搜索

[300] 2019-06-28_SSI注入

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2019-06-28_SSI注入 S S I 注 入 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 9 - 0 6 - 2 8 0 x 0 0 ： ： 介 绍 介 绍 S S I   是   S e r v e r   S i d e   I n c l u d e s   的 缩 写 ， 即 服 务 端 包 含 。 我 们 都 知 道 像 后 台 语 言   p h p 、 a s p   等 都 有 文 件 包 含 的 函 数   i n c l u d e ， 包 含 一 些 公 共 的 函 数 库 等 。 那 么   h t m l   也 有 这 种 包 含 的 机 制 ， 我 们 可 以 把 它 叫 做   S S I 。 S S I   还 有 一 些 使 用 情 况 例 如 ， 页 面 需 要 动 态 加 入 一 些 内 容 ， 这 些 内 容 常 见 的 比 如 自 己 的   i p   地 址 ， 自 己 的 位 置 信 息 等 。 S S I   默 认 的 文 件 类 型 是   s h t m l ， 很 多 网 站 都 是   s h t m l   网 页 ， 则 可 能 启 用 了   S S I   功 能 ， 实 现 了   s h t m l   文 件 的 包 含 。 只 不 过 这 个 技 术 好 像 并 不 常 用 。 0 x 0 1 ： ： 开 启 开 启   S S I 基 本 中 间 件 对 于   S S I   都 是 默 认 关 闭 的 ， 如 果 网 站 有 需 求 要 用 到   S S I   并 开 启 后 ， 那 么 我 们 便 可 以 测 试 一 下   S S I   注 入 。 首 先 ， 先 了 解 一 下   S S I   开 启 的 方 法 ， 以   A p a c h e   为 例 ， 因 为   S S I   在   A p a c h e   中 是 以 模 块 方 式 存 在 的 ， 所 以 需 要 打 开 这 个 模 块 ， 打 开 h t t p . c o n f   配 置 文 件 ， 找 到   L o a d M o d u l e   s s l _ m o d u l e   这 一 行 去 掉 注 释 进 行 打 开 。
因 为   S S I   主 要 用 来 包 含   s h t m l   文 件 ， 所 以 同 时 也 需 要 配 置 一 下   S S I   支 持 的 类 型 ， 找 到   A d d T y p e   t e x t / h t m l   这 一 行 和 A d d O u t p u t F i l t e r   I N C L U D E S   这 一 行 ， 去 掉 注 释 进 行 打 开 。 完 事 之 后 ， 最 后 再 配 置 一 下   A p a c h e   下 项 目 的   I N C L U D E   包 含 权 限 ， 找 到   O p t i o n   + I n d e x e s   + F o l l o w S y m L i n k s   这 一 行 ， 最 后 加 个 +   I N C L U D E S   即 可 （ 需 重 启 ） 。 0 x 0 2 ： ： S S I   语 法 语 法 开 启   S S I   后 ， 我 们 再 了 解 一 下   S S I   的 语 法 ， 知 道 写 法 才 能 更 好 的 发 现 漏 洞 并 利 用 ， 语 法 格 式 很 简 单 ， < ! - - #   指 令 名 称   = " 指 令 参 数 " > ， 以 下 命 令 都 是 基 于 这 个 格 式 。 举 几 个 常 见 的 ， 例 如   i n c l u d e   包 含 文 件 指 令 。 e x e c   指 令 执 行 外 部 程 序 执 行 命 令 。 < ! - - # i n c l u d e   f i l e = " h e a d e r . h t m l " - - >
e c h o   显 示 环 境 变 量 。 更 多 的 命 令 和 写 法 ， 可 以 参 考   w 3 c   的 文 档 ： h t t p s : / / w w w . w 3 . o r g / J i g s a w / D o c / U s e r / S S I . h t m l 这 里 需 要 注 意 的 是 它 和   h t m l   的 区 别 ， 它 比   h t m l   的 注 释   < ! - -   后 多 了 一 个   # 号 ， 当 然 即 使 这 样 在   h t m l   中 同 样 会 被 认 为 是 注 释 ， 所 以   s s i   的 文 件 一 般 都 是   s h t m l   为 后 缀 ， s   即   s s i 。 0 x 0 3 ： ： 示 例 示 例 我 这 里 没 有 找 到   s s i   的 网 站 ， 直 接 拿   b w a p p   做 示 例 吧 ， 找 到   b w a p p   的   s s i   攻 击 项 ， 点 击 后 访 问   s s i . p h p   文 件 ， 然 后 输 入 姓 和 名 提 交 ， 随 后 会 跳 到   s s i . s h t m l   页 面 显 示 自 己 的 姓 和 名 并 带 有 自 己 本 机 的   i p ， 这 里 的 本 机   i p   就 是 用   s s i   的   e c h o   输 出 语 法 输 出 的   i p 环 境 变 量 （ ） 。 因 为 姓 名 会 被 原 样 放 到   s s i . s h t m l   文 件 中 ， 所 以 除 了 存 在   x s s   的 问 题 外 ， 也 可 以 输 入   s s i   指 令 ， 例 如 我 们 输 入   e x e c   执 行 命 令 的 指 令 ， 分 别 是   l s   和   i d ， 命 令 和 结 果 如 下 图 。 C M D 指 令 举 例 ： < ! - - # e x e c   c m d = " 文 件 名 称 " - - > C G I 程 序 举 例 ： < ! - - # e x e c   c g i = " 文 件 名 称 " - - > < ! - - # e c h o   v a r = " R E M O T E _ A D D R "   - - >
0 x 0 4 ： ： 代 码 分 析 代 码 分 析 我 们 简 单 的 看 一 下   b w a p p   给 我 们 的 示 例 代 码 ， 首 先 是   s s i . p h p   文 件 ， 我 们 直 接 看 核 心 代 码 ， 代 码 如 下 。 因 为 我 们 是 低 级 难 度 ， 所 以 这 个   x s s   函 数 没 有 进 行 任 何 过 滤 ， u c w o r d   函 数 是 将 每 个 单 词 的 首 字 母 转 换 为 大 写 。 随 后 当 姓 名 存 在 时 程 序 会 使 用   f o p e n   打 开   s s i . s h t m l   文 件 并 把 姓 名 写 入 。 所 以 这 里 我 们 输 入 什 么 就 会 被 写 入 什 么 。 s s i . s h t m l   文 件 内 容 很 简 单 ， 如 下 。 只 有 一 行 代 码 ， 就 是 利 用   s s i   的   e c h o   输 出 了   R E M O T E _ A D D R   变 量 的 值 ， 这 是   s s i   默 认 自 带 的 变 量 来 输 出   i p   地 址 。 我 们 执 行 s s i . p h p   后 就 会 把 我 们 输 入 的 内 容 也 写 进 去 ， 这 时 写 入 其 他   s s i   指 令 会 被 一 并 执 行 。 0 x 0 5 ： ： 测 试 方 法 测 试 方 法 通 过 上 面 示 例 我 们 可 以 看 到 ， 在 代 码 中 我 们 应 该 去 查 找 一 些 类 似 于   < ! - - #   的 敏 感 字 ， 确 认 是 否 有 使 用   s s i   功 能 ， 然 后 再 追 溯 i f ( i s s e t ( $ _ P O S T [ " f o r m " ] ) ) {         $ f i r s t n a m e   =   u c w o r d s ( x s s ( $ _ P O S T [ " f i r s t n a m e " ] ) ) ;         $ l a s t n a m e   =   u c w o r d s ( x s s ( $ _ P O S T [ " l a s t n a m e " ] ) ) ;         i f ( $ f i r s t n a m e   = =   " "   o r   $ l a s t n a m e   = =   " " ) {                 $ f i e l d _ e m p t y   =   1 ;         } e l s e {                 $ l i n e   =   ' < p > H e l l o   '   .   $ f i r s t n a m e   .   '   '   .   $ l a s t n a m e   .   ' , < / p > < p > Y o u r   I P   a d d r e s s   i s : '   .   ' < / p > < h 1 > < ! - - # e c h o   v a r = " R E M O T E _ A D D R "   - - > < / h 1 > '                 / /   W r i t e s   a   n e w   l i n e   t o   t h e   f i l e                 $ f p   =   f o p e n ( " s s i i . s h t m l " ,   " w " ) ;                 f p u t s ( $ f p ,   $ l i n e ,   2 0 0 ) ;                 f c l o s e ( $ f p ) ;                 h e a d e r ( " L o c a t i o n :   s s i i . s h t m l " ) ;                 e x i t ;         } } < p > Y o u r   I P   a d d r e s s   i s : < / p > < h 1 > < ! - - # e c h o   v a r = " R E M O T E _ A D D R "   - - > < / h 1 >
传 来 的 值 用 户 是 否 可 控 。 在 渗 透 测 试 中 ， 我 们 应 该 关 注 一 下 网 页 后 缀 的 情 况 ， 看 是 否 是   s h t m l , s h t m , s t m   等 类 似 的 网 页 ， 如 果 是 这 些 文 件 ， 则 可 能 就 存 在 开 启   s s i   的 情 况 ， 那 么 我 们 就 需 要 找 一 些 输 入 点 看 能 不 能 利 用 ， 或 者 抓 包 看 一 下 怎 么 利 用 ， 同 时 也 应 该 关 注 下 类 似 的 功 能 ， 那 种 在 网 页 中 动 态 获 取 的 功 能 ， 例 如 显 示 访 客 的   i p ， 显 示 当 前 用 户 本 机 的 时 间 ， 显 示 当 前 用 户 的 位 置 等 。 0 x 0 6 ： ： 防 御 措 施 防 御 措 施 对 于   s s i   注 入 问 题 ， 建 议 网 站 进 行 关 闭 ， 虽 然   s s i   有 配 置 禁 止 命 令 执 行 的 方 式 ， 但 其 他 语 法 也 会 造 成 一 定 的 危 害 。 如 果 网 站 确 实 需 要 开 启   s s i   的 话 ， 那 么 建 议 禁 止 其   s s i   的 命 令 执 行 也 就 是   e x e c   那 条 语 法 。 同 时 对 于 用 户 的 输 入 应 该 在 后 台 进 行 过 滤 ， 例 如   < 、 ! 、 - 、 # 、 " 、 ' 等 。 0 x 0 7 ： ： 总 结 总 结 s s i   用 的 很 少 ， 但 也 有 存 在 的 ， 了 解 其 原 理 和 测 试 方 法 ， 只 有 知 道 碰 到 相 关 的 功 能 或 网 站 时 才 能 想 到 这 个 漏 洞 点 并 进 行 测 试 ， 否 则 遗 漏 掉 就 有 可 能 造 成 命 令 执 行 等 危 害 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理