搜索

[26558] 2021-02-03_记一次.Net代码审计-通过machineKey伪造任意用户身份

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-02-03_记一次.Net代码审计-通过machineKey伪造任意用户身份 记 一 次 . N e t 代 码 审 计 - 通 过 m a c h i n e K e y 伪 造 任 意 用 户 身 份 原 创   N i c k   M 7 8 安 全 团 队   2 0 2 1 - 0 2 - 0 3             温 馨 提 示             本 文 章 仅 供 学 习 交 流 使 用 ， 本 文 章 仅 供 学 习 交 流 使 用 ， 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 0 x 0 1   起 因 起 因 某 次 机 缘 巧 合 ， 领 导 给 了 一 套 国 内 某 主 流 . n e t   B P M 系 统 源 码 ， 要 求 审 计 ， 于 是 便 开 始 了 这 次 审 计 之 旅 。 。 。 B P M （ 业 务 流 程 管 理 系 统 ） ， 这 套 系 统 采 用 前 后 端 分 离 架 构 ， 前 端 E x t J S ， 后 端 . n e t 的 一 般 处 理 程 序 + w i n d o w s 服 务 开 放 s o c k e t 端 口 1 5 8 0 ， 一 般 处 理 程 序 与 服 务 器 本 地 1 5 8 0 端 口 通 信 。 数 据 库 O r a c l e / S Q L S e r v e r 等 。 环 境 搭 建 好 后 ， 使 用 V S 打 开 站 点 ， 使 用 附 加 到 进 程 ， 选 择 I I S 进 程 ， 开 启 调 试 ， 配 合 R e f l e c t o r 查 看 D L L 封 装 。 0 x 0 2   场 景 场 景 看 了 没 多 久 发 现 一 个 任 意 文 件 下 载 的 漏 洞 ， S Q L 注 入 ， 文 件 上 传 任 意 代 码 执 行 也 存 在 . 但 是 只 有 任 意 文 件 文 件 下 载 是 不 需 要 验 证 的 ， 其 他 漏 洞 都 需 要 验 证 身 份 后 才 能 利 用 成 功 ， 如 何 才 能 获 取 一 个 身 份 扩 大 利 用 面 呢 ？ 仔 细 查 看 登 录 逻 辑 代 码 并 不 存 在 s q l 注 入 ， 系 统 支 持 中 文 ， 数 字 ， 字 母 格 式 的 用 户 名 ， 弱 口 令 也 是 不 好 搞 的 ， 况 且 也 未 发 现 敏 感 信 息 泄 露 。 等 等 ， 不 是 还 有 任 意 文 件 下 载 吗 ？ 下 载 w e b . c o n f i g 后 数 据 库 直 连 不 可 以 吗 ， 还 真 不 行 ， 由 于 业 务 流 程 一 般 涉 及 到 企 业 的 核 心 ， 基 本 都 部 署 在 内 网 ， 通 过 N A T 方 式 映 射 到 公 网 访 问 ， 或 者 纯 内 网 方 式 访 问 不 对 外 ， 这 类 情 况 基 本 没 有 对 外 映 射 数 据 库 端 口 的 （ 主 要 看 运 气 ） 。 仔 细 观 察 登 录 后 的 身 份 信 息 ： 使 用 这 个 s e s s i o n 通 过 P o s t M a n 调 用 后 端 接 口 发 现 其 真 正 具 有 身 份 验 证 功 能 的 只 有 . A S P X A U T H 这 个 值 。 那 么 这 个 值 是 否 可 以 伪 造 ？ 答 案 是 肯 定 的 。 w e b . c o n f i g 除 了 数 据 库 配 置 之 外 ， 还 有 这 个 ： 看 到 这 里 老 . n e t 开 发 肯 定 就 明 白 是 怎 么 回 事 了 . 是 的 ， 这 套 系 统 使 用 了 微 软 F o r m s A u t h e n t i c a t i o n 类 作 为 身 份 认 证 。 该 类 的 实 现 方 法 在 S y s t e m . W e b . d l l ， 通 过 该 认 证 ， 可 以 把 用 户 N a m e   和 部 分 用 户 数 据 存 储 在 C o o k i e 中 ， 通 过 基 本 的 条 件 设 置 可 以 ， 很 简 单 的 实 现 基 本 的 身 份 角 色 认 证 。 F o r m s A u t h e n t i c a t i o n T i c k e t 类 用 于 创 建 一 个 对 象 ， 该 对 象 表 示   f o r m s   身 份 验 证 用 于 标 识 已 经 过 身 份 验 证 的 用 户 的 身 份 验 证 票 证 。 F o r m s   身 份 验 证 票 证 的 属 性 和 值 与 存 储 在   c o o k i e   或   U R L   中 的 加 密 字 符 串 进 行 转 换 。 F o r m s A u t h e n t i c a t i o n 类 提 供 了 一 个   E n c r y p t   方 法 ， 用 于 创 建 一 个 字 符 串 值 ， 该 字 符 串 值 可 以 存 储 在   c o o k i e   中 ， 也 可 以 存 储 在   U R L   中   F o r m s A u t h e n t i c a t i o n T i c k e t   。 F o r m s A u t h e n t i c a t i o n 类 还 提 供 了 一   个 D e c r y p t   方 法 ， 用 于   F o r m s A u t h e n t i c a t i o n T i c k e t   根 据 从   f o r m s   身 份 验 证   c o o k i e   或   U R L   检 索 到 的 加 密 的 身 份 验 证 票 证 来 创 建 对 象 。 C o o k i e :   y s - d L o g i n . P o s i t i o n I d = x x x ; y s - d L o g i n . U s e r I d = x x x x x x ; A S P . N E T _ S e s s i o n I d = a t n 2 x h w w 1 3 w f c l f 3 y c s 1 0 4 5 l ; U s e r D i s p l a y N a m e = x x x x x x x ; . A S P X A U T H = D C D 9 1 0 7 7 D 0 C 3 F A F 5 4 8 4 0 6 C 2 E 8 8 5 A 9 E 2 0 2 C 7 D 1 6 C 8 3 2 E 9 . . . . . . . < m a c h i n e K e y v a l i d a t i o n K e y = " A B A A 8 4 D 7 E C 4 B B 5 6 D 7 5 D 2 3 7 C E C F F B 9 6 2 8 8 0 9 B D B 8 . . . . . . . . . . . . . . "   d e c r y p t i o n K e y = " A B A A 8 4 D 7 E C 4 B B 5 6 D 7 5 D 2 3 7 C E C F F B 9 6 2 8 8 0 9 B D B 8 . . . . . . . . . . . . . . " v a l i d a t i o n = " S H A 1 " d e c r y p t i o n = " A E S " / >
F o r m s A u t h e n t i c a t i o n T i c k e t 可 使 用 类 的 属 性 访 问 当 前 经 过 身 份 验 证 的 用 户 的   T i c k e t   F o r m s I d e n t i t y   。 可 以   F o r m s I d e n t i t y   通 过   I d e n t i t y   将 当 前 的 属 性 转 换   U s e r   为 类 型 来 访 问 当 前 的 对 象   F o r m s I d e n t i t y   。 根 据 微 软 M S D N ， 生 成 C o o k i e 的   D e m o ： 那 么 知 道 了 怎 么 生 成 的 ， 于 是 定 位 到 代 码 的 L o g i n 方 法 , 关 键 逻 辑 如 下 ： 首 先 从 上 下 文 获 取 请 求 中 的 k e y ， 此 k e y 为 页 面 L o a d 时 由 后 端 动 态 生 成 的 ， 然 后 分 别 获 取 加 密 后 的 用 户 名 和 密 码 ， 使 用 k e y 进 行 解 密 ， 调 用 ： 此 函 数 调 用 了 后 端 的 w i n d o w s 服 务 ， 逻 辑 复 杂 ， 命 名 不 规 范 （ 个 人 水 平 菜 . . . ） ， 总 之 没 找 到 生 成 规 则 ， 推 测 是 和 w e b . c o n f i g 定 义 的 S e c u r i t y K e y 有 关 ， 这 个 函 数 返 回 一 个 t o k e n ， 该 t o k e n 并 不 产 生 变 化 ， 所 以 可 以 写 死 。 继 续 跟 入 ： 这 里 就 出 现 了 熟 悉 的 画 面 了 ： 所 以 简 单 写 个 工 具 ， 把 m a c h i n e K e y 放 入 a p p . c o n f i g 中 ：
接 下 来 就 是 B u r p s u i t 一 把 梭 ， 拦 截 响 应 头 信 息 ， 替 换 c o o k i e 值 ， 放 包 ， 刷 新 页 面 ， 成 功 伪 造 默 认 管 理 员 用 户 登 陆 。 因 此 . N e t 程 序 在 某 些 只 有 任 意 文 件 下 载 的 场 景 下 ， 配 合 w e b . c o n f i g 的 m a c h i n e K e y 或 许 有 新 突 破 。 关 注 我 们 关 注 我 们 一 线 渗 透 测 试 、 红 队 技 术 文 章 有 你 好 看 ！ 一 线 渗 透 测 试 、 红 队 技 术 文 章 有 你 好 看 ！ 往 期 推 荐                                                       Q Q 真 的 会 窃 取 你 的 浏 览 器 记 录 吗 ？                                     [ 渗 透 实 战 ] 第 三 方 组 件 出 奇 迹 ( 日 常 福 利 )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理