freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

我竟然只是个渗透测试工具人
2022-01-04 09:45:17
所属地 辽宁省

朋友因为项目太多忙不过来,于是给了我一个授权的站点,让我帮忙测试,并记录整体流程。
从主站测试无果。通过信息收集,发现服务器还有一个疑似测试使用的旁站。
在GitHub上找到旁站源码,通过审计发现一个任意文件读取漏洞。读取数据库配置文件,连接数据库,发现主站的管理员账号密码,最终getshell。

主站测试

前台为登录页面:
随手试了一下后台路径Admin,发现路径没改,而且登录的提示报错可以枚举用户名,可知管理员账号就是Admin:
查看登录的请求包密码,发现没有经过加密,那就随手爆破一波碰碰运气——不出意外没有成功:
随手输入一个路径,看到报错信息,可以知道框架是Thinkphp,而且是有rce的版本:
拿起Payload一通乱打,发现没反应,应该是漏洞被修复了。
随后注册账号,登录之后随便点了几个功能,都没什么可以利用的地方。这套模板之前是有很多漏洞的,但是随着后面慢慢更新,这些漏洞基本都被修复了。

旁站测试

既然主站没办法直接打,就转变一下思路,老老实实从信息收集开始。
找到一个旁站,Onethink,没有什么数据,看着像是测试用的:
后台路径依旧没改,Admin.php,不过也进不去,没什么用:这套框架已经出了很久,也停更了很久。搜索了一下,似乎有sql注入漏洞和缓存文件getshell,但无法复现,可能因为版本不同。
之后又在Github搜了一下,可以找到源码,干脆自己动手,丰衣足食。
下载完打开代码,随便找几个文件拼接路径,测试一下是不是同样的代码。
确认完后开始看代码,先直接全局搜索,各种敏感函数都搜一遍,发现有call_user_func_array:从第一个开始看,iswaf.php文件,call_user_func_array在execute方法里,代码如下:

functionexecute($function,$args = '',$path = 'extensions') {$function = basename($function);$path= basename($path);self::$model = $function;if(file_exists(iswaf_root.$path.'/'.$function.'.php')) {include_once iswaf_root.$path.'/'.$function.'.php';$classname = 'plus_'.$function;$class = new $classname;self::$models[] = $function;if(!is_array($args)) $args = array($args);$a = call_user_func_array(array($class, $function),$args);self::debuginfo($function);return $a;}}

追踪execute方法,有个runapi方法调用,代码如下:

function runapi() {if(isset($_POST['action']) && isset($_POST['args']) &&($_POST['key'] == md5(iswaf_connenct_key) || self::$mode == 'debug')){$get['args'] =unserialize(self::authcode($_POST['args'],'DECODE'));$get['function'] = $_POST['action'];if($get['function']) {if(!isset($_GET['debug']) &&!isset($_GET['key']) && $_GET['key'] !==md5(iswaf_connenct_key)) {echoself::authcode(self::execute($get['function'],$get['args'],'apis'),'ENCODE');}else{print_r(unserialize(self::execute($get['function'],$get['args'],'apis')));}exit;}}}


那么下一步要看一下怎么调用这个runapi方法。runapi方法属于iswaf类,而在iswaf类内有一行代码直接调用了这个方法,iswaf文件在最后会new一个对象且调用到那个方法:所以只要直接访问iswaf文件,就可以调用runapi方法。
runapi方法接收三个请求参数,分别是action、args和key,然后对三个参数进行判断,先判断请求体的action、args不为空,key是md5加密的iswaf_connect_key,这个是写死的,定义在conf.php里面:满足了这几个条件后,就是处理请求里的action和args。action没有做特殊处理,只是做了个赋值。
args走了反序列化和一层authcode方法加密,所以这里的args参数是要经过序列化的。至于加密方法authcode,代码太长了,就不贴出来了,反正整个方法直接拉出来用就行了。
接下来看下一个判断,是$get['function'],为true。其实就是请求体里的action,所以这个不用管。
然后还有一层,是判断$\_GET请求参数debug和key都为空和key值,如果走if里的代码,就是加密,这里要走的是else里的代码,所以随便加个debug=1或者key=1。最后请求包大概就是这样:

到此,runapi方法就分析完毕了,构造好这样的请求包后,就会走到execute方法里面。继续看一下execute方法:依旧是有三个参数,function和args可以通过runapi方法控制,第三个参数是写死的:下面这里就重点关注call_user_func_array了,先通过if判断文件是否存在,iswaf_root文件目录路径,path前面已经看到是apis,function可控。
然后包含文件,拼接plus_和function,之后和args作为参数传递给call_user_func_array执行,看一下apis目录下的文件和代码,可以发现这里是专门用于执行这些文件代码的:
而这里面又有一个write_config方法,可以写入配置文件:
但是测试了半天,因为引号会被转义,死活绕不过去,只能放弃。最后看到一个读取文件的方法:
没有任何过滤:
先尝试读一下数据库配置文件:测试连接,发现支持外联,并且主站的数据库也在里面。
最后,在其中找到管理员账号密码,解密哈希,进入后台,发现有任意文件上传漏洞没有修改,可以直接上传任意文件,这些操作都很常规,就不截图了。

总结

整体流程走下来,感觉自己还是运气比较好,目标数据库开了外联,并且找到了主站管理员密码。
目标也是百密一疏,前台漏洞都修复了,可能觉得后台一般进不去,就没有修复漏洞。
个人最大的体会,还是测试过程需要多做一些信息收集工作,说不定在某个地方就会柳暗花明。
- END -

本文作者:, 转载请注明来自FreeBuf.COM

# 渗透测试
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录