白 名 单 数 组 中 来 判 断 是 否 允 许 上 传 。 此 处 还 对 上 传 成 功 后 的 文 件 以 时 间 + 随 机 数 的 方 式 进 行 了 重 命 名 ， 所 以 任 意 文 件 上 传 漏 洞 是 没 有 了 。 但 是 可 以 注 意 到 ， 这 个 功 能 点 的 执 行 没 有 经 过 任 何 身 份 上 的 验 证 ， 而 这 个 功 能 点 为 后 台 添 加 商 品 图 片 的 上 传 功 能 点 。 我 们 可 以 在 不 登 录 的 状 态 下 就 可 以 实 现 文 件 上 传 。 虽 然 只 能 上 传 白 名 单 里 面 的 文 件 类 型 ， 并 且 有 大 小 控 制 。 不 过 对 于 钓 鱼 网 站 ， 我 们 可 以 无 限 重 放 上 传 的 数 据 包 ， 来 塞 满 钓 鱼 网 站 管 理 员 （ 服 务 器 的 硬 盘 ~ ） 。
四 、 钓 鱼 页 四 、 钓 鱼 页 s q l 注 入 注 入 路 径 ： / l i e q u / i n d e x . p h p 可 以 看 到 这 里 直 接 将 $ _ G E T [ C l i c k I D ] 带 进 了 s q l 语 句 中 去 执 行 ， 没 有 任 何 的 保 护 。 m y s q l _ q u e r y ( " U P D A T E   g o o d s   S E T   h i t s   =   h i t s + 1   W H E R E   g o o d s _ i d   =   $ _ G E T [ C l i c k I D ] ;   " ) ;
翻 到 头 部 ， 可 以 发 现 这 是 一 个 提 供 访 问 的 页 面 ， 也 就 是 说 下 面 的 代 码 允 许 被 外 部 访 问 执 行 。 根 据 代 码 逻 辑 找 到 后 台 的 功 能 点 所 以 注 入 点 就 在 管 理 员 对 外 发 出 去 的 钓 鱼 页 面 的 u r l ， 比 如 说 我 这 里 为 ： h t t p : / / t e s t . c o m : 8 8 8 8 / l i e q u / ? i = 3 4 4 4 5 4 2 0 8 4 4 8 6 1 9 6 2 7 y . s h t m l & l i e q u S o u r c e F r o m = 4 0 5 7 6 8 4 9 8 8 0 2 2 4 7 0 7 4 p & C l i c k I D = 1 3   注 入 点 就 在 C l i c k I D 这 个 参 数 了 ， 其 实 这 个 不 用 审 计 光 黑 盒 f u z z 也 能 出 来 ~ ~ m y s q l _ q u e r y ( " U P D A T E   g o o d s   S E T   h i t s   =   h i t s + 1   W H E R E   g o o d s _ i d   =   $ _ G E T [ C l i c k I D ] ;   " ) ;
  五 、 储 存 型 五 、 储 存 型 x s s 漏 洞 漏 洞 x s s 漏 洞 一 般 从 功 能 点 出 发 ， x s s 的 触 发 页 面 必 须 要 打 到 管 理 员 才 行 。 我 们 先 看 后 台 功 能 点 ， 发 现 从 外 部 获 取 并 展 示 到 后 台 的 内 容 ， 好 像 只 有 钓 鱼 收 集 的 信 息 。 那 我 们 就 从 这 里 入 手 吧 ， 这 里 是 用 i f r a m e 嵌 入 的 ， 邮 件 找 到 框 架 地 址 h t t p : / / t e s t . c o m : 8 8 8 8 / a d m i n / ? A d m i n = G o o d s _ O r d e r L i s t 1 根 据 u r l 可 知 是 调 用 / a d m i n / i n d e x . p h p 这 个 文 件 ， 参 数 为 A d m i n = G o o d s _ O r d e r L i s t 1 。 跟 踪 到 / a d m i n / i n d e x . p h p 里 面 去 看 一 下 。
  包 含 文 件 / a d m i n / t e m p l a t e / G o o d s _ O r d e r L i s t 1 . i n c . p h p ， 再 跟 过 去 看 看 。 找 到 显 示 的 地 方 ， 发 现 是 直 接 e c h o 出 来 的 ， 没 做 其 他 的 处 理 ， 比 如 说 收 货 人 为 $ _ L i s t [ ' u n a m e ' ]
收 货 人 $ _ L i s t [ ' u n a m e ' ] ， 我 们 继 续 追 踪 ， 看 看 这 个 $ _ L i s t 有 没 有 经 过 处 理 。 没 看 到 有 对 “ 收 货 人 ” 内 容 进 行 处 理 的 地 方 ， 我 们 再 继 续 到 传 入 点 去 看 看 。 传 入 点 就 是 从 管 理 员 发 出 去 的 钓 鱼 页 面 ， 一 步 步 点 到 收 货 信 息 那 一 个 填 写 的 表 单 ， 我 这 边 为 h t t p : / / t e s t . c o m : 8 8 8 8 / l i e q u / a d d r e s s . p h p ? g i d = 1 3   跟 踪 到 / l i e q u / a d d r e s s . p h p ， 发 现 就 是 一 个 简 单 的 表 单 ， 也 没 做 其 他 的 处 理 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理