|
' E& u# P4 L0 y
' G& G! @ X( B% x r " K6 g6 m$ X. p. M8 r. u1 [
+ B C( ^# A( }, ~* s9 g+ q# e 1、 发现注入漏洞
2 u* F9 B$ q2 |* V
http://www.test.cn发现有ecshop2.7.x支付插件漏洞，手工测试几次都没成功（之前测试是成功的），利用k8工具爆出管理员如下：
/ {* _% v% p& J, W. a
* C4 Q2 Q0 V0 K: @利用k8工具自动分离账号和密码
) L b" d( z; J9 u
经过各种扫描没扫描到网站后台，这时候想到利用ecshop xss漏洞获取目标网站的cookie和后台路径
/ f g3 H. N4 i- L1 j- u# X
0 g1 f9 @+ E+ d+ ~* ^. F y2、xss跨站获取网站后台
) N% r4 R9 {* H" h
注册账号，购物商品直接结算在邮箱处填写跨站代码（之前已经搭建环境测试过了，用的payload就是普通的获取cookie的代码），注:利用黑盒测试，发现了onmouseclick事件触发xss和直接查看订单就可以触发xss的两个漏洞，本地搭建环境测试onmouseclick这个漏洞，需要鼠标移动到订单处才可以触发，很鸡肋，最后还是挖到点订单即可触发的xss漏洞。 . k8 B9 j: B) o( k
- e* r; ?+ q3 J, R
: k" G7 s' Q6 ~0 T 2、 如图：
! d' o: V/ L/ |' Z0 D0 _
& k7 g% E7 b9 c2 ?. q
9 b4 o" [. L# f; A5 I) p
没过多久打到cookie了，由于这个xss漏洞是直接打开订单就触发，作为管理员肯定是要看订单的详情的，所以很快就上钩了，如图：
' w( t, ^* w1 ?. y0 t
$ }5 K" h+ i k4 C N0 Q
- K1 Z- ]: I) a( S0 F* t3、不使用账户密码登录后台
- U' p1 D M$ X. ~4 ? t
# l2 b% s; p1 h. i" t: K9 j* t2 v
ecshop2.7.x的cookie过滤不严漏洞
9 H" u6 y( `+ d4 `8 pecshop 有一个表ecs_shop_config ，里面有hash_code 貌似2.7.2 和2.7.3都是 31693422540744c0a6b6da635b7a5a93，正好我们要搞得就是其中的一个版本，所以就不用再手工注入hash_code了
7 Z% z! i6 F6 u, A! J0 L1 u7 k
下面我们用k8把爆出来的md5与这个hash_code加密成md5 32位，记得爆出来的md5在前，如图：
5 O7 i. {+ g: k& V, _
' y2 c/ q" `1 b- y
: }- a+ { q& ~8 F' W L, C5 [ {下面我们构造一下cookie如下：ECSCP[admin_id]=1; ECSCP[admin_pass]=7879826146588a2294aaboood6ac58b4; ECS[visit_times]=2; ECS_ID=e4ad4c650ef82ef53ff93cd5149098c531ce8dc8; bdshare_firstime=1376041144528; ECS_LastCheckOrder=Fri%2C%208%20Jul%202016%2015%3A19%3A54%20UTC; Hm_lvt_90cd7b7d1eb4e1ec87e8eb169aba582f=1467982221; QIAO_CK_6565599_R=; ECSCP_ID=330778831b3c0d3708776a9290886992a2b044da
( _1 Z; [# S3 B2 a" v+ y然后适用k8飞刀打开，先设置普通cookie，如图就登录了：
& W' ^. n% q; ]
, h! P! y. F0 h* t
9 F+ `2 T" J7 I7 Y. H( n9 z: T
4、后台getwenshell
- C/ o# G( Y( G
! ^8 u O/ @& ^+ d
在后台库项目管理-myship.lbi-配送方式里写入一句话如图：
" V$ D( L- `4 ]2 E$ P W
( }9 y' I6 |' J- T+ u
7 ]& D2 }6 F1 _. a. w7 j4 a
- Q' j& v) K! z& k/ k3 s! d
菜刀打开如图：
$ g7 b' H" |1 I. ^3 S3 O
8 f- M. r$ l! ]3 s; Y$ D- D; w6 c
8 u( Y& t7 O6 l执行命令发现2016年的主机 且内核。。。提权就直接放弃了如图：
, @/ g8 [# T- K ^" B" v) i
0 ?7 D5 w+ @, z! L1 ?
" P+ T* ], K" v: p4 C" b, v( n3 Z, n; [& X% Z% O! z; I
* }0 k+ i p2 C; `
( u1 N* l) F8 ~% W% ~
( u+ x! O7 v# K* y3 k ! D- }4 k; G; }7 b5 r/ K$ K
' |' P8 F$ _0 r
) X+ s# z* C0 g% |2 J4 Q 总结：利用ecshop2.7.x的注入漏洞先注入出存在的账号和加了salt的md5加密值，由于无法扫描到后台，所有利用xss漏洞获取到后台地址，再利用注入出来的账号和密码加密值结合ecshop2.7.x的cookie过滤不严漏洞进入后台，最后利用ecshop后台myship.lb模板getwebshell，这个项目的完成是几个漏洞的组合，只要其中一个环节不通，直接会导致渗透失败，所以尽可能的掌握一套程序存的所有漏洞，在渗透测试关键时刻是非常关键的，这就是鄙人的对这个项目的总结，谢谢大家的观看！
) `# G+ c; L' e7 G: J 5 ]+ U. u, Y- s( U& Y# Q7 i4 E4 d
, m2 a$ U, D. T4 \5 }3 ~1 P
6 O9 Y; C d1 k
| 
发表于 2022-3-31 02:03:40
收藏
支持
反对