|
7 B1 \1 b% h" ? P1 N/ {
0 A6 G+ q4 J1 p" c% a- H. @ `* ?- v, ~ $ Y8 r$ B: p) \' t) Q7 _
% d2 ` v' j9 O8 d4 N& I% O& z
1、 发现注入漏洞
, [3 v4 U ^8 t5 r# [8 N: @http://www.test.cn发现有ecshop2.7.x支付插件漏洞，手工测试几次都没成功（之前测试是成功的），利用k8工具爆出管理员如下：
. o/ |" l* ^- v# F7 N
7 n& x X8 h/ r; H# y/ R/ t利用k8工具自动分离账号和密码
1 p% w p# H" W9 ~
经过各种扫描没扫描到网站后台，这时候想到利用ecshop xss漏洞获取目标网站的cookie和后台路径
( b h' J% U$ A: i& Z8 p3 _
4 H" p$ H" y; D# |6 ?" R$ p
2、xss跨站获取网站后台
2 X6 j. Z* Y# |4 E( X
注册账号，购物商品直接结算在邮箱处填写跨站代码（之前已经搭建环境测试过了，用的payload就是普通的获取cookie的代码），注:利用黑盒测试，发现了onmouseclick事件触发xss和直接查看订单就可以触发xss的两个漏洞，本地搭建环境测试onmouseclick这个漏洞，需要鼠标移动到订单处才可以触发，很鸡肋，最后还是挖到点订单即可触发的xss漏洞。 1 q4 a$ ?9 \& f7 S+ p. I! e
# y$ u& t( ^7 |) Q: e, Y$ ]$ W& _: l
2、 如图：
{, g& G. s, a
; G+ e% w$ ~+ }# |' ~8 f& d b9 }
$ H. b0 a" b8 C* s+ e没过多久打到cookie了，由于这个xss漏洞是直接打开订单就触发，作为管理员肯定是要看订单的详情的，所以很快就上钩了，如图：
, W& L8 _/ O R2 x
4 J6 |- h. c! `9 _+ }/ |
* {1 I& A* R3 u5 Q2 w3 G! a
3、不使用账户密码登录后台
: ~1 _! L# |7 F
7 j& E f% t' {. f7 Zecshop2.7.x的cookie过滤不严漏洞
( ]: V% f7 i6 S, \& Z/ i3 p
ecshop 有一个表ecs_shop_config ，里面有hash_code 貌似2.7.2 和2.7.3都是 31693422540744c0a6b6da635b7a5a93，正好我们要搞得就是其中的一个版本，所以就不用再手工注入hash_code了
5 \0 z" Z& o) f2 Q, {/ `下面我们用k8把爆出来的md5与这个hash_code加密成md5 32位，记得爆出来的md5在前，如图：
! |. h* o2 m- S! x
9 P I2 P2 U. @3 y
/ A( n; T/ V$ `- V0 i下面我们构造一下cookie如下：ECSCP[admin_id]=1; ECSCP[admin_pass]=7879826146588a2294aaboood6ac58b4; ECS[visit_times]=2; ECS_ID=e4ad4c650ef82ef53ff93cd5149098c531ce8dc8; bdshare_firstime=1376041144528; ECS_LastCheckOrder=Fri%2C%208%20Jul%202016%2015%3A19%3A54%20UTC; Hm_lvt_90cd7b7d1eb4e1ec87e8eb169aba582f=1467982221; QIAO_CK_6565599_R=; ECSCP_ID=330778831b3c0d3708776a9290886992a2b044da
" F7 q5 d# w3 R) c9 B然后适用k8飞刀打开，先设置普通cookie，如图就登录了：
' P [) n6 W; a2 w* ]- l$ K% F
* c& S7 k* p: q N
2 F, G( ^, Y* b. w" y* ] m: x
4、后台getwenshell
! X+ d9 K2 x: N) ^% f
) q5 x5 x. ^+ t& E6 B在后台库项目管理-myship.lbi-配送方式里写入一句话如图：
# ~& M! |; q- b& m+ D9 @% t0 Y5 S
. R8 V M5 d# F8 a* T6 r# X
1 b& H" i. {0 B2 P# S3 C
! E! j( k/ D. W! N3 o' m! D- S菜刀打开如图：
% E* x8 Y( L/ c$ b
+ {1 h' s' z1 Q+ i) a0 B0 d5 |$ h
& ~# N; q& w+ j- s执行命令发现2016年的主机 且内核。。。提权就直接放弃了如图：
% ?9 u) N0 ]4 G7 v - Z3 Y' |+ X' j8 X7 N% a
1 ^: T0 r$ y4 O) e
9 T, |5 B* u, o! I
) z* q6 X6 }7 G$ u* U, m- e, j2 n
( L: T. _8 \6 `% b% E) O" E6 H! @/ `* g3 Z0 a) a7 x
0 `" I( w/ i) H/ M6 P- c
: u' x. [# a- U$ [) u8 n- A) U4 t7 [0 r A5 y& F0 m( h. q; a. ^
总结：利用ecshop2.7.x的注入漏洞先注入出存在的账号和加了salt的md5加密值，由于无法扫描到后台，所有利用xss漏洞获取到后台地址，再利用注入出来的账号和密码加密值结合ecshop2.7.x的cookie过滤不严漏洞进入后台，最后利用ecshop后台myship.lb模板getwebshell，这个项目的完成是几个漏洞的组合，只要其中一个环节不通，直接会导致渗透失败，所以尽可能的掌握一套程序存的所有漏洞，在渗透测试关键时刻是非常关键的，这就是鄙人的对这个项目的总结，谢谢大家的观看！ 5 g$ R8 i) C8 X- _) ` j
3 m% _! b" j2 Y. t2 [7 I1 Y5 E
6 |" s4 l# _$ x- L
; c4 o( I0 ~8 ~) ^
| 
发表于 2022-3-31 02:03:40
收藏
支持
反对