【清默网络】由一次渗透引发的安全思考

近日对某网站进行了一次简单渗透，让我想起了不久之前发生的一次”小事件”;
" s8 |3 F# J" Z% W1 ]6 `$ }  
* Q. A, q  F3 N1 B 拿出来和大家分享希望能对提高大家的安全开发意识有所帮助
  
3 g( |" O) R1 e) I3 l/ o2 \ 事件回放：一个页面提供下载功能
3 H4 l" V; L3 E  
7 ?, f2 r6 M3 Q5 @1 y5 Q! k 结果是：程序bug导致下载服务器上的任意文件。
  
, Q3 k7 k8 C- i/ Q2 J) F& d 可能你会觉得下载了也没有用，因为我只开放了80端口，甚至还有负载均衡挡在外面，下载一个密码文件也没什么，但实际这是一个相当危险的问题。
5 q7 \) b- R' _  
以下是一些原理性的假设，其中一些细节是基于实际渗透的。仅供学习和交流，和给大家提个醒。
, ]' n' X2 h% v* O  
记得当时是这样的，有一个页面提供了活动相关mp3下载功能,结果被一些“细心”的朋友发现了其中的问题，并及时予以通知，这才进行了修补
  
其实原理很简单也很常见，和当年iis上出的那个目录遍历漏洞是一样的，就是提供下载功能的jsp文件将文件名作为参数传入，类似于:down.jsp?FileName=song.mp3，在浏览器地址栏提交后就能得到song.mp3这个文件了。
6 _/ n: @% |" |  
+ U+ f! r' u" a7 Y* b5 ]& m/ v 接下来，做一下简单的修改，将地址栏的参数改为如下样子：down.jsp?FileName=../../../../../song.mp3
8 w1 ]5 {( X; y3 b- R& C  
由于这个目录下的文件根本不存在，如果程序处理的够好，包住了异常，那么就会返回一个0字节文件，这样看来不会出现问题，但是我们继续修改参数：down.jsp?FileName=../../../../../etc/hosts
  
' \$ H& w- k( b& y 猜猜看会怎么样？有两种可能
  
1.返回的仍然是空
  
原因：
  
a.文件不存在，也就是目录不对，那么需要再次尝试：down.jsp?FileName=../../../../../../etc/hosts;在增加一个“../”，直到找到文件
  
b.找到了文件，但是没有权限读取，但是很不幸，我见到过的类似问题都是能顺利读取的，而且能读取的远远不止这个文件
1 ~7 M1 r( b2 K6 C/ O  
2.返回了hosts文件
  
# M) h* @5 a0 `2 a8 b/ g1 W bingo，如果顺利返回hosts文件，那么就可以更近一步渗透了。
  
可能你会想，就是个hosts么，没什么。
  q9 H( _4 V, i& H3 M6 `  
4 j4 `2 X0 D6 y" ]- Z9 G 好了，下一步，我把地址改为如下内容：down.jsp?FileName=../../../../../etc/gshadow
  
于是获得文件，类似如下内容
  
bin:x:1:root,bin,daemon
  
daemon:x:2:root,bin,daemon
1 I0 v* z9 @: L1 v0 n3 T7 o  
sys:x:3:root,bin,adm
  
…….
  
***:***:/home/dmtsai:/bin/bash
  
( H! E8 W# H8 s6 Z* S* F 好了，这样我就获得了该系统中所有的用户名，也就是例子中/home/dmtsai:/bin/bash的dmtsai
  
/ |( b: I+ j! ^* A) [6 H% x& o- [0 P; ? 当然一个系统中可能会有很多用户，当然也会全部列出来，
  
好了接下来做一件比较恐怖的事情
  
也是最核心的，将地址栏改为如下内容：down.jsp?FileName=../../../../../home/dmtsai/.bash_history
  
这下我就等于拿到了这台机器上的命令行历史记录
  
类 似于vi,ftp,cd /***,rm ***,等等，甚至是mysql的数据库连接命令，还有一些Python脚本，这些记录全部拿到，因为是web服务器，也就很容易可以拿到你的web目录，以及其中的关键东西，如果用的struts，那么定位到你的web目录，那么好了，struts-config文件有了，web.xml有了，然后数据库配置文件也有了，log配置文件也有了。那么这意味着什么呢，你的整套网站的jsp源文件会被下载，或许这并不能拿到服务器的权限，但是很大程度为黑客提供了一次深度接触我们的机会，这是十分危险的！
  
接下来就可以分析从服务器上获得的资料，准备进一步渗透了。可能通过对jsp文件的分析，你可以拿到上传的权限，这样会使问题更加恶化。
3 w# n8 F6 H/ b3 [, z  
所以在日常开发中，这种文件下载的功能要慎之又慎，有可能一个疏忽就导致你的服务器遭到渗透
+ I" H, [; b# x+ D' P: u  
2 ?$ T  E9 I8 Y/ N9 @3 Y# t 以下是一些总结：
  
1. 在做开发中，如果有下载功能，请不要将客户端提交的文件名直接用来去取文件，这是很大意很危险的行为。建议定义好type类型，然后通过传递type，来取得相应的文件，如：aa对应song1.mp3;bb对应song2.mp3。而且文件所在的根目录最好能固化在程序中，或者写在配置文件中
6 y8 e. j1 p* j0 R( p! o  
9 o/ @: R) Y4 u9 \; `* n/ ?6 W 2.用户提交的数据都是不可信的，需要我们层层筛选，这其中合法性验证很必要，不是简单的数字判断，文件名判断之类的就行了的，至少要考虑两方面，
) M/ t5 K- y( u- C: ]  
1 r- t+ p5 B$ p2 ~2 x a.是否是未经处理就返回给用户（此处问题最近就发生过，还好已经及时修复）
+ m4 o# d+ Y7 d+ ^6 [  
b.是否未经处理就将参数传入到逻辑模块去执行了
  
a点的危害是我们常见的xss，用户提交恶意的代码，结果未做判断就扔回去。
2 n$ b0 P) N! @) x8 t  
b 点的危害就无法估量了，这取决于你的代码逻辑，如果它功能够强大，那么黑客获得东西也就越大，损失也就越大。所以对于用户提交的数据要十分谨慎，因为我们的程序不只是要能够运行，还必须要健康的运行。其实完全可以把用户的提交数据看作是定时炸弹，不要犯懒，嫌麻烦，存在侥幸心理，觉得用户可能不会发现，要知道面对几千万的用户，哪怕概率只有千万分之1，那也是恐怖的。
  
3.即使是只开放80端口，一样可以进行渗透，这时不管有没有防火墙什么的都没有用，因为这是通过正常的访问获得的，也就是说只要程序有bug，那么再强的防御也无济于事，这其实是一种简单的穿透手段，利用程序bug来穿透，获得敏感数据。
  
5.web服务器启动者的权限问题，如果web服务器的权限很低，那么我什么也拿不到，或者拿到很少的东西。同样如果启动者的权限过高，拿到的文件也就越多，万一从对jsp文件的分析中发现了上传方面的bug，那就真的是不堪设想
  
2 H6 G3 Q- c$ r: Z. D 6.要下载的文件最好单独存放，并且以静态方式下载，这样可以将风险降到最低，甚至是0风险
6 M# E/ r2 F) V* s1 G) C  
' M7 `+ Z% R! }, \ 7.还有很多，大家自己根据需要自己理解吧

不错不错，楼主您辛苦了。。。

路过，支持一下啦

看帖回帖是美德！:lol

我是个凑数的。。。

帮帮顶顶！！

我是来刷分的，嘿嘿

这是什么东东啊

好好 学习了 确实不错