记一次灰盒代码审计之旅

开篇

在大家挖掘漏洞过程中，可能有很多种方式，比如：纯白盒的代码审计、纯黑盒的渗透测试、对比补丁包寻找漏洞点等方式。这里我想为大家分享一种思路，灰盒（黑白盒结合）的代码审计。这种方式相较于传统的纯白盒代码审计而言，具有更高的效率。

通常来讲 source+sink = BUG。我们可以利用黑盒来快速寻找source点（外部传入参数），利用白盒来寻找sink点（风险函数），从而快速定位漏洞点。最近刚好有个以前的挖掘的漏洞被修复了，这里带大家来体验下这种思路的漏洞挖掘。

系统简介

O2OA企业应用开发平台是一款开源产品，是使用JavaEE技术栈，分布式架构设计的一款真正全代码开源的企业应用定制化开发平台。适用于企业OA、协同办公类信息化系统的建设和开发。

** 下载地址**

l 开源主页 : https://www.oschina.net/p/o2oa

l 影响范围：<=7.1.3

l 漏洞版本下载 :

https://download.o2oa.net/download/o2server-7.1.3-windows-x64.zip（win）

https://download.o2oa.net/download/o2server-7.1.3-linux-x64.zip（linux）

黑盒-任意文件上传

首先我们看看该系统后台存在的任意文件上传漏洞，一个比较经典的漏洞

漏洞位置：系统设置> 系统部署> 资源部署

功能点截图：

测试经过：

点击上传文件，请求数据包如下

上传后的文件位置在：o2server/servers/webServer/test.bat

这里的上传点未限制任何后缀，并且上传后的文件也未进行重命名文件名的操作。

那么我们尝试是否可进行路径遍历，上传该文件到其他目录下

这里修改数据包入上图所示，进入相应目录下进行查看

可以看到成功上传。

这里的路径遍历、未进行文件重命名隐患给了我们很大的操作空间，为后续的RCE提供了基础。

黑盒-任意文件读取与写入

任意文件读取

前言：

在整个漏洞挖掘过程中，需要注意推断哪些地方可能出现漏洞。就好比我们打游戏时，中单需要推断打野是红开还是蓝开，从而推断打野从上野区来还是下野区来。那么对应到漏洞中就是：与数据库交互的地方可能出现SQL注入、文件操作的地方可能出现任意读取和写入。下面我们来看下这里的任意读取和写入。

漏洞位置：

**   系统设置 > 基础配置 > 平台配置**

功能点截图：

测试经过：

看到这个功能点时，我们首先看到它是用来读取、编辑配置文件的。那么我们需要验证下，它是将通过读写数据库还是读写的本地文件。这里有一种方法，可以通过观察数据包进行验证，如果数据包中有文件相关的操作，那么大概率为读写配置文件；如果数据包多为json格式，那么大概率为读写数据库操作。

我们看下这里的数据包：

请求包中为fileName字段，那么基本可以确认为读写配置文件操作。

要达到任意读写，只需要路径遍历即可。构造数据包如下：

成功读取上级目录下的文件。

任意文件写入

漏洞位置：

系统设置 > 基础配置 > 平台配置

功能点截图：

测试经过：

同样，这里的功能点相应的是保存配置文件，那么通过上面的方法，进行路径遍历，是否可以进行任意文件写入呢？下面我们来看一下。

点击保存进行抓包，并对文件名称进行更改，尝试进行任意文件写入

上图为保存配置文件时抓取到的数据包，对数据包构造如下图

这时发现响应包响应为非法json格式，看来此处的任意文件写入的内容需要符合json格式

构造数据包如下尝试进行路径遍历写入

查看文件写入情况

成功写入

灰盒-RCE

前言：

我们目前挖掘到了两个高危漏洞，任意上传、任意读写，那没有RCE怎么行呢！

漏洞位置：

日志查看器>SystemLog

功能点截图：

测试经过：

在进行功能点浏览的时候，一个日志查看器的功能引起了我的注意

在输入help后，发现其存在start、stop等功能点

这时候我一直在想，它的start、stop所有服务功能点是如何实现的呢

直接写死在代码里的吗还是存在相应的脚本进行控制？

这里有一个可控的source点，那么只需要找到相应功能点的sink点，就可以达到RCE

我根据代码所处的接口位置找到如下代码：

source点：可从外部输入restart命令

sink点：getRuntime执行启动脚本

这段代码大概的逻辑是这样：

收到restart指令 - > 识别操作系统 -> 判断是否存在相应的启动脚本 -> 若存在则getRuntime执行对应脚本

既然它这里的逻辑是执行相应的脚本文件，那么我们岂不是可以通过任意文件写入漏洞 或者 上面的任意文件上传漏洞进行覆盖重写该脚本文件，再通过restart指令执行被重写后的脚本，从而任意命令执行。

下面对每种RCE方式进行实现

RCE一：覆盖/etc/passwd添加用户

利用条件：Linux系统

1、首先，我们利用任意文件读取漏洞，读取/etc/passwd文件内容

2、添加将原文件内容处理后，在尾部添加一条自定义密码的用户

v1ct0ry:$1$ljH.AvaV$Q3uVym4pFYs2J4Mk7z9v9.:0:0:root:/root:/bin/bash

这里添加的是，用户密码为v1ct0ry/123456的用户，处理后的文件内容如下图所示

3、利用任意文件上传漏洞覆盖/etc/passwd文件

利用任意文件上传漏洞覆盖服务器当中的/etc/passwd文件

在服务器上验证是否上传成功

成功写入

这里由于是直接修改/etc/passwd文件，/etc/shadow文件不会同步加入v1ct0ry2用户，从而不能使用v1ct0ry2用户登录ssh

需要再次写入/etc/shadow文件,文件内容为：

v1ct0ry2:$1$ljH.AvaV$Q3uVym4pFYs2J4Mk7z9v9.:19209:0:99999:7:::

4、利用ssh远程登录服务器（前提是ssh映射在公网）

通过添加的账户密码远程连接服务器

成功连接。

RCE二：任意文件上传覆盖启动脚本

利用条件：Windows

因为该RCE需要重启服务，为了不影响应用本身运行情况，我们需要在原启动脚本后添加一条命令执行语句

首先通过任意文件读取漏洞读取原启动脚本内容

准备好一个在尾部添加自定义命令的bat脚本，以start_windows.bat进行文件上传

在日志控制台输入restart进行命令执行

总结

我们在这里再大概梳理一下整个过程，任意文件上传 -> 路径遍历 -> 任意文件读取 -> 任意文件写入 -> RCE 在我们日常进行漏洞挖掘时，大家可以参考这种方式，以source点和sink点结合的思维、黑白盒结合的方式进行漏洞挖掘，可以适当提高漏洞挖掘的效率哟。