记一次实战过程中的漏洞挖掘过程

阅读量    148580 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

0x01 起因

在一次授权项目当中遇到的,感觉还是挺有意思。写个过程记录一下。看代码找漏洞还是很有趣的。特别是自己不熟悉的开发语言。万法归一,思路和其他开发语言都差不多,在这里分享一下我的思路。

 

0x02 过程

扫目标端口发现一个特殊的端口,打开后发现存在列目录漏洞。目录内文件如下,service.aspx是我添加的。除去这两个文件好像没啥利用的。看到有个asmx接口,于是好奇打开看了看。

打开后存在两个接口。似乎也没啥利用点

回过头发现目录下有个App_Code.zip压缩包,App_Code是.net平台下类的存放位置,接口调用的实现代码会不会放在这里么呢。下载下来看看。nice、运气不错,看来这应该是接口的实现代码和调用类,那么就进入到我稍微擅长一丁点的代码审计过程了。先打开WebService2019看看代码

我们先来看Web_SubString函数的逻辑,很简单,先调用CsSubDes.DESDeCode方法对传进来的数据进行解密。意味着如果我们要调用下面的函数得先加密我们传入的值,使其满足解密过程。解密之后再调用CsPublicSub.SubProcessSqlStr方法来清除非法字符,从字面上来看应该是过滤SQL注入关键字一类的,这是否意味着我们需要绕过这个函数呢,继续往下看

可以看到下面就进入具体的实现函数了。

随便找了个函数跟进去全是拼接SQL语句,看起来有戏。

那么我们回到最开始,先来解决加密的问题,我们来看看解密函数中是否有加密过程可以直接调用。运气不错,直接提供了一个CsSubDes.DESEnCode函数,那么我们直接调用它加密我们的值就行。由于不熟悉.net开发,写这一段小小的代码踩了不少坑,不过问题不大。

能正常构造数据以后我们来到第二个拦路虎,CsPublicSub.SubProcessSqlStr函数,根据之前的猜测我们跟进去看看

果不其然是过滤sql关键字,我们看看这段代码是否无懈可击呢。通过正则可以看到并没有匹配大小写,那么通过大小写是可以绕过正则的,但是事情没有那么简单,继续看发现使用了new Regex(str_Regex, RegexOptions.IgnoreCase); 用了IgnoreCase这个参数,通过查阅信息了解到使用这个参数在匹配时是不区分大小写的,意味着我们无论传入大写小写都会匹配出来关键字。好像并没有什么好的方法可以绕过这个过滤函数了(个人见解,这里应该是有一些办法可以绕过的)。

那么怎么办,只能硬着头皮继续看,寻找转折点。这时候我想起好像还有个方法,我们来看看这个方法咋写的

看到逻辑后吁了一口气。Web_SubStringA方法并没有用解密方法和过滤方法来过滤值,这里直接可以传值进入存在漏洞的一些相关逻辑函数,那么我们长驱直入,直接调用sub000试试

看起来应该是调用成功了,为何没有数据回显呢,试试延时函数 WAITFOR DELAY ‘0:0:20’— 但是返回时间还是10秒,继续尝试了几次,一直返回10秒左右。怀疑有两种情况,1.注入失败 2.数据库连接失败。但是根据代码逻辑看这里百分百是存在注入的,那么就剩下第二种可能性了,数据库有问题。之前我们是下载了App_code里的所有源码,那么数据库配置信息也一定在里面,我们跟进去看看。

数据库配的是个外网IP,ping了一下没通 ,telnet了1031端口也是关闭,怀疑数据库已经关闭或者废弃。那么数据查询功能肯定是不可用的。前面一堆工作白干了,这时候想这个接口是否会提供一些文件上传和下载的服务呢,其实为了getshell一开始就应该找这些点。挨个看了下函数

跟进SubUpLoadImage看看

可以看到逻辑很清晰,先对值进行base64解码,然后判断文件夹是否存在,是否有同名文件之类的,然后就写入文件了。全程无过滤。很明显这里可以上传任意文件。我们构造一下请求试试

成功getshell

同理,调用901对应的SubDownLoadImage函数也可以下载任意文件

 

0x03 结语

很简单的一个实战过程中挖漏洞的一个小过程,没有什么奇淫技巧,胜在真实。但是过程却是很有趣,个人非常享受每次在实战时解决各类问题的过程,能够学习很多知识。通过这种以小见大的方式踏寻安全的未知之旅。
最后再附上一句我很喜欢的话,与诸君共勉

我不敢下苦功琢磨自己,怕终于知道自己并非珠玉;然而心中又存着一丝希冀,便又不肯甘心与瓦砾为伍。 —— 中岛敦《山月记》

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多