用户
搜索
  • TA的每日心情
    擦汗
    2017-11-14 20:49
  • 签到天数: 48 天

    连续签到: 1 天

    [LV.5]常住居民I

    i春秋作家

    i春秋首席男神——小小艾

    Rank: 7Rank: 7Rank: 7

    84

    主题

    288

    帖子

    385

    魔法币
    收听
    0
    粉丝
    20
    注册时间
    2015-11-20

    核心白帽i春秋签约作者积极活跃奖突出贡献

    GeekC0s i春秋作家 i春秋首席男神——小小艾 核心白帽 i春秋签约作者 积极活跃奖 突出贡献 楼主
    发表于 2017-4-6 16:11:38 2345600
    本帖最后由 GeekC0s 于 2017-8-5 14:33 编辑

    作者: 哈哈 226safe Team 最菜的那位!
    反正我问他杂写的,他就是这么说的。由于团队在知乎没专栏,我就只能转贴到我的笔记上来了,分享给大家,常见的漏洞汇总吧,很不错。(*^__^*) 嘻嘻……
    ----------------------------------------------------------------------------------------------------------------------
    SQL注入
    成因:程序未对用户的输入的内容进行过滤,从而直接代入数据库查询,所以导致了sql 注入漏洞 。
    思路:在URL处可以通过 单引号 和 and 1=1 and 1=2 等语句进行手工测试sql注入 。
    Post 注入:比如后台登录框输入单引号测试注入,报错的话说明存在注入可以直接抓包,用工具来完成注入。( 在HTML中关于提交类型代码,尤其是后台登录和留言这些,都是需要 post 形式来提交的,而且 post 提交方式也是不会像 get 形式在 URL 中显示的。)
    关于SQL注入 还有 ,Cookie注入 盲注 爆错注入 等等...

    实例:
    1.png
    输入单引号,进行初步判断,如果报错就说明可能存在注入。

    然后我,猜想出真正执行的SQL语句应该是: select * from info where fid=623
    继续输入 and 1=1 , and 1=2 来看下是否可以手工注入,就是查看页面是否存在显示性错误,而不是单引号式的错误。
    由于我是转贴的,所以就没有这个截图,但是成功的报错了。而 and 1=1 和 and 1=2 在SQL 语句中是这样的:
    [SQL] 纯文本查看 复制代码
    select * from news where id=623 and 1=1
    select * from news where id=623 and 1=2
    这样的语句在数据库查询中是可以查询成功的 , 623 and 1=1 而这里的 and 是一个逻辑判断符,623是正确存在的,而 1=1 这个也是正确的啊!所以 正确 and 正确 ,就会查询 623 这个,所以页面也就返回正常了,而 1=2 这肯定不对等,所以 正确 and 错误,就会查询错误,所以报错 。

    既然存在注入了,懒的手工就直接扔 sqlmap 了。
    2.png

    XSS 漏洞
    原理:web 程序解析了用户的HTML代码操作。说白了,就是程序员在设计网站中输入输出的部分的时候,没有对用户输入的内容进行过滤,从而导致用户输入恶意代码时,这些代码会被 web 程序给执行了。
    Xss分类:反射型,存储型,DOM型,FLASH(DOM,FLASH不常用)
    反射型xss :存在输入输出的地方,不具备转存数据库这一步,只是一个简单的输入输出。一般这类的漏洞危害比较小,因为它的传播方式需要恶意用户把他构造好的恶意 URL 发给你,你点击才会触发的,一般有安全意识的很少会中招。
    存储型xss :没有对用户输入的东西,进行过滤,就直接存储到数据库中。一般这类的漏洞是危害最大的,而且可以运用在很多方面上,只要你知识牢固,思维广阔,这个漏洞,可以玩出很多花样来,不过该漏洞,目前运用最广的就是在网站留言板这一类的,输入恶意代码,让网站管理员查看后,并中招,从而窃取 cookie 。

    反射型实例 :
    反射型(查看url)大白话总结:吃什么吐什么
    3.png
    发现php?S=24 (下面的输出内容为1,测试下)
    4.png
    发现把s的内容替换之后 页面的内容也随之替换,则此处应该存在xss反射漏洞。
    那我们构造下一个常用的 javascript 的弹窗代码,再看下效果 。
    5.png
    回车一下 。
    6.png
    通过测试,我们发现这是一个典型的反射型 XSS 漏洞。
    储存型XSS实例:
    这是一个存在储存型 XSS 漏洞钓鱼网站 。
    7.png
    然后,我们鼠标右键简单的查看下网页源代码 。
    8.png
    在查看源代码时,我们发现 当领取码不等于98的时候 就返回true,及领取码等于98。
    我们随便输入领取码之后,就是弹出一个领取奖品页面,在这个页面,我们其实就可以盲打一下试试。
    那么在开始之前,我们先随便找一个 XSS 平台,复制一段盗取 cookie 的恶意代码。
    9.png
    10.png
    Xss插入的地方大多为标题跟内容(一切可以输出文本内容的都可以插入),然后我们试着插入下。
    11.png
    插入到联系地址里面测试下能不能插入,(前面加个”>)以防万一闭合下前面的标签。
    #(这里,我其实不推荐这样的插入,因为这个的格式,字数限制都是一些 html 这个层面的限制,建议进行抓包插 XSS 代码,这样被打到的几率更大。)
    12.png
    到这里就提交成功了,那就等管理员上钩就是了。
    13.png
    看来这个钓鱼网站的管理员也是个时时关注信息,认真负责的管理啊!不像某些公司的那些运维们,大半年的后台都不进,我记得我一个朋友,前段时间,发了一个说说,大概内容是 mlgbz ,两年前插的一个留言板,我今天竟然收到这个 cookie 了。。。

    解析漏洞:
    利用web中间件自身的漏洞,对畸形脚本格式进行了解析。
    这个不多解释,程序自身研发时的问题。

    IIS 6.0
    常见组合:server 2003+IIS6(IE6.0)
    1. 正常解析格式包括:asp,asa,cer
    2. 正常解析 1.asp;.jpg | 1.asa;.jpg | 1.cer;.jpg | 1.asp;xxxx.pdf
    3. 正常解析 1.asp文件夹下的任意文件: 比如说网站目录中有一个文件夹名为1.asp ,那么这个文件夹下的任意文件,比如1.jpg,1.pdf,1.doc,1.abc 都会解析成asp脚本文件。再比如有一个链接:
    http://www.zhutougg.com/abc.asp/1.pdf

    如果该站的中间件为IIS6.0,那么这个链接就会解析成asp脚本。
    备注:在利用上传漏洞的时候,如果不能上传asp格式文件,先尝试上传asa,cer格式,然后再尝试上传1.asp;.jpg格式文件,如果可以控制上传后的目录,就上传test.jpg图片大马到1.asp目录下。

    IIS 7.5
    常见组合:server 2008+IIS7/IIS7.5
    如果目标能解析PHP脚本,则可以尝试上传1.jpg,然后访问 http://www.test.com /1.jpg/1.php 或者 http://www.test.com /1.jpg%00.php
    APACHE 2.2.*


    常见漏洞版本为2.0.*到2.2.*

    apache 文件解析方式: 文件名由右往左解析。即 1.jpg.pdf  apache 会先识别 pdf格式,然后再识别 jpg 格式,因为 apache 能够识别 pdf 格式,所以这里它不会解析 .jpg 格式。再比如 1.jpg.abc apache 先识别 .abc 格式,再识别 .jpg 格式,这里 apache 不认识 .abc 格式,所以这里 apache 将其解析成 .jpg 格式 。

    利用:上传1.php.abc 1.jpg.abc.php.123.rar(?)

    NGINX 0.5.* | 0.6.* | 0.7-0.7.65 | 0.8-0.8.37
    如果目标能解析PHP脚本,则可以尝试上传1.jpg,然后访问 http://www.test.com /1.jpg/1.php 或者http://www.test.com /1.jpg%00.php

    备注:在碰到 nginx 中间件时候,先找到网站的图片链接比如 http://blog.zhutougg.com /content/images/2016/11/1-2.png ,然后直接在链接后面加上 %00.php

    其它常见的中间件:
    asp , aspx: iis5.0 , iis6.0 , iis7.0 , iis7.0 , iis8.0
    php: apache , nginx , fast-cgi
    jsp: tomcat , weblogic , jboss , jetty , GlassFish , Resin , IBM Websphere
    aspx的兄弟格式: ashx
    jsp: jspx

    实例:asp解析漏洞
    进入网站之后随手测试下注入点(http://xxx/detail_industry_news.asp?id=6)

    手工测试之后发现存在sql注入 ,然后就扔注入工具里 。
    14.png
    但是没有注入出来表单,后来又换了多个注入工具进行注入,结果一样,都没有表单数据 。
    然后使用目录扫描器进行扫描,发现有一个webdata二级目录,自己猜测会不会是数据库文件了?
    然后,继续扫描二级目录发现 webdata/webdata.mdb 这个数据库文件,下载之后发现账号,密码。
    15.png
    既然,账号密码都有了,那就找后台吧 。
    目录扫描器,扫后台没找见 = =! 那好吧,手工慢慢找 。。。
    最后在一个旁站的 robots.txt 文件里,发现一个特点,就是它这个旁站的后台是域名格式的后台,那主站是不是也是这个了?搞!
    没想到还真是 xx.xx/xx.xx 这样后台 。。。
    那就进后台 。
    16.png
    一股浓浓的南方站的味道,就像吃老干妈的感觉一样,那就先找数据库功能吧 。
    额,没有数据库备份这个功能,看来数据库备份拿 shell 这个方法是不行了。。。
    不过这个站是 IIS6.0 的,存在解析漏洞,还好日 ,那就找上传点吧 。
    17.png
    找到一个上传点,先传个正常图片看看,看这个上传点是不是坏的,还有会不会出来路径 。
    18.png

    既然不是坏的,那就上传个 asp DAMA 吧 。
    19.jpg
    看来不能直接上传,那好吧,抓包上传吧 。
    由于,我们事先知道了上传路径 /bookpic/ ,所以我们直接利用 IIS 6.0 的解析漏洞,也就是
    (1.asp;.xx){xx是上传文件的名字} 在文件夹后面加上 1.asp; 试试可以上传成功并解析吗。
    抓包 ,改包 ,来先看看 。
    20.png
    来,看看我们能不能连上这个 DAMA 。
    21.png
    结果很不赖,被解析了,从而,也就拿下这个站了。

    上传漏洞加绕过方法
    客户端检测 :
    程序员一般使用 JavaScript 来拒绝非法文件上传。

    绕过方法:
    FireBug插件:将用于检验文件扩展名的onsubmit事件删除。
    中间人攻击:使用Burp Suite。首先把木马扩展名改为一张正常图片的扩展名,比如JPG扩展名,在上传时使用Burp Suite拦截上传数据,再将其中的扩展名JPG修改为PHP,就可以绕过客户端验证。(可能还需要相应地修改Content-Length)
    任何客户端验证都是不安全的。客户端验证是防止用户输入错误,减少服务器开销,而服务器端验证才可以真正防御攻击者。

    服务器端检测
    白名单与黑名单验证
    黑名单过滤方法:定义不允许上传的文件扩展名
    黑名单的绕过方法:
    1.攻击者可以从黑名单中找到Web开发人员忽略的扩展名,如:cer
    2.对文件的后缀名进行大小写转换,比如黑名单中有php,可以将文件的后缀改为pHp,仅限windows平台
    3.在windows系统下,如果文件名以“.”或者空格作为结尾,系统会自动删除“.”与空格,利用此特性也可以绕过黑名单验证。(asp.或asp_)
    白名单过滤方法:定义允许上传的文件扩展名
    白名单的绕过方法:结合Web容器的解析漏洞

    MIME验证
    php 中通过 $_FILE['file']['type'] 来检验
    绕过方法:可以在Burp Suite中更改Content-Type的内容为image/jpeg

    目录验证
    在文件上传时,程序通常允许用户将文件放到指定的目录中,如果指定的目录存在,就将文件写入目录中,不存在的话则先建立目录,然后写入。

    比如:在前端的HTML代码中,有一个隐藏标签<input type="hidden" name="Extension" value="up"/>
    在服务器端有如下代码:
    if(!is_dir($Extension)){ //如果文件夹不存在,就建立文件夹
    mkdir($Extension);
    }

    攻击者可以利用工具将表单中value的值由“up”改为“pentest.asp”,并上传一句话图片木马文件。
    程序在接收到文件后,对目录判断,如果服务器不存在pentest.asp目录,将会建立此目录,然后再将图片一句话密码文件写入pentest.asp目录,如果Web容器为IIS 6.0,那么网页木马会被解析。
    00截断上传
    在ASP程序中最常见,也就是%00将后面的字符都截断了,比如上传文件名为1.asp%00xxser.jpg。
    实际操作过程中,利用Burp Suite的Repeater中的HEX选项卡可以进行这样的操作。
    截断上传漏洞不仅出现在ASP程序上,在PHP、JSP程序中也存在这样的问题。
    0x00不是针对所有基于白名单的后缀名检查都能绕过,代码的实现过程中必须存在截断上传漏洞。

    逻辑漏洞分类
    欺骗密码找回功能(任意密码重置等)
    程序根据一个验证码来确定是用户本人,攻击者可以通过抓包改包,暴力破解,等方法来进行绕过。(漏洞产生的原因:前端验证,数据包中含CODE等)
    思路:fuzz模糊测试来进行漏洞挖掘
    实例:某学院存在任意密码重置漏洞
    第一步(先找回密码)> 查看源代码
    22.png
    31.png
    跟一下 nextDo2
    23.png
    关键在跳转第二步
    如果data.status 等于0 那么跳转第二步,如果不等于0 那么就提示验证码不正确!
    只要 status 等于0 它就跳转第二步,那么通过burp去修改它的 Response
    24.png
    25.png

    26.png
    放包之后就会发现直接绕过验证改密,这样就形成了任意密码重置漏洞。
    预防思路:response数据内不包含验证码,验证方式主要采取后端验证。
    任意金额修改
    可以通过篡改数据报,使得购买的商品价格为负数等(金额数据通过明文传输,没有后端验证等一系列都可以产生任意金额修改漏洞)
    实例:
    注册下单,支付,选择拉卡拉支付
    27.png
    截断 http 请求,更改post金额数据 。
    28.png
    到达支付页面发现 ,
    发现金额被修改,也未提示该修改无效 。
    预防方法:后端验证,数据包加密后进行传输 。
    越权漏洞
    主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定(仅限于存在漏洞功能对应的数据)
    思路:
    可能出现越权漏洞的地方(对数据库进行操作的都可以)。
    29.png
    查看代码 当id=数组里面的数为则显示账号密码,否则输出信息出错。
    30.png
    当知道管理员的id的时候可以任意更改url查询到账号密码。
    当然越权漏洞存在很多种cookie绕过等等。
    好了,完结!

    文章大小 1M 多的文章,被我贴的好辛苦啊,而且页面还一卡一卡的,最后再安抚一波 ,
    226safe Team 团队官方群:2399210 。
    原文地址:https://zhuanlan.zhihu.com/p/26184730辛苦团队shiyan大表哥一路贴图~

    111.png
    喜欢兔兔的小小艾!
    yyyxy 管理员 六国战旗移动展示平台! 秦 楚 燕 魏 齐 赵
    推荐
    发表于 2017-4-7 10:49:49
    创想科技时代 发表于 2017-4-6 19:38
    我就说嘛  这论坛绝对不止我一个人会卡 @yyyxy 赶快维护

    它说的是知乎更新的时候一卡一卡的。不信你看原文
    欢迎加入i春秋QQ群大家庭,每人只能任选加入一个群哦!投稿请加我QQ:286894635。
    i春秋-楚:533191896
    i春秋-燕:129821314
    i春秋-齐:417360103
    i春秋-秦:262108018
    使用道具 举报 回复
    ag疯子 发表于 2017-4-10 17:50
    补充下,还有svn泄露,代码任意执行,文件包含等

    大概的写了下。。。讲的多的话。。可能一个数据库类型就能扯很多吧
    使用道具 举报 回复
    发表于 2017-4-9 12:05:28
    看了头像我才点进来的哈哈^_^)(现今常用的web应用攻击手段都全面的总结了一下,作者有心了!)
    使用道具 举报 回复
    发表于 2017-4-6 19:38:47
    我就说嘛  这论坛绝对不止我一个人会卡 @yyyxy 赶快维护
    生命必须要有裂缝,阳光才能照射进来
    使用道具 举报 回复
    发表于 2017-5-1 15:46:48
    没打完字就发出去了。。。大佬加油。南方站都被日烂了,换个姿势好吧?
    使用道具 举报 回复
    发表于 2017-5-1 15:44:45
    吐槽一下,大佬你的南方味道良精站,还是个假精。弄点淫才的想法
    使用道具 举报 回复
    发表于 2017-4-6 18:20:48
    -.-
    使用道具 举报 回复
    发表于 2017-4-7 21:54:54
    、、、强势
    使用道具 举报 回复
    发表于 2017-4-8 07:35:18
    不错,顶一下
    使用道具 举报 回复
    发表于 2017-4-8 09:58:48
    前排过来围观一下
    不服你TMD来打我啊!
    使用道具 举报 回复
    发表于 2017-4-8 13:21:55
    使用道具 举报 回复
    发表于 2017-4-8 15:46:12
    使用道具 举报 回复
    发表于 2017-4-8 21:04:54
    每次看到这种都会点进来..  虽然看了N遍了...
    提莫队长正在待命
    使用道具 举报 回复
    发表于 2017-4-9 19:32:22
    看的不是很懂
    使用道具 举报 回复
    发表于 2017-4-10 17:50:58
    补充下,还有svn泄露,代码任意执行,文件包含等
    使用道具 举报 回复
    发表于 2017-4-11 06:58:16
    值得一看
    使用道具 举报 回复
    12下一页
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册