搜索

[27374] 2018-12-21_OWASPJuiceShop靶场三星难度writeup

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-19
2018-12-21_OWASPJuiceShop靶场三星难度writeup O W A S P   J u i c e   S h o p 靶 场 三 星 难 度 w r i t e u p 原 创   n e v e r s e c   N e v e r S e c   2 0 1 8 - 1 2 - 2 1 前 言 本 w r i t e u p 所 有 题 目 基 于 O W A S P   J u i c e   s h o p   V 7 . 0 . 2 ， 靶 场 更 新 较 快 ， 后 续 有 新 的 题 目 会 接 着 更 新 。 本 版 本 靶 场 三 星 难 度 题 目 如 下 ： B l o c k c h a i n   T i e r   1   区 块 链 第 一 关 F o r g e d   F e e d b a c k   伪 造 反 馈 F o r g o t t e n   S a l e s   B a c k u p   被 遗 忘 的 销 售 备 份 L o g i n   B e n d e r   登 录 B e n d e r L o g i n   J i m   登 录 J i m P a y b a c k   T i m e   投 资 回 收 期 P r o d u c t   T a m p e r i n g   商 品 篡 改 R e s e t   J i m ' s   P a s s w o r d   重 置 J i m 的 密 码 U p l o a d   S i z e   &   U p l o a d   T y p e X S S   T i e r   2   X S S 第 二 关 X S S   T i e r   3   X S S 第 三 关 X X E   T i e r   1   X X E 第 一 关 点 此 看 环 境 搭 建 和 一 星 难 度 w p 点 此 看 二 星 难 度 w p 三 星 难 度 B l o c k c h a i n   T i e r   1   区 块 链 第 一 关 L e a r n   a b o u t   t h e   T o k e n   S a l e   b e f o r e   i t s   o f f i c i a l   a n n o u n c e m e n t .   在 官 方 宣 布 前 了 解 一 下 T o k e n 销 售 看 到 题 目 一 怔 ， 是 跟 区 块 链 比 特 币 有 关 呢 ， 仔 细 看 了 几 遍 h i n t 。 。 这 个 题 目 暂 时 搁 置 了 一 会 儿 。 后 续 在 做 其 他 题 目 的 时 候 看 到 了   h t t p : / / 1 9 2 . 1 6 8 . 2 0 9 . 1 4 6 : 3 0 0 1 / d i s t / j u i c e - s h o p . m i n . j s   这 个 j s 文 件 ， 搜 索 发 现 里 面 存 在 题 干 关 键 的 这 个 词 。 关 键 代 码 如 下 ： 粘 贴 这 段 代 码 到 控 制 台 运 行 一 波 访 问 这 个 地 址 就 完 成 题 目 了 ， 这 道 题 的 意 思 应 该 是 掩 饰 了 一 下 地 址 吧 ， 没 太 懂 这 个 地 址 里 面 有 一 些 关 于 区 块 链 I C O 白 皮 书 之 类 的 东 西 ， 看 到 这 个 调 侃 笑 死 我 了 哈 哈 哈 t o k e n T o k e n S a l e
F o r g e d   F e e d b a c k   伪 造 反 馈 P o s t   s o m e   f e e d b a c k   i n   a n o t h e r   u s e r s   n a m e .   用 其 他 人 的 用 户 提 交 反 馈 在 h t t p : / / 1 9 2 . 1 6 8 . 2 0 9 . 1 4 6 : 3 0 0 1 / # / c o n t a c t 中 提 交 评 价 的 时 候 抓 包 改 包 ， 将 改 成 其 它 即 可 。 F o r g o t t e n   S a l e s   B a c k u p   被 遗 忘 的 销 售 备 份 A c c e s s   a   s a l e s m a n ' s   f o r g o t t e n   b a c k u p   f i l e .   进 入 到 售 货 员 遗 忘 的 备 份 文 件 在 第 一 关 的 题 目 中 找 到 了 一 个 f t p 目 录 ， 并 且 该 目 录 限 定 了 只 能 查 看   m d   和   p d f   后 缀 的 文 件 ， 在 这 里 可 以 使 用 % 0 0 截 断 判 断 下 载 文 件 。 其 他 文 件 同 理 。 L o g i n   B e n d e r   登 录 B e n d e r L o g   i n   w i t h   B e n d e r ' s   u s e r   a c c o u n t . 利 用 S Q L 注 入 即 可 ， p a y l o a d   为 ， 修 改 l i m i t 的 序 列 即 可 L o g i n   J i m   登 录 J i m L o g   i n   w i t h   J i m ' s   u s e r   a c c o u n t . 同 上 P a y b a c k   T i m e   投 资 回 收 期 P l a c e   a n   o r d e r   t h a t   m a k e s   y o u   r i c h .   下 一 个 令 你 富 有 的 订 单 。 商 品 加 车 漏 洞 。 添 加 购 物 车 的 时 候 抓 包 ， 修 改 P O S T 数 据 U s e r I d C o n f i d e n t i a l D o c u m e n t 机 密 文 件 e m a i l " : " '   o r   1 = 1   l i m i t   5 , 1   - - " , " p a s s w o r d " : " 1 2 3 { " P r o d u c t I d " : 8 , " B a s k e t I d " : " 1 0 " , " q u a n t i t y " : 1 }
中 的 q u a n t i t y 为 负 数 ， 加 车 后 结 账 金 额 为 负 数 。 P r o d u c t   T a m p e r i n g   商 品 篡 改 C h a n g e   t h e   h r e f   o f   t h e   l i n k   w i t h i n   t h e   O W A S P   S S L   A d v a n c e d   F o r e n s i c   T o o l   ( O - S a f t )   p r o d u c t   d e s c r i p t i o n   i n t o   h t t p : / / k i m m i n i c h . d e .   将 o w a s p   s s l 高 级 取 证 工 具 （ o - s a f t ） 产 品 描 述 中 的 链 接 的 h r e f 更 改 为 h t t p : / / k i m m i n i c h . d e 。 要 改 产 品 描 述 。 访 问 首 页 ， 点 击 一 个 商 品 ， 在 C h r o m e 里 面 选 择 X H R 请 求 ， 有 几 个 个 A P I 接 口 ， 其 中 有 一 个 包 含 描 述 信 息 的 链 接 如 下 h t t p : / / 1 9 2 . 1 6 8 . 2 0 9 . 1 4 6 : 3 0 0 1 / a p i / P r o d u c t s / 1 ? d = F r i % 2 0 A p r % 2 0 2 0 % 2 0 2 0 1 8   d 后 面 跟 的 是 时 间 参 数 ， 不 加 的 话 好 像 是 返 回 最 新 修 改 日 期 如 果 A P I 接 口 使 用 了 P U T 或 者 D E L E T E 这 些 危 险 的 H T T P 方 法 的 话 ， 数 据 就 很 容 易 被 修 改 。 这 里 试 了 一 下 P U T 请 求 ， 结 果 是 可 以 搞 定 的 。 使 用 火 狐 插 件   R E S T c l i e n t   ， 记 得 加 H T T P 头 指 定 类 型 为   j s o n   ， 注 意 要 使 用 而 不 能 是 所 以 最 后 的 p a y l o a d 为 { " d e s c r i p t i o n " : " T E S T " } { " d a t a " : { " d e s c r i p t i o n " : " T E S T " } } { " d e s c r i p t i o n " : " < a   h r e f = " h t t p : / / k i m m i n i c h . d e " > < / a > " }
R e s e t   J i m ' s   P a s s w o r d   重 置 J i m 的 密 码 R e s e t   J i m ' s   p a s s w o r d   v i a   t h e   F o r g o t   P a s s w o r d   m e c h a n i s m   w i t h   t h e   o r i g i n a l   a n s w e r   t o   h i s   s e c u r i t y   q u e s t i o n .   通 过 忘 记 密 码 来 重 置 J i m 的 密 码 ， 要 求 回 答 他 的 安 全 问 题 首 先 通 过 登 陆 的 S Q L 注 入 搞 到 邮 箱 号 ，   j i m @ j u i c e - s h . o p 。 问 的 安 全 问 题 是 ， 这 道 题 没 法 儿 社 工 啊 。 这 道 题 懵 逼 了 ， 查 了 别 人 的 解 题 说 是 美 国 的 社 工 ？ 提 到 J I M 会 想 起   J a m e s   T .   K i r k   ？ 反 正 我 搜 J I M 只 能 搜 到   J i m   P a r s o n s   (   S h e l d o n   扮 演 者 2 3 3 ) 所 以 正 确 的 解 答 路 径 是 1 .   想 到   J a m e s _ T . _ K i r k   ， 到 W i k i 上 搜 他 h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / J a m e s _ T . _ K i r k 2 .   上 面 写 着 J i m 有 个 B r o t h e r 叫   G e o r g e   S a m u e l   K i r k 3 .   所 以 安 全 问 题 的 答 案 就 是   S a m u e l 4 .   重 置 密 码 ， 收 工 。 U p l o a d   S i z e   &   U p l o a d   T y p e U p l o a d   a   f i l e   l a r g e r   t h a n   1 0 0   k B . U p l o a d   a   f i l e   t h a t   h a s   n o   . p d f   e x t e n s i o n .   上 传 一 个 文 件 大 于 1 0 0 k b ， 上 传 一 个 文 件 不 用 p d f 扩 展 名 两 道 题 在 一 块 儿 写 。 文 件 上 传 跟 前 面 说 到 的 上 传 X M L 是 同 一 个 点 ， 位 于 投 诉 页 面 。 尝 试 提 交 ， 查 看 X H R 请 求 ， 很 明 显 有 个 接 口   h t t p : / / 1 9 2 . 1 6 8 . 2 0 9 . 1 4 6 : 3 0 0 1 / f i l e - u p l o a d   是 用 于 文 件 上 传 的 。 此 处 先 用 b u r p 截 断 ， 点 击 上 传 ， 提 示 b u r p 处 没 有 收 到 请 求 ， 说 明 是 前 端 校 验 ， 因 此 用 改 包 、 写 脚 本 等 方 法 直 接 p o s t 到 上 传 接 口 处 即 可 。 扩 展 名 绕 过 可 以 用 截 断 ， 也 可 以 用 如 上 的 方 法 。 X S S   T i e r   2   X S S 第 二 关 P e r f o r m   a   p e r s i s t e d   X S S   a t t a c k   w i t h   b y p a s s i n g   a   c l i e n t - s i d e   s e c u r i t y   m e c h a n i s m .   绕 过 客 户 端 安 全 机 制 执 行 存 储 型   X S S 攻 击 。 x s s 的 输 入 点 其 实 不 多 ， 但 是 最 容 易 想 到 的 是 用 户 名 ， 注 册 一 个 用 户 。 改 包 修 改 邮 箱 为 x s s 语 句 这 个 x s s 能 在 管 理 员 页 面 弹 出   h t t p : / / 1 9 2 . 1 6 8 . 2 0 9 . 1 4 6 : 3 0 0 1 / # / a d m i n i s t r a t i o n   ， 商 品 评 论 绕 过 不 了 ， 无 法 x s s 。 X S S   T i e r   3   X S S 第 三 关 P e r f o r m   a   p e r s i s t e d   X S S   a t t a c k   w i t h   w i t h o u t   u s i n g   t h e   f r o n t e n d   a p p l i c a t i o n   a t   a l l .   执 行 存 储 型   X S S 攻 击 ， 根 本 不 使 用 前 端 应 用 程 序 。 前 文 我 们 说 道 发 现 了 一 个 A P I 接 口 h t t p : / / 1 9 2 . 1 6 8 . 2 0 9 . 1 4 6 : 3 0 0 1 / a p i / P r o d u c t s / 9 ， 并 且 这 里 可 以 修 改 描 述 信 息 ， 这 里 存 在 一 个 存 储 型 的 x s s 。 使 用   p a y l o a d 就 阔 以 了 ， 然 而 计 分 板 没 有 显 示 我 完 成 x s s 。 后 来 发 现   a p i / P r o d u c t s   接 口 可 以 P O S T ， 这 里 P O S T 一 个 新 的 商 品 也 是 可 以 X S S 攻 击 的 。 注 意 需 要 用 管 理 员 的   A u t h o r i z a t i o n   进 行 验 证 ， 否 则 会 报 4 0 1 错 误 。 { " e m a i l " : " '   o r   1 = 1   l i m i t   1 , 1   - - " , " p a s s w o r d " : " 1 2 3 " } Y o u r e l d e s t   s i b l i n g s   m i d d l e   n a m e ? % 2 5 0 0 p h p { " e m a i l " : " < s c r i p t > a l e r t ( " x s s 3 " ) < / s c r i p t > " , " p a s s w o r d " : " 1 2 3 1 2 3 " , " p a s s w o r d R e p e a t " : " 1 2 3 1 2 3 " , " s e c u r i t y Q u e s t i o n " : { " i d " : 1 , " q u e s t i o n " : " Y o u r   e l d e s t   s i b l i n g s   m i d d l e   n a m e ? < s c r i p t > a l e r t ( / x s s / ) < s c r i p t > " { " d e s c r i p t i o n " : " < s c r i p t > a l e r t ( " x s s " ) < / s c r i p t > " }
X X E   T i e r   1   X X E 第 一 关 R e t r i e v e   t h e   c o n t e n t   o f   C : W i n d o w s s y s t e m . i n i   o r   / e t c / p a s s w d   f r o m   t h e   s e r v e r .   用 X X E 攻 击 搞 到 服 务 器 的 / e t c / p a s s w d 构 造 x m l 文 件 如 下 上 传 到 投 诉 页 面 的 上 传 点 就 过 了 ， 不 过 暂 时 不 知 道 输 出 点 哪 儿 u p d a t e :   使 用 d o c k e r 搭 建 时 ， X X E 的 关 卡 都 不 可 用 x m l   v e r s i o n = " 1 . 0 "   e n c o d i n g = " u t f - 8 " ? >   < ! E N T I T Y   x x e   S Y S T E M   " f i l e : / / / e t c / p a s s w d "   > ] > < r o o t > < n a m e > & x x e ; < / n a m e > < / r o o t >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理