0x00.前言:Vulhub是一个面向大众的开源漏洞靶场,无需docker知识,简单执行两条命令即可编译、运行一个完整的漏洞靶场镜像。旨在让漏洞复现变得更加简单,让安全研究者更加专注于漏洞原理本身。

vulhub官网: https://vulhub.org/

官方的搭建说明: https://asciinema.org/a/ixkEitnLpLhg3QtOfPlnHn940?rows=40

0x01.学习web安全的估计手里都有kali_linux,那么我下面就使用kali作为服务器安装vulhub所需要的环境,也就是docker

1.apt安装docker和docker-compose控制器,如果提示找不到软件包的可以先执行 apt-get update更新下源信息,推荐使用阿里源或者中科大的,下载速度快

root@kali#: apt-get install docker docker-compose -y

2.查看docker版本,显示出信息就是安装成功了

root@kali:# docker version

3.docker设置国内镜像源

root@kali:# vi /etc/docker/daemon.json
添加以下代码:
{
  "registry-mirrors": ["https://pee6w651.mirror.aliyuncs.com"]
}
保存退出

4.启动docker

root@kali:# service docker start

0x02.把vulhub环境文件下载到本地,可能会有点慢,因为文件在github上下载太慢了, 所以我把文件上传到了百度云,同学们自行下载然后拖进虚拟机内

百度云链接 提取码:fh3x

双击进入压缩包解压,然后改名为vulhub

0x03.环境介绍

vulhub里面是按照文件夹的方式分类漏洞,都是一些web框架 CMS 中间件之类的存在的漏洞

比如我进入 thinkphp这个文件夹,发现下面又有4个文件夹,前三个是rce远程代码执行漏洞,后面那个是sql注入漏洞

然后我又进入 5-rce这个文件夹,里面有一个docker-compos文件,我们通过使用docker-compose可以实现一键打开漏洞环境,readme是漏洞说明

0x04.把漏洞docker环境下载到本地进行复现

这里我就随便选一个漏洞进行环境部署

root@kali: ~/vubhub/thinkphp/5-rce# docker-compose up -d

这样就开始从镜像库把镜像拉到本地,等待完成即可

提示完成,做到这里其实我们的环境不仅已经下载完成,而且还启动了

使用 docker ps 可以查看当前正在运行的镜像,可以看到镜像的80端口映射给了宿主机的8080端口,也就是我们kali的8080端口

直接访问就进入了漏洞服务

关于漏洞利用在readme里面有,但是不是很详细

做实验时如果想进入docker镜像的里面瞧瞧,可以使用以下命令:

root@kali: ~/vubhub/thinkphp/5-rce# docekr exec -it [镜像的进程id] /bin/bash

如上图操作,就得到了一个shell,退出docker镜像shell的命令是:

root@5cf9507886c2:/var/www/public# exit

0x05.实验环境关闭

关闭docker镜像:

root@kali: ~/vubhub/thinkphp/5-rce# docker-compose down 

0x06:大概就是这样,其他更多的操作需要同学们去摸索

1.跟前两关一样使用空格尝试隔开参数,结果失败

查看后端源码后才知道是对拼接进行了改写,提交的参数无法跳出src

2. 27个英文字母都不认的齐的我去翻译了下主界面的单词意思

说什么未定义不兼容,对于 .swf文件不熟悉的我去查了下这种格式是怎么回事

swf文件百度百科信息,反正就是看的不太明白

3.然后得知这玩意是可以反编译的,于是从网上下载了相关的反编译工具 JPEXS,从服务器找到 xsf03.swf这个文件,直接拖入反编译程序中。

然后在文件的脚本那里找到了出错的sIFR,点击打开后发现了我们页面显示的报错信息,是赋值给了 "VERSION_WARNING"这个变量,中文意思就是“版本警告”,难不成说什么不兼容是版本问题?

使用查找功能查找一下 VERSION_WARNING 变量在哪应用了,

这里先把VERSION.WARNING以%s打散成数组,然后再以version的方式组合成字符串。搜索了一圈,并没有version,哎,对flash太不熟悉了,只通过p-code发现了这样的一个东西

4.回到我们的level 19,url中同样是get了两个参数,并且拼接到了 src里面

在新标签页中打开,这url怎么有点眼熟,像是我们之前一直做的php传进参数

难不成swf文件也能传入参数?带着这个疑问我去百度了下,还真的可以

这一下就有思路了,前面的提示信息不是说什么未定义不兼容吗,然后逆向追踪到了输出信息version,难不成是version没有定义?那我们就给它定义一个version

xsf03.swf?version=1

提交后发现提示内容发生了改变,“undefined”变成了“1”,也就是我们定义的version

5.回到 level19提交也一样

那既然有回显信息,我们可以构造一个标签看能不能插进去

可以看到有了效果

点击后可以触发JavaScript命令

至于这种xss的具体原理我也不懂,感兴趣的同学可以自行去翻阅资料

这题跟上一题一摸一样,连源码都一样,就插入的那个文件不一样而已

都是添加事件属性触发javascript伪协议

审查前端源码,这次显示内容的地方使用了 <embed>标签

通过url知道提交了两个参数arg01和arg02,我们先修改两个参数看看

查看后端原来是使用了拼接字符串

echo "<embed src=xsf01.swf?".htmlspecialchars($_GET["arg01"])."=".htmlspecialchars($_GET["arg02"])." width=100% heigth=100%>";

那么这就容易了,我们利用html的特性会自动给等于号后面的参数添加双引号,在arg01的等于号后添加个空格,再看源码,结构发生了改变

由于embed时支持html事件属性的,那我们完全可以给他添加一个属性,那我们就添加个 onclick属性把,点击就触发

level17.php?arg01= onclick&arg02=javascript:alert('xss')

提交后可以看到已经成功把属性插入了进去

点击元素区可以触发这个事件,

1.查看过滤规则

2.发现进行了统一转换为小写,并且把 "script"、"/"、"空格" 转换为"&nbsp" 这个实体编码,那这里我们就不能使用双写绕过和大小写混合绕过了,

于是尝试用%0a隔开script,发现隔开成功不会被过滤

通过前端源码查看,发现输入的内容输出在<center>这个标签内,这个标签的作用是把里面的内容居中显示在网页。

3.那这就有意思了,script我们可以使用%a0隔开绕过替换,空格替换可以使用%0a代替,但是反斜杠却没法绕过,所以只能不使用反斜杠。

所以这里我们构造一个a标签,使用%0a代替空格,因为反斜杠不能使用,所以暂且不闭合

<a%0ahref="javascr%0aipt:alert('xss')">

提交后通过源码审查有意思的是,程序自动加上</a>帮我们闭合了a标签,虽然我们没有在页面建立超链接,但是点击图片和下面的“payload长度”可以触发我们的JavaScript伪协议内容。

4.如果想要在网页显示超链接文本的话,可以在我们添加的payload后面加上要显示的超链接文本内容。

当点击超链接时会执行我们的javascrip脚本