搜索

[292] 2019-04-07_BurpCollaborator使用总结

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2019-04-07_BurpCollaborator使用总结 B u r p   C o l l a b o r a t o r   使 用 总 结 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 4 - 0 7 0 x 0 0 ： 使 用 原 因 ： 使 用 原 因 我 们 在 做 渗 透 测 试 的 时 候 ， 经 常 会 遇 到 这 种 情 况 ， 测 试 跨 站 可 能 有 些 功 能 插 入 恶 意 脚 本 后 无 法 立 即 触 发 ， 例 如 提 交 反 馈 表 单 ， 需 要 等 管 理 员 打 开 查 看 提 交 信 息 时 才 会 触 发 ， 或 者 是 盲 注 跨 站 ， 盲 打   X S S   这 种 。 再 例 如   S S R F ， 如 果 程 序 不 进 行 回 显 任 何 信 息 ， 而 只 提 示 你 输 入 的 是 否 合 法 ， 那 么 也 无 法 直 接 判 断 程 序 存 在   S S R F   漏 洞 ， 我 们 可 以 叫 盲   S S R F 。 再 例 如   X X E ， 引 入 外 部 文 件 时 ， 如 果 程 序 也 不 返 回 任 何 信 息 和 引 用 文 件 的 内 容 ， 而 只 提 示 输 入 的 是 否 有 误 ， 那 么 也 无 法 直 接 判 断 程 序 是 否 存 在   X X E   漏 洞 ， 我 们 也 可 以 叫 盲   X X E 。 总 之 ， 程 序 不 进 行 详 细 的 回 显 信 息 ， 而 只 是 返 回 对 或 者 错 时 ， 我 们 都 可 以 叫 它 盲 。 解 决 办 法 是 ， 我 们 需 要 一 个 外 部 的 独 立 的 服 务 器 ， 可 以 通 过 域 名   u r l   进 行 访 问 。 然 后 在 测 试 盲 跨 站 插 入 恶 意 脚 本 时 带 上 这 个 服 务 器 的 地 址 ， 在 测 试 盲   S S R F   时 读 取 的 文 件   u r l   写 我 们 这 个 服 务 器 的 地 址 ， 在 测 试 盲   X X E   时 引 入 的 外 部 实 体 地 址 也 写 我 们 这 个 服 务 器 的 地 址 。 如 果 存 在 上 述 的 这 些 问 题 ， 那 么 目 标 服 务 器 就 会 去 访 问 我 们 自 己 的 服 务 器 ， 我 们 自 己 服 务 器 要 做 的 就 是 记 录 别 人 访 问 自 己 的 信 息 ， 记 录 其 发 送 内 容 相 应 内 容 等 ， 因 为 目 标 服 务 器 不 会 给 前 台 返 回 任 何 信 息 ， 而 在 和 我 们 外 部 服 务 器 交 互 时 ， 我 们 外 部 服 务 器 会 记 录 其 交 互 的 过 程 和 内 容 ， 从 而 有 利 于 我 们 判 断 漏 洞 的 存 在 。 明 白 原 理 后 ， B u r p   给 我 们 提 供 了 这 个 外 部 服 务 器 ， 叫   C o l l a b o r a t o r ， 对 于   C o l l a b o r a t o r   服 务 器 ， 我 们 有 两 种 使 用 方 式 ， 第 一 个 是 使 用   b u r p   官 方 提 供 的 ， 第 二 个 是 自 己 搭 建 。 本 文 章 记 录   b u r p   官 方 提 供 的 使 用 方 法 ， 至 于 自 己 搭 建 如 果 大 家 感 兴 趣 可 以 在 网 上 搜 索 相 关 的 教 程 内 容 。
0 x 0 1 ： ： C o l l a b o r a t o r   介 绍 介 绍 对 于   C o l l a b o r a t o r   服 务 器 ， 我 们 这 里 简 单 介 绍 下 它 应 该 拥 有 哪 些 功 能 。 首 先 它 要 能 捕 捉 到   b u r p   发 出 的   p a y l o a d   触 发 目 标 与 外 部 系 统 发 生 数 据 的 交 互 行 为 ， 其 次 它 自 己 与 目 标 产 生 交 互 的 数 据 要 能 够 返 回 到   b u r p ， 也 就 是 返 回 给 攻 击 者 ， 也 就 是 我 们 。 对 于   C o l l a b o r a t o r   服 务 器 ， 我 们 这 里 再 简 单 的 介 绍 下 它 应 该 有 哪 些 服 务 ， 首 先 它 是 公 网   i p ， 其 次 它 要 有 自 己 的 域 名 ， 并 且 这 个 服 务 器 要 注 册 为 该 域 名 的 权 威   d n s   服 务 器 。 然 后 这 个 服 务 器 要 提 供   d n s   服 务 ， 并 且 可 以 相 应 任 何 对 它 的   d n s   请 求 。 最 后 它 需 要 提 供   h t t p   和   h t t p s   服 务 ， 且 需 要 使 用 一 个 有 效 的   s s l   证 书 。 对 于 为 什 么 要 提 供   d n s   和   h t t p 、 h t t p s   服 务 很 好 理 解 ， p a y l o a d   如 果 可 以 执 行 或 者 可 以 允 许 远 程 加 载 ， 那 么 就 需 要 用   d n s   来 解 析 我 们 的 域 名 ， 而 产 生 的 交 互 则 需 要   h t t p   和   h t t p s   来 提 供 。 0 x 0 2 ： ： C o l l a b o r a t o r   原 理 原 理 我 们 知 道 了 使 用 原 因 和 其 具 有 的 功 能 后 ， 我 们 再 来 简 单 看 下 它 的 原 理 ， 首 先 ， 我 们 先 来 看 下 平 时 的 测 试 过 程 ， 如 下 图 。 平 时 测 试 时 ， 我 们 会 像 服 务 器 提 交 一 个   p a y l o a d ， 而 服 务 器 响 应 给 我 们 相 关 的   r e s p o n s e   信 息 。 大 家 都 叫 它 带 内 攻 击 ， 这 些 理 论 的 东 西 ， 我 们 简 单 理 解 就 好 ， 这 里 我 们 就 理 解 成 单 挑 通 信 的 通 道 为 带 内 攻 击 ， 也 就 是 整 个 测 试 过 程 或 者 说 是 交 互 过 程 ， 中 间 没 有 其 外 部 的 服 务 器 参 与 ， 只 有 自 己 和 目 标 服 务 器 ， 那 么 就 叫 带 内 。 而 我 们 一 般 的 测 试 如 果 称 为 带 内 攻 击 ， 那 么 C o l l a b o r a t o r   服 务 器 用 来 测 试 盲 的 各 种 漏 洞 的 话 ， 则 需 要 我 们 外 部 的 独 立 服 务 器 参 数 ， 也 就 是 带 入 了 外 部 的 服 务 器 ， 我 们 叫 它 带 外 攻 击 。 这 里 简 单 的 提 了 一 下 这 个 带 内 和 带 外 ， 我 们 只 要 理 解 其 过 程 即 可 。 带 外 流 程 图 如 下 。 以 上 就 是   c o l l a b o r a t o r ， 也 就 是 带 外 攻 击 的 大 体 流 程 ， 其 实 就 是 在 测 试 的 过 程 中 目 标 服 务 器 和 外 部 的 服 务 器 有 了 交 互 ， 下 面 再 来 看 一 张 更 详 细 的 图 。
上 面 这 个 图 可 以 大 体 的 代 表   c o l l a b o r a t o r   的 大 体 工 作 流 程 ， 首 先   b u r p   发 送   p a y l o a d   给 目 标 程 序 ， 以 上 图 为 例 ， p a r a m   存 在 漏 洞 注 入 点 ， 其   p a y l o a d   为 外 部 的 服 务 器   u r l   地 址 ， 随 后 目 标 程 序 若 进 行 解 析 或 则 引 用 调 用 等 ， 则 会 去 访 问 这 个 地 址 ， 而 这 个 地 址 是 我 们 的   c o l l a b o r a t o r   服 务 器 ， 所 以   c o l l a b o r a t o r   会 记 录 其 访 问 的 请 求 信 息 以 及 响 应 信 息 和   d n s   的 信 息 。 而 当   b u r p   发 送 p a y l o a d   后 ， 就 会 不 断 的 去 问   c o l l a b o r a t o r   服 务 器 ， 你 收 到 我 发 送 的   p a y l o a d   交 互 了 么 ， 这 时   c o l l a b o r a t o r   就 会 将 交 互 信 息 告 诉 b u r p ， b u r p   最 后 进 行 报 告 。 以 上 就 是   c o l l a b o r a t o r   的 大 体 工 作 流 程 ， 最 后 我 们 再 说 两 个 理 论 性 的 东 西 ， 一 个 是   b u r p   的   c o l l a b o r a t o r   地 址 ， 当 使 用   b u r p   的 c o l l a b o r a t o r   时 ， b u r p   会 提 供 一 个   u r l   地 址 ， 这 个 地 址 是   b u r p   的 一 个 二 级 域 名 。 第 二 个 是 轮 询 ， 也 就 是 我 们 上 面 提 到 的 ， b u r p 发 送   p a y l o a d   后 会 不 断 的 问   c o l l a b o r a t o r   是 否 收 到 我 发 生 的   p a y l o a d   交 互 信 息 ， 例 如   1 0 s   问 一 次 ， 我 们 可 以 叫 它 轮 询 ， 其 实 叫 什 么 无 所 谓 ， 我 们 理 解 这 个 过 程 即 可 。 0 x 0 3 ： ： C o l l a b o r a t o r   使 用 使 用 对 于   b u r p   的   c o l l a b o r a t o r ， 好 像 是   1 . 7   几 以 后 自 带 ， 我 这 里 没 有 ， 所 以 是 通 过 安 装 插 件 来 实 现 的 ， 直 接 到   b u r p   的   e x t e n d e r   下 的   b a p p   s t o r e   找 到   C o l l a b o r a t o r   安 装 即 可 。 安 装 后 ， 首 先 需 要 设 置 下 我 们 使 用 的 服 务 器 是 官 方 默 认 提 供 的 ， 在   p r o j e c t   o p t i o n s - m i s c - b u r p   c o l l a b o r a t o r   s e r v e r   下 ， 选 择 第 一 个 默 认 官 方 服 务 即 可 ， 第 二 个 是 关 闭   c o l l a b o r a t o r ， 第 三 个 是 使 用 自 己 的 服 务 器 。 如 下 图 。
设 置 好 后 ， 我 们 可 以 通 过 工 具 栏 的   b u r p   下 的   b u r p   c o l l a b o r a t o r   c l i e n t   来 运 行 ， 如 下 图 。 打 开   c o l l a b o r a t o r   插 件 后 ， 点 击   c o p y   t o   c l i p b o a r d   来 复 制 其 提 供 的   p a y l o a d   u r l ， 如 下 图 。
n u m b e r   t o   g e n e r a t e   是 生 成 的 数 量 ， 下 面 的   p o l l   n o w   按 钮 是 轮 询 时 间 ， 点 击   c o p y   t o   c l i p b o a r d   复 制 其 提 供 的   p a y l o a d   u r l   后 ， 就 可 以 直 接 在 要 测 试 的 点 粘 贴 即 可 ， 如 果 目 标 服 务 器 有 交 互 ， 则   c o l l a b o r a t o r   会 有 响 应 信 息 。 且 这 个   p a y l o a d   u r l   每 次 复 制 其 二 级 域 名 都 会 随 机 生 成 。 0 x 0 4 ： 盲 ： 盲   X X E   测 试 测 试 我 这 里 没 有 找 到 盲 的   X X E   漏 洞 示 例 ， 所 以 就 拿   b w a p p   的   x x e   做 演 示 了 ， b w a p p   的   x x e   是 有 回 显 信 息 的 ， 我 们 先 来 看 下 它 的 原 始 请 求 包 。 原 始 请 求 发 送 的   x m l   内 容 ， 其   l o g i n   的 名 称 会 进 行 回 显 ， 这 里 我 们 把 它 当 作 没 有 任 何 回 显 信 息 ， 只 返 回   t r u e   和   f a l s e   的 话 ， 我 们 用   c o l l a b o r a t o r   来 进 行 测 试 ， 首 先 修 改   x m l   的 内 容 ， 加 入 一 个 变 量 值 为 外 部 的 服 务 器   u r l ， 然 后 进 行 发 送 ， 这 时   c o l l a b o r a t o r 会 不 断 轮 询 去 问 交 互 结 果 ， 而 结 果 会 在   c o l l a b o r a t o r   中 进 行 显 示 ， 如 下 图 。
上 图 画 绿 线 的 就 是   c o l l a b o r a t o r   提 供 的   p a y l o a d   u r l ， 我 们 在 原 始 的 内 容 上 加 入 了   e n t i t y   实 体 变 量   t e s t ， 值 为   p a y l o a d   u r l ， 这 时   g o 发 送 后 ， c o l l a b o r a t o r   捕 获 的 交 互 信 息 如 下 。 上 图 是   r e q u e s t   的 内 容 ， h o s t   的 是 我 们 的   p a y l o a d   u r l ， 请 求 后 ， 我 们 再 切 换 到   r e s p o n s e   栏 查 看 ， 内 容 如 下 图 。
p a y l o a d   u r l   请 求 会 返 回 一 串 随 机 内 容 ， 我 们 可 以 看 到 已 经 成 功 的 进 行 了 响 应 ， 说 明 目 标 服 务 器 进 行 了 外 部 的 请 求 和 交 互 ， 那 么 对 于 盲   x x e   来 说 ， 我 们 可 以 证 明 存 在 此 问 题 。 0 x 0 5 ： 盲 ： 盲   S S R F   测 试 测 试 S S R F   在 加 载 外 部 文 件 时 ， 若 没 有 进 行 严 格 过 滤 ， 则 可 导 致 任 意 文 件 加 载 ， 若 加 载 文 件 而 不 反 悔 文 件 的 内 容 ， 也 不 反 悔 任 何 详 细 的 信 息 ， 那 么 对 于 这 种 盲   S S R F ， 我 们 也 可 以 用   c o l l a b o r a t o r   进 行 测 试 ， 只 要 加 载 的 请 求 替 换 成 我 们 的   p a y l o a d   u r l   即 可 。 这 里 还 以   b w a p p   的   S S R F   为 例 ， b w a p p   的   S S R F   也 是 有 回 显 信 息 的 ， 我 们 还 把 它 当 成 没 有 任 何 提 示 的 盲 来 进 行 演 示 。 首 先 还 是 先 来 看 下 原 始 的 请 求 数 据 包 ， 内 容 如 下 图 。 对 于   u r l   中 的   l a n g u a g e   字 段 引 用 的 文 件 名 称 ， 可 以 随 意 进 行 替 换 ， 也 算 作 是 文 件 包 含 问 题 ， 我 们 把 他 换 成   p a y l o a d   u r l   后 进 行 提 交 ， 此 时   c o l l a b o r a t o r   会 显 示 出 其 交 互 的 详 细 信 息 ， r e s q u e s t   如 下 图 。
可 以 看 到 目 标 服 务 器 进 行 了   d n s   解 析 了 我 们 的 域 名 ， 然 后   h t t p   进 行 了 访 问 ， r e s p o n s e   信 息 如 下 图 。 0 x 0 6 ： 盲 ： 盲   X S S   测 试 测 试 同 样 的 ， 我 们 也 可 以 用   c o l l a b o r a t o r   来 进 行 盲 跨 站 的 测 试 ， 使 用 场 景 例 如 盲 打   x s s ， 提 交 表 单 等 ， 若 一 个 平 台 的 提 交 表 单 功 能 ， 提 交 内 容 插 入 恶 意 脚 本 后 ， 提 交 后 台 可 能 不 会 立 即 生 效 ， 需 要 等 管 理 员 访 问 相 关 的 页 面 才 会 执 行 ， 那 么 我 们 无 法 判 断 是 否 存 在 存 储 跨 站 的 问 题 ， 这 时 使 用   p a y l o a d   u r l   后 ， c o l l a b o r a t o r   会 不 断 的 进 行 轮 询 ， 只 要 管 理 员 进 行 了 访 问 ， c o l l a b o r a t o r   就 会 捕 捉 到 然 后 返 回 到   b u r p 。
我 们 这 里 还 以   b w a p p   的   s t o r e d   x s s   b l o g   为 例 ， 这 里 的 脚 本 提 交 后 就 会 在 列 表 中 显 示 并 执 行 ， 也 是 有 回 显 的 ， 我 们 这 里 还 是 以 盲 跨 站 来 测 ， 首 先 在 提 交 内 容 处 ， 插 入   s c r i p t   标 签 ， s r c   为 我 们 的   p a y l o a d   u r l ， 如 下 图 。 插 入 后 我 们 查 看 元 素 可 以 发 现 ， 脚 本 内 容 已 经 插 入 成 功 ， 如 下 图 。 因 为 插 入 的 时 候 就 会 执 行 一 次 ， 而 我 们 浏 览 页 面 的 时 候 又 执 行 了 一 次 ， 所 以   c o l l a b o r a t o r   会 又 两 条 记 录 信 息 ， 这 里 我 们 当 成 盲   x s s   来 测 ， 如 果 插 入 没 有 执 行 ， 而 当 管 理 员 访 问 页 面 后   p a y l o a d   执 行 了 。 c o l l a b o r a t o r   捕 捉 的 交 互 信 息 如 下 ， r e q u e s t   内 容 。
r e s p o n s e   内 容 （ 这 里 是 两 条 信 息 ， 插 入 执 行 了 一 次 ， 访 问 又 执 行 了 一 次 ， 而 我 们 测 试 盲   x s s   时 ， 是 只 有 一 条 ， 插 入 无 法 验 证 所 以 没 有 ， 管 理 员 访 问 后 执 行 所 以 一 次 ， 大 家 不 要 在 意 这 里 的 细 节 ， 明 白 其 原 理 和 使 用 即 可 ） 。 以 上 就 是   b u r p   的   c o l l a b o r a t o r   使 用 的 一 些 简 单 的 总 结 ， 理 论 上 对 于 盲   s q l   注 入 也 应 该 可 以 行 得 通 ， 但 是 我 没 有 找 到 合 适 的 例 子 ， 本 机 尝 试 也 有 一 些 错 误 ， 所 以 就 不 列 了 ， 如 果 碰 到 盲 注 的 话 可 以 先 判 断 它 是 数 字 型 还 是 字 符 型 ， 随 后 再 通 过   a n d 、 o r 这 些 关 键 字 结 合 查 询 一 下 来 判 断 ， 对 于   c o l l a b o r a t o r   的 话 ， 官 方 说 明 文 档 说 可 以 使 用   s q l   去 查 询   x m l   文 件 ， x m l   引 入 外 部 实 体
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理