记一次攻防演练复盘之计中计
0x00 前言
这两天听DR复盘，补充了很多小技能点，真的要非常细心呀，然后下面就是正文了。
领导通知，让我打十天攻防，前四天，平平无奇，两个权限，web系统都是外包的，没打进核心内网。
这次攻防，没有给靶标，也没有给资产，全靠自己进行信息搜集。
0x01 前期信息搜集
信息搜集主要以厂商系统为主，通过使用fofa，云悉，查ICP备案，APP脱壳逆向，公众号接口，小程序，天眼查查母公司以及子公司的备案和资产信息。通过能直接获取到的资产信息，进行二次信息搜集，主要是以C段,B段和目录扫描为主。
0x02 黑盒获取权限
测试网站的功能点，想办法黑盒获取权限。
0x03 代码审计为主（白加黑治感冒）
通过信息找到找到子公司的一个备案网站系统。
根据左上角的功能提示，发现网站存在登录和注册功能，因此尝试注册一个账号。
点击注册按钮，发现跳转到登录界面。很奇怪，貌似注册功能无法正常使用。
f12查看源码发现端倪，注册相关的实现代码已经被注释掉了。
因此将注释符号删除，并使用注册功能注册了账号
此时使用注册功能成功注册了一个账号
并登录成功。
寻找上传接口，尝试文件上传。但是发现功能点似乎无法正常使用。
f12抓取上传接口的数据包。
访问该接口，上传表单成功出现。
尝试上传正常图片，均不能正常使用。提示都是文件大小不符合。
尝试利用TP框架漏洞获取权限
尝试尝试寻找后台，也没有找到。
尝试寻找SQL注入，没有找到。
此时发现该网站系统使用了thinkphp框架，但是具体不知道是哪个版本。
常用于获取tp框架版本的方法都是利用报错或者敏感文件，但是这里，似乎都没有。
盲打一波tp5的rce，均失败。
此时陷入瓶颈期。
想到了，该系统一定是基于tp框架开发的，但是具体是哪个CMS这里还未知，使用云悉获取该CMS信息也失败了。
尝试利用cms的利用漏洞获取网站权限和数据
此时无意间发现，上传接口的title中，泄露了该CMS信息，该cms为pigcms。
此时搜索有关该CMS的历史漏洞，通过cnvd平台。
尝试利用SQL注入漏洞，复现后均失败。
寻找CMS源码
注：此处找到的源码版本不一定会和目标站点一致。
尝试去寻找源码。官网看了一眼，真的贵。离谱。怎么可能花钱。
通过网盘搜索，百度搜索，谷歌搜索的方式，下载了源码。
本地环境搭建。
看着还挺像那么回事的。
确定后台路径。
本机后台
目标站点后台。
这后台长的不怎么像，影响不大。
试了一下初始密码，没进去。
看了一下后台，注入漏洞挺多的，有tp3.1的注入，也有pigcms的注入，也能文件上传GETSHELL，也能模板注入GETSHELL。
0x04 白加黑代码审计
前台任意文件上传GETSHELL
试了一下常规的未授权测试方法，均失败，因此只能考虑审计出前台漏洞了。这里用自己之前写的一个工具，遍历当前目录下指定后缀的文件路径。
将路径文件字典导入burpsuite的intruter模块的payload中，并去掉payload encoding前面的勾。
开始爆破。并根据response判断哪些文件是未授权访问的。
此时成功找到了未授权的入口文件。
并发现了两处关于文件上传的函数。
action_picUpload
public function action_picUpload(){
$error=0;
if (isset($_FILES['thumb'])){
$photo=$_FILES['thumb'];
if(substr($photo['type'], 0, 5) == 'image') {
switch ($photo['type']) {
case 'image/jpeg':
case 'image/jpg':
case 'image/pjpeg':
$ext = '.jpg';
break;
case 'image/gif':
$ext = '.gif';
break;
case 'image/png':
case 'image/x-png':
$ext = '.png';
break;
default:
$error=-1;
break;
}
if($error==0){
$time=SYS_TIME;
$year=date('Y',$time);
$month=date('m',$time);
$day=date('d',$time);
$pathInfo=upFileFolders($time);
$dstFolder=$pathInfo['path'];
$dstFile=ABS_PATH.'upload'.DIRECTORY_SEPARATOR.'temp'.$ext;
//the size of file uploaded must under 1M
if($photo['size']>2000000){
$error=-2;
return $error;
}
}else {
return $error;
}
//if no error
if($error==0){
$rand=randStr(4);
//delete primary files
if(file_exists($dstFolder.$time.$rand.$ext)){
unlink($dstFolder.$time.$rand.$ext);
}
if ($ext!='.gif'&&$ext!='.png'){
//save the temporary file
move_uploaded_file($photo['tmp_name'],$dstFile);
$imgInfo=getimagesize($dstFile);
//generate new files
$imageWidth=intval($_POST['width'])!=0?intval($_POST['width']):$imgInfo[0];
$imageHeight=intval($_POST['height'])!=0?intval($_POST['height']):$imgInfo[1];
bpBase::loadSysClass('image');
image::zfResize($dstFile,$dstFolder.$time.$rand.'.jpg',$imageWidth,$imageHeight,1|4,2);
$ext='.jpg';
//
}else {
move_uploaded_file($photo['tmp_name'],$dstFolder.$time.$rand.$ext);
}
if (isset($_POST['channelid'])){//内容缩略图
$channelObj=bpBase::loadAppClass('channelObj','channel');
$thisChannel=$channelObj->getChannelByID($_POST['channelid']);
$articleObj=bpBase::loadAppClass('articleObj','article');
$articleObj->setOtherThumb($thisChannel,$dstFile,$dstFolder,$time.$rand,'jpg');
}
if ($ext!='.gif'&&$ext!='.png'){
@unlink($dstFile);
}
$location='http://'.$_SERVER['HTTP_HOST'].CMS_DIR_PATH.'/upload/images/'.$year.'/'.$month.'/'.$day.'/'.$time.$rand.$ext;
$error=0;
}
}else {
$error=-1;
}
}else {
$error=-1;
}
if ($error==0){
echo $location;
}else {
$errors=array(-1=>'你上传的不是图片',-2=>'文件不能超过2M',-3=>'图片地址不正确');
echo $errors[intval($error)];
}
}action_picUpload的逻辑是，上传的图片文件时，name=thumb，content-type的值为switch选择结构中的image/jpg时，指定上传后，文件的后缀名ext是jpg。文件名的命名是随机的，根据时间指定。
读懂逻辑后发现，此处的action_picUpload是无法上传文件获取权限的。
继续审计第二次上传的函数。
action_flashUpload
阅读第二个上传函数的逻辑发现，当name的值是filepath，并且content-type的值是flash格式时，能够上传成功，上传后的后缀名是由filename的文件名后缀来确定的。
构造文件上传的poc数据包
发现上传成功，回显php文件路径。
查看本地监听的文件路径生成情况，并确定php文件的最后路径。
访问后，phpinfo被成功执行。
尝试上传到目标站点，并上传成功。
0x05 成功审计0day
此时跟队友分享喜悦，并准备周一打内网。
由于和裁判沟通后，裁判要求，漏洞尽量要周一交。（意思是周末不攻防）
并得知提交0day漏洞是有额外加分。
0x06 蓝队周末居然上班
等到周六后，下午访问一下phpinfo看看。结果发现，蓝队居然上班了。phpinfo的页面内容变成了hack.
页面不是phpinfo？重新上传一下，好家伙，不讲武德，裁判都说休战了，你居然给我搞事情。
这是之前已经成功执行的截图。
离谱的一批。
继续审计
0x07 某CMS-0day数据导出+可能的任意文件写入漏洞-二次0day
周日，开始重新审计。现在审计的思路主要是想办法拿到数据，并进入后台改配置，这样只要网站不关闭，我就有的是办法做webshell层面的权限维持，后面再做系统层面的权限维持。
private function export_database($tables,$sqlcompat,$sqlcharset,$sizelimit,$action,$fileid,$random,$tableid,$startfrom) {
$dumpcharset = $sqlcharset ? $sqlcharset : str_replace('-', '', DB_CHARSET);
$fileid = ($fileid != '') ? $fileid : 1;
if($fileid==1 && $tables) {
if(!isset($tables) || !is_array($tables)) showMessage('请选择要备份的表');
$random = mt_rand(1000, 9999);
setCache('backupTables',serialize($tables));
} else {
if(!$tables = unserialize(getCache('backupTables'))) showMessage('请选择要备份的表');
}
if($sqlcharset) {
$this->db->query("SET NAMES '".$sqlcharset."';\n\n");
}
$tabledump = '';
$tableid = ($tableid!= '') ? $tableid - 1 : 0;
$startfrom = ($startfrom != '') ? intval($startfrom) : 0;
for($i = $tableid; $i < count($tables) && strlen($tabledump) < $sizelimit * 1000; $i++) {
global $startrow;
$offset = 100;
if(!$startfrom) {
if($tables[$i]!=AUTO_TABLE_PREFIX.'session') {
$tabledump .= "DROP TABLE IF EXISTS `$tables[$i]`;\n";
}
$createtable = $this->db->query("SHOW CREATE TABLE `$tables[$i]` ");
$create = $this->db->fetch_next();
$tabledump .= $create['Create Table'].";\n\n";
$this->db->free_result($createtable);
if($sqlcompat == 'MYSQL41' && $this->db->version() < '4.1') {
$tabledump = preg_replace("/TYPE\=([a-zA-Z0-9]+)/", "ENGINE=\\1 DEFAULT CHARSET=".$dumpcharset, $tabledump);
}
if($this->db->version() > '4.1' && $sqlcharset) {
$tabledump = preg_replace("/(DEFAULT)*\s*CHARSET=[a-zA-Z0-9]+/", "DEFAULT CHARSET=".$sqlcharset, $tabledump);
}
if($tables[$i]==AUTO_TABLE_PREFIX.'session') {
$tabledump = str_replace("CREATE TABLE `".DB_PRE."session`", "CREATE TABLE IF NOT EXISTS `".DB_PRE."session`", $tabledump);
}
}
$numrows = $offset;
while(strlen($tabledump) < $sizelimit * 1000 && $numrows == $offset) {
if($tables[$i]==AUTO_TABLE_PREFIX.'session') break;
$sql = "SELECT * FROM `$tables[$i]` LIMIT $startfrom, $offset";
$numfields = $this->db->num_fields($sql);
$numrows = $this->db->num_rows($sql);
$fields_name = $this->db->get_fields($tables[$i]);
$rows = $this->db->query($sql);
$name = array_keys($fields_name);
$r = array();
while ($row = $this->db->fetch_next()) {
$r[] = $row;
$comma = "";
$tabledump .= "INSERT INTO `$tables[$i]` VALUES(";
for($j = 0; $j < $numfields; $j++) {
$tabledump .= $comma."'".mysql_real_escape_string($row[$name[$j]])."'";
$comma = ",";
}
$tabledump .= ");\n";
}
$this->db->free_result($rows);
$startfrom += $offset;
}
$tabledump .= "\n";
$startrow = $startfrom;
$startfrom = 0;
}
if(trim($tabledump)) {
$tabledump = "# time:".date('Y-m-d H:i:s')."\n# bupu auto system:http://www.bupu.net\n# --------------------------------------------------------\n\n\n".$tabledump;
$tableid = $i;
$filename = date('Ymd').'_'.$random.'_'.$fileid.'.sql';
$altid = $fileid;
$fileid++;
$backUpFolder=ABS_PATH.DIRECTORY_SEPARATOR.'backup';
if (!file_exists($backUpFolder)&&!is_dir($backUpFolder)){
mkdir($backUpFolder,0777);
}
$bakfile_path = ABS_PATH.'backup'.DIRECTORY_SEPARATOR.'data'.date('Y-m-d',SYS_TIME);
if (!file_exists($bakfile_path)&&!is_dir($bakfile_path)){
mkdir($bakfile_path,0777);
}
$bakfile = $bakfile_path.DIRECTORY_SEPARATOR.$filename;
if(!is_writable($bakfile_path)) showMessage('backup文件夹不可写');
file_put_contents($bakfile, $tabledump);
@chmod($bakfile, 0777);
showmessage('正在备份，请不要关闭浏览器'." $filename ", '?m=manage&c=database&a=action_export&sizelimit='.$sizelimit.'&sqlcompat='.$sqlcompat.'&sqlcharset='.$sqlcharset.'&tableid='.$tableid.'&fileid='.$fileid.'&startfrom='.$startrow.'&random='.$random.'&allow='.$allow);
} else {
$bakfile_path = ABS_PATH.'backup'.DIRECTORY_SEPARATOR.'database';
//file_put_contents($bakfile_path.DIRECTORY_SEPARATOR.'index.html','');
delCache('backupTables');
showmessage('备份成功，数据备份在了“/backup/data'.date('Y-m-d',SYS_TIME).'”文件夹中');
}
}通过阅读此处的代码逻辑，发现指定数据表名称，即可导出数据。
找到该sql文件路径。
前端访问并下载成功。
可以通过此方法，拿到后台管理员账号密码。
继续审计发现，此处的导出时，文件名可控，内容可控。
此时可以发现，可能可以截断后缀。
尝试截断，并成功。
尴尬的是，文件内容并没有写入。
查了相关资料后发现。
用冒号截断的确会这样，但是用windows文件流截断，文件也并没有生成。这就很麻烦了。
此处也没有想到比较好的方法去绕过。
就暂时放着了。
下午的时候尝试去下一下数据表的文件，结果发了几个数据包。
蓝队直接将admin.php这个入口文件给删了。牛逼牛逼。
跟队友说了一下情况。
蓝队不讲无德，直接关站
晚上准备写博客。
准备打开目标站点截几个图。
结果发现，蓝队直接给你关站了。笑死。
一片红，笑死我了，和队友吐槽大无语事件。
0x08 总结
1、蓝队不讲武德。
2、掉以轻心听信裁判话。
3、该搞搞，不应该拖延。
转载请注明：Adminxe's Blog » 记一次攻防演练复盘之计中计
