【渗透实战】记一次前台任意文件下载漏洞挖掘
2023-11-12 20:43:11 Author: Z2O安全攻防(查看原文) 阅读量:14 收藏

点击上方[蓝字],关注我们

建议大家把公众号“Z2O安全攻防”设为星标,否则可能就看不到啦!因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法:点击右上角的【...】,然后点击【设为星标】即可。

本文仅用于技术讨论与学习,利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,文章作者及本公众号不为此承担任何责任。

文章中所涉及漏洞已交给相关漏洞平台

1、起因

日常闲逛,翻到了某后台系统

先是日常手法操作了一番,弱口令走起

admin/123456 yyds!

U1s1,这个后台功能点少的可怜,文件上传点更是别想

不过那个备份管理的界面引起了我的兴趣,似乎有点意思

filename参数后面直接跟上了文件名,这很难让人不怀疑存在任意下载漏洞

抓包,放到burp中,发现果然存在任意文件下载

2、经过

经过fofa收集,我发现这是一个小通用,正当我打算兴致勃勃的打一发别的目标时,却发现这只是个后台洞,backup功能点需要管理员权限

直接302跳转了,晕

运用了常规手法,也bypass失败了

好了,此处漏洞挖掘到此结束

身为一个有菜又爱玩的家伙,我怎么可能轻言放弃呢?

本来打算批量扫备份拿源码,但后面发现,github的链接就在后台介绍处。。。

好家伙,我直呼好家伙,真是踏破铁鞋无觅处

拿到源码,赶紧在本地翻配置文件

spring+shiro的典型组合,嗯,刚好没学到过

凭着典型的脚本小子的思想,我考虑到了shiro的权限分配的较死,从逻辑层绕过估计是中彩票

想到f12sec有位师傅发表过shiro权限绕过的文章,可以利用shiro权限绕过,达到前台任意下载

但是尝试了网上公开的几种exp,发现均失败了

/;/------>302跳转

/;a/------>302跳转

末尾加上"/"------>302跳转

/fdsf;/../------>302跳转

怎么回事小老弟,我的200呢w(゚Д゚)w

最后,发现是我的姿势错了,在https://www.freebuf.com/vuls/231909.html中,我找到了答案

先了解点前置知识(大佬绕过):

Shiro的URL路径表达式为Ant 格式,路径通配符支持?***。

?:匹配一个字符
*:匹配零个或多个字符串
**:匹配路径中的零个或多个路径

上面的文章里解释的很清楚了,如果URI中存在;号的话,则会删除其后面的所有字符。/fdsf;/../hello/1/最终也就变成了/fdsf。

而我们这款web应用遇到不符合的目录就直接跳转了,所以,想要利用这个权限绕过,必须要有以下条件

1、存在,并且是anon权限的目录

2、要以路径通配符**结尾

很幸运,这款web应用中就有这样的目录

经过测试,images目录可行

然后手动构造,burp发包,芜湖,成功前台任意下载!

文章来源:https://xz.aliyun.com/t/10328

知识星球

致力于红蓝对抗,实战攻防,星球不定时更新内外网攻防渗透技巧,以及最新学习研究成果等。常态化更新最新安全动态。专题更新奇技淫巧小Tips及实战案例。

涉及方向包括Web渗透、免杀绕过、内网攻防、代码审计、应急响应、云安全。星球中已发布 510+ 安全资源,不定时分享未公开或者小范围公开的漏洞,针对网络安全成员的普遍水平,并为星友提供了教程、工具、POC&EXP以及各种学习笔记等等。(点我了解详情)

(名额有限,先到先得)

交流群

关注公众号回复“加群”,添加Z2OBot好友,自动拉你加入Z2O安全攻防交流群(微信群)分享更多好东西。(QQ群可直接扫码添加)

关注我们

关注福利:

回复“app" 获取  app渗透和app抓包教程

回复“渗透字典" 获取 针对一些字典重新划分处理,收集了几个密码管理字典生成器用来扩展更多字典的仓库。

回复“书籍" 获取 网络安全相关经典书籍电子版pdf

回复“资料" 获取 网络安全、渗透测试相关资料文档

点个【 在看 】,你最好看


文章来源: http://mp.weixin.qq.com/s?__biz=Mzg2ODYxMzY3OQ==&mid=2247505127&idx=1&sn=2baa8df006d6b1f37b4a510072f62da6&chksm=ceab3fa7f9dcb6b164e1c1172076b5736aa94724caaa7e81419b5f4d51eaa5fa08c06586d341&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh