记一次实战过程中的漏洞挖掘过程-安全客

0x01 起因

在一次授权项目当中遇到的，感觉还是挺有意思。写个过程记录一下。看代码找漏洞还是很有趣的。特别是自己不熟悉的开发语言。万法归一，思路和其他开发语言都差不多，在这里分享一下我的思路。

0x02 过程

扫目标端口发现一个特殊的端口，打开后发现存在列目录漏洞。目录内文件如下，service.aspx是我添加的。除去这两个文件好像没啥利用的。看到有个asmx接口，于是好奇打开看了看。

打开后存在两个接口。似乎也没啥利用点

回过头发现目录下有个App_Code.zip压缩包，App_Code是.net平台下类的存放位置，接口调用的实现代码会不会放在这里么呢。下载下来看看。nice、运气不错，看来这应该是接口的实现代码和调用类，那么就进入到我稍微擅长一丁点的代码审计过程了。先打开WebService2019看看代码

我们先来看Web_SubString函数的逻辑，很简单，先调用CsSubDes.DESDeCode方法对传进来的数据进行解密。意味着如果我们要调用下面的函数得先加密我们传入的值，使其满足解密过程。解密之后再调用CsPublicSub.SubProcessSqlStr方法来清除非法字符，从字面上来看应该是过滤SQL注入关键字一类的，这是否意味着我们需要绕过这个函数呢，继续往下看

可以看到下面就进入具体的实现函数了。

随便找了个函数跟进去全是拼接SQL语句，看起来有戏。

那么我们回到最开始，先来解决加密的问题，我们来看看解密函数中是否有加密过程可以直接调用。运气不错，直接提供了一个CsSubDes.DESEnCode函数，那么我们直接调用它加密我们的值就行。由于不熟悉.net开发，写这一段小小的代码踩了不少坑，不过问题不大。

能正常构造数据以后我们来到第二个拦路虎，CsPublicSub.SubProcessSqlStr函数，根据之前的猜测我们跟进去看看

果不其然是过滤sql关键字，我们看看这段代码是否无懈可击呢。通过正则可以看到并没有匹配大小写，那么通过大小写是可以绕过正则的，但是事情没有那么简单，继续看发现使用了new Regex(str_Regex, RegexOptions.IgnoreCase); 用了IgnoreCase这个参数，通过查阅信息了解到使用这个参数在匹配时是不区分大小写的，意味着我们无论传入大写小写都会匹配出来关键字。好像并没有什么好的方法可以绕过这个过滤函数了（个人见解，这里应该是有一些办法可以绕过的）。

那么怎么办，只能硬着头皮继续看，寻找转折点。这时候我想起好像还有个方法，我们来看看这个方法咋写的

看到逻辑后吁了一口气。Web_SubStringA方法并没有用解密方法和过滤方法来过滤值，这里直接可以传值进入存在漏洞的一些相关逻辑函数，那么我们长驱直入，直接调用sub000试试

看起来应该是调用成功了，为何没有数据回显呢，试试延时函数 WAITFOR DELAY ‘0:0:20’— 但是返回时间还是10秒，继续尝试了几次，一直返回10秒左右。怀疑有两种情况，1.注入失败 2.数据库连接失败。但是根据代码逻辑看这里百分百是存在注入的，那么就剩下第二种可能性了，数据库有问题。之前我们是下载了App_code里的所有源码，那么数据库配置信息也一定在里面，我们跟进去看看。