搜索

[28559] 2020-09-07_实战渗透-一个怎么够？我全都要！

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-09-07_实战渗透-一个怎么够？我全都要！ 实 战 渗 透   -   一 个 怎 么 够 ？ 我 全 都 要 ！ 远 海   O t s 安 全   2 0 2 0 - 0 9 - 0 7 转 先 知 社 区 转 先 知 社 区   作 者 ： 作 者 ： 远 海 远 海 废 话 废 话 : 因 为 之 前 发 过 了 一 篇 文 章 : 实 战 渗 透 - 从 敏 感 文 件 泄 露 到 G e t s h e l l 内 容 是 通 过 扫 描 备 份 文 件 得 到 文 件 源 代 码 进 行 代 码 审 计 ， 所 以 自 己 打 算 写 一 个 专 门 扫 描 此 类 信 息 的 工 具 。 主 要 是 以 异 步 的 方 式 去 实 现 批 量 扫 描 指 定 目 录 或 文 件 ， 不 过 功 能 比 较 单 一 ， 是 以 响 应 头 里 面 的 C o n t e n — T y p e 做 为 判 断 。 主 要 是 为 了 速 度 。 。 毕 竟 用 的 a i o h t t p , a i o m y s q l 如 : R A R 文 件 :         C o n t e n t - T y p e :   a p p l i c a t i o n / o c t e t - s t r e a m Z I P 文 件 :         C o n t e n t - T y p e :   a p p l i c a t i o n / x - z i p - c o m p r e s s e d 目 前 还 没 有 写 完 。 。 部 分 功 能 均 已 实 现 . 预 计 下 周 会 开 源 到 g i t h u b 上 ， 欢 迎 各 位 体 验 。 同 时 ， 队 里 的 K e m o o n 师 傅 也 写 了 一 个 针 对 信 息 泄 露 的 工 具   ( . s v n , . g i t , . r a r , . z i p ) g i t h u b 地 址 : h t t p s : / / g i t h u b . c o m / l a k e m o o n 6 0 2 / s n a i l 2 . 0 正 文 正 文 : 0 x 0 1 ： ： 在 测 试 程 序 的 期 间 , 对 部 分 网 站 进 行 了 一 些 备 份 文 件 扫 描 ： 扫 描 规 则 如 下 : a s d s . X X X X X X X . c o m       /   a s d s . z i p         | |   a s d s . r a r a b c . X X X X X X X . c o m       /   a b c . z i p         | |   a b c . r a r t e s t . a s d s . X X X X X X X . c o m       /   t e s t . z i p         | |   t e s t . r a r 在 其 中 一 个 站 点 得 到 了 文 件 备 份 。 具 体 格 式 如 下 :
是 一 个 监 测 平 台 的 源 代 码 程 序 ， 分 析 了 内 容 。 具 体 信 息 如 下 : 中 间 件 :   T o m c a t 开 发 框 架 :   S p r i n g   M V C 数 据 库 :   O r a c l e 默 认 账 户 密 码 :   S y s t e m   * * * * 2 0 2 0 在 w e b . x m l 中 可 以 清 楚 的 看 到 程 序 对 一 些 访 问 地 址 进 行 了 登 录 过 滤 ， 除 了 一 些 i m a g e s 和 s c r p i t s ， c s s 目 录 可 以 访 问 ， 其 他 目 录 都 会 重 定 向 / l o g i n . j s p 在 w e b . x m l 中 没 有 发 现 其 它 存 在 敏 感 操 作 的 S e r v l e t 地 址 ， 所 以 ， 当 下 最 重 要 的 事 情 是 解 决 未 登 录 的 问 题 。 由 于 之 前 在 配 置 文 件 中 发 现 了 默 认 账 户 密 码 的 信 息 ， 那 么 还 是 老 方 法 。 收 集 同 系 统 站 点 - 挨 个 挨 个 测 。 f o f a 一 条 龙 服 务 ~ 挨 个 挨 个 站 点 的 测 试 ， 最 终 在 第 五 页 测 出 了 一 个 没 有 修 改 默 认 密 码 的 站 点 。 ( 总 体 看 来 默 认 密 码 的 用 处 不 会 太 大 了 )
权 限 为 系 统 管 理 员 。 。 还 是 蛮 大 的 。 这 里 解 决 了 未 登 录 的 问 题 ， 那 么 接 下 来 就 可 以 想 办 法 g e t s h e l l 了 。 由 于 是 M V C 模 式 ， 直 接 在 代 码 层 中 找 到 C o n t r o l l e r 控 制 器 即 可 。 这 里 直 接 全 局 搜 索 一 波 u p l o a d 还 挺 多 的 ， 开 始 一 个 一 个 分 析 。 由 于 是 S p i r n g   M V C ， 路 由 地 址 会 定 义 在 方 法 上 如 : @ R e q u e s t M a p p i n g ( m e t h o d   =   { R e q u e s t M e t h o d . P O S T } ,   v a l u e   =   { " / t e s t / t e s t } )     注 册 路 由 地 址 为 / t e s t / t e s t   ， 且 只 接 受 P O S T 请 求 随 意 点 开 一 处 包 含 u p l o a d 关 键 词 的 方 法 ， 可 以 看 到 6 0 行 进 行 了 白 名 单 验 证 : 只 允 许 : d o c x , p d f , d o c , x l s , x l s x   后 辍 的 文 件 上 传 这 里 的 验 证 是 直 接 写 在 方 法 体 中 的 ， 所 以 可 以 明 显 看 出 效 验 的 操 作 。 如 果 效 验 是 以 单 独 的 方 法 处 理 的 ， 使 用 J D 可 以 快 速 追 踪 对 应 方 法 ， 进 行 查 看 。
最 终 在 某 处 发 现 了 未 效 验 的 文 件 上 传 操 作 : 主 要 代 码 如 下 : S t r i n g   t y p e   =   m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . s u b s t r i n g ( m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . l a s t I n d e x O f ( " . " ) ) ;                 S t r i n g   O r i g i n a l F i l e n a m e   =   m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . s u b s t r i n g ( 0 ,   m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . l a s t I n d e x O f ( " . " ) ) ;                 S t r i n g   s a v e N a m e   =   S y s t e m . c u r r e n t T i m e M i l l i s ( )   +   t y p e ;                 S t r i n g   s a v e N a m e 2   =   O r i g i n a l F i l e n a m e   +   t y p e ;                 S t r i n g   c o n t e x t P a t h   =   r e q u e s t . g e t S e s s i o n ( ) . g e t S e r v l e t C o n t e x t ( ) . g e t R e a l P a t h ( " / u p l o a d " ) ;                 F i l e   s a v e f i l e   =   n e w   F i l e ( c o n t e x t P a t h   +   " / "   +   s a v e N a m e ) ;                 F i l e   m a t s u p p o r t F i l e   =   n e w   F i l e ( c o n t e x t P a t h ) ;                 i f   ( ! m a t s u p p o r t F i l e . e x i s t s ( ) )                     m a t s u p p o r t F i l e . m k d i r s ( ) ;                   i f   ( ! s a v e f i l e . e x i s t s ( ) )                     s a v e f i l e . c r e a t e N e w F i l e ( ) ; 其 中 t y p e 是 获 取 文 件 后 辍 的 S t r i n g   t y p e   =   m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . s u b s t r i n g ( m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . l a s t I n d e x O f ( " . " ) ) ; O r i g i n a l F i l e n a m e   为 上 传 文 件 名 S t r i n g   O r i g i n a l F i l e n a m e   =   m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . s u b s t r i n g ( 0 ,   m a t U r l . g e t O r i g i n a l F i l e n a m e ( ) . l a s t I n d e x O f ( " . " ) ) ; 那 么 如 果 会 进 行 文 件 效 验 ， 可 以 是 跟 t y p e 进 行 对 比 。 直 接 追 踪 方 法 在 哪 里 使 用 了 t y p e 变 量 即 可
最 终 调 用 的 两 处 都 是 字 符 拼 接 ， s a v e N a m e ， s a v e N a m e 2 . 并 没 有 进 行 任 何 效 验 操 作 。 接 着 往 下 走 这 里 指 定 了 文 件 存 储 目 录 为 u p l o a d S t r i n g   c o n t e x t P a t h   =   r e q u e s t . g e t S e s s i o n ( ) . g e t S e r v l e t C o n t e x t ( ) . g e t R e a l P a t h ( " / u p l o a d " ) ; 后 面 的 就 是 存 储 文 件 的 代 码 了 F i l e   s a v e f i l e   =   n e w   F i l e ( c o n t e x t P a t h   +   " / "   +   s a v e N a m e ) ; / / 最 终 文 件 存 储 名                 F i l e   m a t s u p p o r t F i l e   =   n e w   F i l e ( c o n t e x t P a t h ) ; / / 通 过 将 给 定 路 径 名 字 符 串 转 换 成 抽 象 路 径 名 来 创 建 一 个 新   F i l e   实 例 。                 i f   ( ! m a t s u p p o r t F i l e . e x i s t s ( ) )   / / 如 果 目 录 不 存 在 ， 则 创 建                     m a t s u p p o r t F i l e . m k d i r s ( ) ;                   i f   ( ! s a v e f i l e . e x i s t s ( ) ) / / 如 果 文 件 不 存 在 ， 则 创 建                     s a v e f i l e . c r e a t e N e w F i l e ( ) ;                   m a t U r l . t r a n s f e r T o ( s a v e f i l e ) ; 这 里 要 注 意 :   开 始 的 时 候 定 义 了 两 个 变 量 名 :   s a v e N a m e 和 s a v e N a m e 2 . 最 终 存 储 的 是 s a v e N a m e S t r i n g   s a v e N a m e   =   S y s t e m . c u r r e n t T i m e M i l l i s ( )   +   t y p e ; S y s t e m . c u r r e n t T i m e M i l l i s ( )   = =     n e w   D a t e ( ) s a v e N a m e 是 时 间 转 换 后 的 内 容 + 文 件 后 辍 O K ， 这 样 下 来 这 里 肯 定 是 可 以 直 接 g e t s h e l l 的 。 还 是 老 样 子 。 构 造 P O C : < f o r m   a c t i o n = " 地 址 "   m e t h o d = " p o s t "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a "   >         < i n p u t   t y p e = " f i l e "   n a m e = " F i l e d a t a " / >         < i n p u t   t y p e = " s u b m i t "   v a l u e = " 提 交 " / > < / f o r m > 由 于 过 滤 器 的 问 题 ， 这 里 是 需 要 替 换 下 已 登 录 账 户 的 C o o k i e 的 。 上 传 J S P 代 码 如 下 : < % S t r i n g   n a m e   =   " y u a n h a i " ; % > < h 1 > h e l l o < % = n a m e % > < / h 1 > 得 到 文 件 地 址   并 访 问 :   注 意 ( w e b . x m l 中 并 未 设 置 u p l o a d 无 需 登 录 ， 所 以 访 问 u p l o a d 下 的 文 件 也 需 要 登 录 。 如 果 是 上 传 一 句 话 ， 别 忘 记 设 置 C o o k i e )
成 功 执 行 代 码 ~ 0 x 0 2 由 于 这 个 比 较 鸡 肋 。 所 有 敏 感 操 作 都 需 要 登 录 才 行 。 。 看 着 f o f a 搜 索 结 果 足 足 有 7 9 条 。 。 。 7 9 个 站 点 = 3 x 6 ( 1 8 ) + 7 6 x 3 ( 2 2 8 )   =   2 4 6 分 ， 卧 槽 。 一 波 2 4 6 分 ， 这 谁 经 得 住 诱 惑 。 必 须 干 穿 他 ！ 交 一 个 站 点   =   6 分 ，   交 7 9 个 站 点   =   2 4 6 分 于 是 继 续 审 计 : 由 于 w e b . x m l 的 登 录 过 滤 ， 搞 得 十 分 憋 屈 ， 只 能 死 马 当 活 马 医 。 心 里 想 : " 会 不 会 有 / i m a g e / 或 者 / s c r i p t s / 开 头 的 路 由 地 址 ? " 虽 然 这 个 想 法 不 太 现 实 。 但 也 不 是 没 有 可 能 。 全 局 搜 索 了 下   i m a g e   ,   s c r i p t   ,   c s s   等 w e b . x m l 没 有 限 制 的 路 径 。 不 得 不 说 运 气 十 分 的 好 ！ ！ ！ ！ ！ ！ ！ ！ 在 S S O c o n t r o l l e r 下 面 发 现 一 处 以 / C S S 开 头 的 路 由 地 址 S S O ? ? ?
单 点 登 录 ( S i n g l e S i g n O n ， S S O ) ， 就 是 通 过 用 户 的 一 次 性 鉴 别 登 录 。 当 用 户 在 身 份 认 证 服 务 器 上 登 录 一 次 以 后 ， 即 可 获 得 访 问 单 点 登 录 系 统 中 其 他 关 联 系 统 和 应 用 软 件 的 权 限 ， 同 时 这 种 实 现 是 不 需 要 管 理 员 对 用 户 的 登 录 状 态 或 其 他 信 息 进 行 修 改 的 ， 这 意 味 着 在 多 个 应 用 系 统 中 ， 用 户 只 需 一 次 登 录 就 可 以 访 问 所 有 相 互 信 任 的 应 用 系 统 。 这 种 方 式 减 少 了 由 登 录 产 生 的 时 间 消 耗 ， 辅 助 了 用 户 管 理 ， 是 目 前 比 较 流 行 的 简 单 的 说 ， 就 是 常 见 的 统 一 身 份 认 证 系 统 。 这 个 在 每 个 高 校 基 本 都 有 一 个 。 目 前 主 流 S S O 有 ， 金 智 ， 联 亦 ， 正 方 。 等 等 一 般 来 说 ， S S O 是 通 过 t i c k e t 来 进 行 身 份 效 验 ， 这 个 一 般 可 以 逆 向 解 码 出 来 。 但 是 看 了 下 这 个 认 证 逻 辑 : 挨 个 分 析 : 先 看 第 一 层 i f 获 取 请 求 头 里 的 R e f e r e r S t r i n g   r e f e r e r   =   r e q u e s t . g e t H e a d e r ( " R E F E R E R " ) ; i f   ( t h i s . u r l I P   = =   n u l l )   / / 如 果 u r l i p 为 n u l l 。                 t h i s . u r l I P   =   S y s D a t a C a c h e . g e t P a r a m V a l u e ( " u r l I P " ) ;                 i f   ( t h i s . u r l D o m a i n   = =   n u l l )   / / u r l I P ， u r l D o m a i n   这 个 无 法 在 请 求 头 里 定 义 。 是 从 系 统 配 置 里 获 取                 t h i s . u r l D o m a i n   =   S y s D a t a C a c h e . g e t P a r a m V a l u e ( " u r l D o m a i n " ) ; 第 二 次 i f i f   ( r e f e r e r   ! =   n u l l )   {   / / 如 果 r e f e r e r 不 为 空 。 那 么 执 行 下 面 的                 i f   ( ( t h i s . u r l I P . l e n g t h ( )   >   0   | |   t h i s . u r l D o m a i n . l e n g t h ( )   >   0 )   & &                       r e f e r e r . i n d e x O f ( t h i s . u r l I P )   ! =   0   & &   r e f e r e r . i n d e x O f ( t h i s . u r l D o m a i n )   ! =   0 )   {                     S y s t e m . o u t . p r i n t l n ( " R E F E R E R : "   +   r e f e r e r ) ;                     S y s t e m . o u t . p r i n t l n ( " u r l I P : "   +   t h i s . u r l I P ) ;                     S y s t e m . o u t . p r i n t l n ( " u r l D o m a i n : "   +   t h i s . u r l D o m a i n ) ;                     r e q u e s t . s e t A t t r i b u t e ( " m s g " ,   " ) ;                     r e q u e s t . g e t R e q u e s t D i s p a t c h e r ( " / e r r o r . j s p " ) . f o r w a r d ( ( S e r v l e t R e q u e s t ) r e q u e s t ,   ( S e r v l e t R e s p o n s e ) r e s p o n s e ) ;                     r e t u r n   m a v ;                 }             }   e l s e   {   / / 当 r e f e r e r 为 空 时 。 跳 转 到 / e r r o r . j s p                 S y s t e m . o u t . p r i n t l n ( " R E F E R E R : "   +   r e f e r e r ) ;                 S y s t e m . o u t . p r i n t l n ( " u r l I P : "   +   t h i s . u r l I P ) ;                 S y s t e m . o u t . p r i n t l n ( " u r l D o m a i n : "   +   t h i s . u r l D o m a i n ) ;                 r e q u e s t . s e t A t t r i b u t e ( " m s g " ,   " ) ;                 r e q u e s t . g e t R e q u e s t D i s p a t c h e r ( " / e r r o r . j s p " ) . f o r w a r d ( ( S e r v l e t R e q u e s t ) r e q u e s t ,   ( S e r v l e t R e s p o n s e ) r e s p o n s e ) ;                 r e t u r n   m a v ;             } 主 要 的 是
i f   ( ( t h i s . u r l I P . l e n g t h ( )   >   0   | |   t h i s . u r l D o m a i n . l e n g t h ( )   >   0 )   & &                       r e f e r e r . i n d e x O f ( t h i s . u r l I P )   ! =   0   & &   r e f e r e r . i n d e x O f ( t h i s . u r l D o m a i n )   ! =   0 ) 这 里 是 判 断 u r l I P 和 u r l D o m a i n 的 长 度 的 。 这 个 我 们 没 法 定 义 ， 是 从 系 统 配 置 里 获 取 。 可 以 不 用 管 。 只 需 要 在 请 求 头 里 添 加 属 性 r e f e r e r 就 可 以 。 那 么 这 层 逻 辑 满 足 。 往 下 走 。 i f   ( " a d m i n " . e q u a l s ( x x x ) )   {   / / x x x 为 接 受 参 数 。 这 里 把 接 受 参 数 和 a d m i n 进 行 对 比 。 也 就 是 说 不 能 登 录 a d m i n 账 户                 r e q u e s t . s e t A t t r i b u t e ( " m s g " ,   " ) ;                 r e q u e s t . g e t R e q u e s t D i s p a t c h e r ( " / e r r o r . j s p " ) . f o r w a r d ( ( S e r v l e t R e q u e s t ) r e q u e s t ,   ( S e r v l e t R e s p o n s e ) r e s p o n s e ) ;                 r e t u r n   m a v ;             }             S y s t e m . o u t . p r i n t ( " +   x x x ) ;             U s e r   d b U s e r   =   t h i s . u s e r S e r v i c e . g e t U s e r B y U s e r I D ( x x x ) ;             i f   ( d b U s e r   = =   n u l l )   {                 m a v . a d d O b j e c t ( " m s g " ,   " +   x x x   +   " ) ) ;                 m a v . s e t V i e w N a m e ( " / e r r o r " ) ;             }   e l s e   i f   ( d b U s e r . g e t L o c k e d ( ) . i n t V a l u e ( )   = =   1 )   {                 m a v . a d d O b j e c t ( " m s g " ,   " +   x x x   +   " ) ) ;                 m a v . s e t V i e w N a m e ( " / e r r o r " ) ;             }   e l s e   {                 m a v   =   t h i s . u s e r L o g i n C o n t r o l l e r . l o g i n ( r e q u e s t ,   d b U s e r ,   " 1 " ) ;                 M a p   t m p   =   m a v . g e t M o d e l ( ) ;                 S t r i n g   f o r w a r d U R L   =   ( t m p . g e t ( " f o r w a r d U R L " )   = =   n u l l )   ?   " "   :   t m p . g e t ( " f o r w a r d U R L " ) . t o S t r i n g ( ) ;                 S y s t e m . o u t . p r i n t ( f o r w a r d U R L ) ;                 r e t u r n   n e w   M o d e l A n d V i e w ( " f o r w a r d : "   +   f o r w a r d U R L   +   " " ) ;             } 主 要 的 是 U s e r   d b U s e r   =   t h i s . u s e r S e r v i c e . g e t U s e r B y U s e r I D ( x x x ) ; 这 里 的 g e t U s e r B y U s e r I D 。 看 一 下 后 端 是 根 据 什 么 查 询 。 这 里 看 了 下   u s e r i d   就 是 账 户 名 ： 也 就 是 说 : U s e r   d b U s e r   =   t h i s . u s e r S e r v i c e . g e t U s e r B y U s e r I D ( x x x ) ;             i f   ( d b U s e r   = =   n u l l )   {                 m a v . a d d O b j e c t ( " m s g " ,   " +   x x x   +   " ) ) ;                 m a v . s e t V i e w N a m e ( " / e r r o r " ) ;             }   e l s e   i f   ( d b U s e r . g e t L o c k e d ( ) . i n t V a l u e ( )   = =   1 )   {                 m a v . a d d O b j e c t ( " m s g " ,   " +   x x x   +   " ) ) ;                 m a v . s e t V i e w N a m e ( " / e r r o r " ) ;             }   e l s e   { 当 传 入 账 户 存 在 ， 且 不 为 a d m i n ， 且 不 被 锁 定 。 那 么 可 以 直 接 登 录 。 下 面 这 段 代 码 直 接 证 实 了 猜 想 。
}   e l s e   {                 m a v   =   t h i s . u s e r L o g i n C o n t r o l l e r . l o g i n ( r e q u e s t ,   d b U s e r ,   " 1 " ) ;                 M a p   t m p   =   m a v . g e t M o d e l ( ) ;                 S t r i n g   f o r w a r d U R L   =   ( t m p . g e t ( " f o r w a r d U R L " )   = =   n u l l )   ?   " "   :   t m p . g e t ( " f o r w a r d U R L " ) . t o S t r i n g ( ) ;                 S y s t e m . o u t . p r i n t ( f o r w a r d U R L ) ;                 r e t u r n   n e w   M o d e l A n d V i e w ( " f o r w a r d : "   +   f o r w a r d U R L   +   " " ) ;             } 调 用 了 u s e r L o g i n C o n t r o l l e r . l o g i n   直 接 传 入 d b U s e r 。 执 行 登 录 操 作 。 那 么 实 践 这 里 可 以 直 接 爆 破 用 户 成 功 登 录 那 么 集 合 之 前 的 文 件 上 传 。 。 。 。 。 美 滋 滋
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理