|
% [' E# G) k* S. [0 ^
# x5 n! ^; Q* @& v7 a' H
+ C$ m7 U8 _+ m5 O+ |7 \. U
; m* N* g. I1 ^# r6 R8 ]) ~+ @ 1、 发现注入漏洞
" t$ o0 t& }/ V6 {8 Uhttp://www.test.cn发现有ecshop2.7.x支付插件漏洞，手工测试几次都没成功（之前测试是成功的），利用k8工具爆出管理员如下：
0 Q9 |0 L1 k: j; G
* V% m. Y. ]( D& T8 S: G/ h; D
利用k8工具自动分离账号和密码
5 N5 F* y/ S/ o8 K( {1 G
经过各种扫描没扫描到网站后台，这时候想到利用ecshop xss漏洞获取目标网站的cookie和后台路径
" q+ Z1 t* R3 a! T/ W
" d* M$ E H/ t6 ]* S1 \2、xss跨站获取网站后台
- k* ~- N0 A: X! e# Q3 D
注册账号，购物商品直接结算在邮箱处填写跨站代码（之前已经搭建环境测试过了，用的payload就是普通的获取cookie的代码），注:利用黑盒测试，发现了onmouseclick事件触发xss和直接查看订单就可以触发xss的两个漏洞，本地搭建环境测试onmouseclick这个漏洞，需要鼠标移动到订单处才可以触发，很鸡肋，最后还是挖到点订单即可触发的xss漏洞。 * M S9 g% Q. J6 b/ ?
: Z% G6 O! z+ a6 G' F4 }- j9 | a4 h) J- U$ p
2、 如图：
9 ?' z' J+ y: x& c
) C0 y: g) R5 ?! B# s
, D2 t" r" n W' s' k* l5 l没过多久打到cookie了，由于这个xss漏洞是直接打开订单就触发，作为管理员肯定是要看订单的详情的，所以很快就上钩了，如图：
7 S p9 P$ t7 R) M
1 c; g' I8 X N0 C: ^% C
1 t5 G, H1 Z8 ?3、不使用账户密码登录后台
5 M4 C$ T0 B9 k! [
* v- L6 U4 a4 D9 r6 `
ecshop2.7.x的cookie过滤不严漏洞
) j: N4 o3 l# V! v# M p( E
ecshop 有一个表ecs_shop_config ，里面有hash_code 貌似2.7.2 和2.7.3都是 31693422540744c0a6b6da635b7a5a93，正好我们要搞得就是其中的一个版本，所以就不用再手工注入hash_code了
; N/ W9 M9 ]; ^* ?; h& _
下面我们用k8把爆出来的md5与这个hash_code加密成md5 32位，记得爆出来的md5在前，如图：
0 N; s: J. `. v7 D9 A ]
! v5 N; C1 z4 D+ M. m
) N9 T; V1 E% U% t0 Z
下面我们构造一下cookie如下：ECSCP[admin_id]=1; ECSCP[admin_pass]=7879826146588a2294aaboood6ac58b4; ECS[visit_times]=2; ECS_ID=e4ad4c650ef82ef53ff93cd5149098c531ce8dc8; bdshare_firstime=1376041144528; ECS_LastCheckOrder=Fri%2C%208%20Jul%202016%2015%3A19%3A54%20UTC; Hm_lvt_90cd7b7d1eb4e1ec87e8eb169aba582f=1467982221; QIAO_CK_6565599_R=; ECSCP_ID=330778831b3c0d3708776a9290886992a2b044da
) M V; Q& E1 o然后适用k8飞刀打开，先设置普通cookie，如图就登录了：
! _' @0 `, W l: b! m. l' D# \+ Q
4 z4 b1 u2 C |- \! R2 E8 Z
) V( a: M7 e5 | G
4、后台getwenshell
4 r3 N# ?- }7 h" n' u/ ^
, o# [; T1 N7 _2 c在后台库项目管理-myship.lbi-配送方式里写入一句话如图：
/ q3 b& J( T! e5 T* S
_$ Y) m; _% H$ Y) c" u4 {" v% m
6 G0 i, y8 r, J& f0 O" z& _
, a( |. S, R+ c/ N* c# q
菜刀打开如图：
; P& M1 T+ \9 j& @& \, B' x1 s
. P) j. }6 S- l2 N) q. U" s
- S& w. n* {/ Z- P+ x( V* y! l/ y执行命令发现2016年的主机 且内核。。。提权就直接放弃了如图：
0 j! X" M; K4 {$ j7 X
 * a. k: T: L4 O7 ~, x! Y. x5 Z' t
; b' S% z7 e: U! [; o
" x3 J% D. T/ v; S+ o 4 J6 s: O2 V+ Z, R6 @
: S7 E3 M' j4 F7 H# H# a$ w+ j( G
# ]2 H( u& ~) ?6 U' n0 Z- h& Y ( |4 ?7 y+ R- }! T3 g1 Z
+ ~7 e* \: z; `. y) _( z2 @; v 总结：利用ecshop2.7.x的注入漏洞先注入出存在的账号和加了salt的md5加密值，由于无法扫描到后台，所有利用xss漏洞获取到后台地址，再利用注入出来的账号和密码加密值结合ecshop2.7.x的cookie过滤不严漏洞进入后台，最后利用ecshop后台myship.lb模板getwebshell，这个项目的完成是几个漏洞的组合，只要其中一个环节不通，直接会导致渗透失败，所以尽可能的掌握一套程序存的所有漏洞，在渗透测试关键时刻是非常关键的，这就是鄙人的对这个项目的总结，谢谢大家的观看！
5 Y6 Z R4 E- i/ i1 I( F) _ 0 Y: A" \5 G2 ?: U1 x" n
* P8 B; L. a/ |) b
! V' }: {# }- R# g3 O. e
| 
发表于 2022-3-31 02:03:40
收藏
支持
反对