|
) t" h3 u$ a( c( ?& H# D
# Z. M3 D4 c4 S
7 @& H) M( O& g R- M* L
, j! `# a8 T3 t& u$ b {' j 1、 发现注入漏洞
, C+ z8 i9 s" @ c9 B- s# n% W1 Ehttp://www.test.cn发现有ecshop2.7.x支付插件漏洞，手工测试几次都没成功（之前测试是成功的），利用k8工具爆出管理员如下：
- U) w* A9 Z8 `) h
9 F/ }9 s. v. T9 D4 Z; [- b& A利用k8工具自动分离账号和密码
9 n! a' ?6 K% K3 t
经过各种扫描没扫描到网站后台，这时候想到利用ecshop xss漏洞获取目标网站的cookie和后台路径
* K8 v# ?& x& z9 l' P
1 ]! }1 l) A7 ^2、xss跨站获取网站后台
" ?4 p8 x. `" X- L注册账号，购物商品直接结算在邮箱处填写跨站代码（之前已经搭建环境测试过了，用的payload就是普通的获取cookie的代码），注:利用黑盒测试，发现了onmouseclick事件触发xss和直接查看订单就可以触发xss的两个漏洞，本地搭建环境测试onmouseclick这个漏洞，需要鼠标移动到订单处才可以触发，很鸡肋，最后还是挖到点订单即可触发的xss漏洞。
; ?8 R1 t4 \, @9 S& a: c 0 \9 n6 `. ]2 b9 F5 J$ @/ n
9 C2 |; _5 P1 w
2、 如图：
$ y8 ]& z2 ^0 V q8 L( c: I' Q
3 m$ N4 N [9 l3 W1 j9 ~( p
4 j8 `- ? y) i没过多久打到cookie了，由于这个xss漏洞是直接打开订单就触发，作为管理员肯定是要看订单的详情的，所以很快就上钩了，如图：
5 ~+ l+ z1 i# ]. M y6 i5 C; z) P
6 L7 z. f6 ^2 Z& J! z+ `& l
- I2 G& _) [$ P' O& h. r3、不使用账户密码登录后台
4 F9 J5 Y4 A; o% a4 E: Q7 g
( P& A5 Z# t* ?$ D6 q3 ^
ecshop2.7.x的cookie过滤不严漏洞
, B5 W: M) F7 F7 ^7 M9 H0 decshop 有一个表ecs_shop_config ，里面有hash_code 貌似2.7.2 和2.7.3都是 31693422540744c0a6b6da635b7a5a93，正好我们要搞得就是其中的一个版本，所以就不用再手工注入hash_code了
9 U! _# ^; z* D1 N7 L5 B v
下面我们用k8把爆出来的md5与这个hash_code加密成md5 32位，记得爆出来的md5在前，如图：
5 G% x; z1 i$ o0 `+ M2 W y" V' h
K; u. b% j3 d+ y5 H) }
: G- m# g/ X. `" ?下面我们构造一下cookie如下：ECSCP[admin_id]=1; ECSCP[admin_pass]=7879826146588a2294aaboood6ac58b4; ECS[visit_times]=2; ECS_ID=e4ad4c650ef82ef53ff93cd5149098c531ce8dc8; bdshare_firstime=1376041144528; ECS_LastCheckOrder=Fri%2C%208%20Jul%202016%2015%3A19%3A54%20UTC; Hm_lvt_90cd7b7d1eb4e1ec87e8eb169aba582f=1467982221; QIAO_CK_6565599_R=; ECSCP_ID=330778831b3c0d3708776a9290886992a2b044da
8 R% j. A' f) H. q6 e
然后适用k8飞刀打开，先设置普通cookie，如图就登录了：
1 Q9 _9 O. f4 J" x8 r! j
0 V* Q2 ^# _5 I5 u; l- G6 k) _* C
6 N1 e! D4 l9 u8 l8 P8 s! n$ P4、后台getwenshell
- d7 [( A6 U! R/ y/ M2 }
* m; K8 N* f; [1 C
在后台库项目管理-myship.lbi-配送方式里写入一句话如图：
1 `0 g% _; d, f% {. z0 L/ [
( N. v4 }9 I: J$ E3 d# w
; J" S. C6 K7 e6 X" w6 S ]
# I" Y: [/ L( J
菜刀打开如图：
! u7 e9 e: J" F1 u1 {) |1 g
z6 @2 }5 u @# w
$ b& C" x2 L k3 e
执行命令发现2016年的主机 且内核。。。提权就直接放弃了如图：
) }, d4 O1 X1 W" L! ~/ h
 9 V0 q* z0 E& ~8 M$ U* h. I
: O+ E8 r0 z N- T% y. j( \( p; I5 ^' c% T! A
% y" t: y; B" u. A' d" t% \
# s4 Z" e; C( l
7 x! u3 R4 ?+ e6 O1 d: o, _; Z 3 b5 K2 ~/ R8 Z. |7 g' x* ?$ E# e
7 N$ J& G3 n; n* t; D! A4 }3 ]# W1 m* L* L1 \
总结：利用ecshop2.7.x的注入漏洞先注入出存在的账号和加了salt的md5加密值，由于无法扫描到后台，所有利用xss漏洞获取到后台地址，再利用注入出来的账号和密码加密值结合ecshop2.7.x的cookie过滤不严漏洞进入后台，最后利用ecshop后台myship.lb模板getwebshell，这个项目的完成是几个漏洞的组合，只要其中一个环节不通，直接会导致渗透失败，所以尽可能的掌握一套程序存的所有漏洞，在渗透测试关键时刻是非常关键的，这就是鄙人的对这个项目的总结，谢谢大家的观看！ ! x: Z$ j, r& Z% G% h: O
+ o* `/ ?4 P, ?6 l% L4 F2 ^6 l
4 c5 H+ w! ]1 _( j) x
4 k, p! r* J1 O/ C+ K& |
| 
发表于 2022-3-31 02:03:40
收藏
支持
反对