Natas31 Writeup(Perl 远程命令执行)

Posted zhengna

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了Natas31 Writeup(Perl 远程命令执行)相关的知识,希望对你有一定的参考价值。

Natas31:

技术图片

源码如下:

my $cgi = CGI->new;
if ($cgi->upload(‘file‘)) {
    my $file = $cgi->param(‘file‘);
    print ‘<table class="sortable table table-hover table-striped">‘;
    $i=0;
    while (<$file>) {
        my @elements=split /,/, $_;

        if($i==0){ # header
            print "<tr>";
            foreach(@elements){
                print "<th>".$cgi->escapehtml($_)."</th>";   
            }
            print "</tr>";
        }
        else{ # table content
            print "<tr>";
            foreach(@elements){
                print "<td>".$cgi->escapeHTML($_)."</td>";   
            }
            print "</tr>";
        }
        $i+=1;
    }
    print ‘</table>‘;
}
else{
print <<END;

源码是将CSV文件里的数据拆分为表格形式。首先split函数按照“,”将csv中的每行进行分割,返回一个字符串列表。然后遍历列表中的字符串,将其分别使用escapeHTML()函数进行转义。最后将转义后的字符串填入表格中,用print函数输出到屏幕。

进一步找出关键代码如下:

//上传文件,打印内容

my $cgi = CGI->new;						//创建新的CGI实例

if ($cgi->upload(‘file‘)) {				//检查文件是否上传
    my $file = $cgi->param(‘file‘);		//获取文件描述符
	
	while (<$file>) {					//遍历文件的每一行
		print "$_";						//打印当前行内容
	}
}

这5行代码所做的是,用户上传文件到服务器,然后服务器返回文件内容。在此过程中,服务器并没有保存或者移动这个文件,仅仅是显示了其内容,看起来没有什么不安全的地方。但是事实上真的安全吗?当然不是。

首先,【if ($cgi->upload(‘file‘)) {】这行代码中,我们期望upload()负责检查“file”参数值所代表的文件是否已上传,然而实际上upload()检查的是某一“file”参数值所代表的文件是否已上传(用户可构造多个file参数)。换句话说,upload()并不要求所有的file参数都是文件,它只要求其中一个file参数是文件即可。这意味着,我们可以构造2个file参数,一个上传文件,另一个赋一个变量值,这样也可以通过upload()的校验。

然后,【my $file = $cgi->param(‘file‘);】这行代码中,我们期望param()返回上传文件的文件描述符,然而实际上,如果我们构造2个file参数,一个上传文件,另一个赋一个变量值。那么param()返回我们输入的所有file参数值的列表。但是$file不能包含两个值,所以在给$file赋值时,程序会取列表中的第一个值赋给$file。所以如果给第一个file参数赋变量值,第二个file参数赋文件描述符,则$file会被赋值为我们输入的变量值,而不是上传的文件描述符。这意味着,此时$file变成了一个常规字符串!

接着,【while (<$file>) {】这行代码中,我们本来期望遍历文件的每一行,但由于此时$file是一个常规字符串,事实上,“<>”仅对文件起作用,对字符串不起作用。但是有一个特例,除非这个字符串是“ARGV”。当字符串是“ARGV”时,“<>”会遍历URL中?后面的每个值(比如POST /test.cgi?/etc/file1 /etc/file2),并把它们当做文件路径插入到一个open()调用中。这意味着,此时我们可以查看任何我们想看的文件内容,而不是仅仅查看我们上传的文件内容。

最后,再说说open()函数。open()的本意是打开一个字符串所代表的文件,但是当在字符串后面加一个“|”的话,open()就会执行这个字符串(比如POST /test.cgi?ipconfig|),就像调用一个exec()一样。

因此,我们可以使用如下2种方法获取flag。

方法一:直接在URL后面输入路径打开密码文件。

 技术图片

方法二:在URL后面调用cat命令打开密码文件。

技术图片

flag:no1vohsheCaiv3ieH4em1ahchisainge

事实上,上面5行代码来自CGI.PM官方文档,它既没有调用exec()函数,也没有保存文件,仅仅是使用了print打印,谁能想到这几行代码可以被骇客利用形成这么大的漏洞呢?这并不是开发者的错,而是Perl语言本身的问题。Perl拥有默默用光列表,混淆数据类型,执行用户输入等等缺陷,并且至今没有被修复。所以,不要再使用Perl语言!至少不要再使用CGI环境。

 

参考:

https://www.youtube.com/watch?v=BYl3-c2JSL8(主要参考这个)
https://www.blackhat.com/docs/asia-16/materials/asia-16-Rubin-The-Perl-Jam-2-The-Camel-Strikes-Back.pdf
https://blog.csdn.net/baidu_35297930/article/details/99974886

以上是关于Natas31 Writeup(Perl 远程命令执行)的主要内容,如果未能解决你的问题,请参考以下文章

Natas29 Writeup(Perl命令注入00截断绕过过滤)

Natas30 Writeup(sql注入)

Natas23 Writeup(php弱类型)

Natas25 Writeup(目录遍历头部注入)

Natas24 Writeup(strcmp绕过漏洞)

Natas33 Writeup(Phar反序列化漏洞)