RPO学习

最新推荐文章于 2024-06-18 09:04:51 发布
最新推荐文章于 2024-06-18 09:04:51 发布
阅读量692 收藏
点赞数
分类专栏： Web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_36495104/article/details/107071299
版权

来源

https://www.freebuf.com/articles/web/166731.html

http://blog.nsfocus.net/rpo-attack/

0X1 什么是RPO

RPO（Relative Path Overwrite）相对路径覆盖，是一种新型攻击技术，主要是利用浏览器的一些特性和部分服务端的配置差异导致的漏洞，通过一些技巧，我们可以通过相对路径来引入其他的资源文件，以至于达成我们想要的目的

就目前来看此攻击方法依赖于浏览器和网络服务器的反应，基于服务器的Web缓存技术和配置差异，以及服务器和客户端浏览器的解析差异，利用前端代码中加载的css/js的相对路径来加载其他文件，最终浏览器将服务器返回的不是css/js的文件当做css/js来解析，从而导致XSS，信息泄露等漏洞产生。

看一下我们的目录结构

WWW\RPO
111\
    1.php
222\
    style.css
    x.js
style.css
x.js

相应的代码

#RPO/1.php
<h1>We are now in RPO/111/1.PHP</h1>
<link rel="stylesheet" href="../style.css" style="css" />
<script src=../x.js></script>

#RPO/style.css
h1 {
font-size:80px;
color:blue;
}

#RPO/222/style.css
h1 {
font-size:80px;
color:red;
}

#RPO/x.js
alert('wo are in RPO/x.js')


#RPO/222/x.js
alert('we are in RPO/222/x.js')

在apache和nginx环境下访问
http://localhost/RPO/111/%2f1.php

在Nginx和apache中，编码后的url服务器可以正常识别，也就是说服务器在加载文件时会解码后找到具体文件返回返回客户端。(在绿盟的这篇文章中提到说Apache无法解析这种URL，会返回404。其实是默认配置的问题，可以来看这篇文章)

但是在客户端识别url时是不会解码的，正常情况下解码%2f解码后应该加载的是RPO/111/../x.js，最后也就是RPO/x.js文件；而这里加载的是/x.js，所以浏览器是没有解码%2f的。

实际上通过测试，客户端浏览器在加载相对路径文件时是以最后一个/为相对目录加载具体资源文件的

0x2 第一个场景：加载任意目录下静态资源文件

访问http://localhost/RPO/111/1.php
在这里插入图片描述

一切正常

如果/RPO/222/x.js文件中的内容是我们可控的，但是有过滤不能写入<script>等标签内容，那么如何利用此跨站漏洞呢？

有没有办法使1.php加载到其他目录的静态资源文件，比如这里让1.php加载到/RPO/222/x.js文件，这样就可以直接执行js代码了。

如我们访问http://localhost/RPO/222/2.php%2f..%2f..%2f111/1.php
在这里插入图片描述

可见我们加载了1.php中的内容,但是加载了RPO/222/x.js和RPO/222/style.css

原理解析

这里服务器端识别为：

/RPO/222/2.php/../../111/1.php 实际上也就是/RPO/111/1.php

客户端识别为：

/RPO/222/2.php%2f..%2f..%2f111/1.php，把2.php%2f..%2f..%2f111当成一个目录，然后在加载静态资源文件时，比如这里加载../x.js时，就会跳转到上一级目录222目录下，(还记得前面说过客户端浏览器在加载相对路径文件时是以最后一个/为相对目录加载具体资源文件的)最后加载的静态文件为/RPO/222/x.js。

此时成功加载到了其他目录下的文件。

0x3 第二个场景：将返回内容按静态文件解析

这里有Apache和Nginx设置伪静态(URL Rewrite)的方法

以下是我的nginx rewrite_url设置,具体的含义看上面的链接

img

当我们在浏览器地址栏访问http://localhost/RPO2/index/page/4455时,服务端接受到此url后,实际的路由是http://localhost/RPO2/index.php?page=4455

现在的目录结构

WWW\RPO2
test\
    123456.txt
index.php

index.php
<!DOCTYPE html>
<html>
	<head>RPO attack test<br></head>
	<body>
		<script src="3.js"></script>
	</body>
</html>

<?php
error_reporting(E_ALL^E_NOTICE^E_WARNING);
if($_GET['page'])
{
	$a=$_GET['page'];
	Header('Location:http://localhost/RPO2/test/'."$a".'txt');
	
}
?>

#123456.txt
alert(233)

可以看到我们在index.php里加载了3.js这是一种相对路径加载,并且我们用Header函数做了跳转,跳转到test目录下的txt文件

假设我们可控的是test目录下的文件内容,但是无法直接插入<script></script>标签,而且开启了rewrite_url,所以这里我们采用RPO来加载我们的js代码

注:这里的3.js还有123456.txt文件名是任意的，因为我的nginx的rewrite_url文件名只匹配数字，所以我在Location:http://localhost/RPO2/test/'."$a".'txt'加了.txt

访问localhost/RPO2/index/page/123456可以看到跳转到了123456.txt,页面返回了alert(233)的文本内容

img

当我们访问http://localhost/RPO2/index/page/123456.txt/..%2f..%2f..%2findex.php
可以看到123456.txt里的内容被当做js代码执行

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-GVHJec35-1593606034380)(https://s2.ax1x.com/2019/04/27/EKe3cj.png)]

我们来看一下执行过程

1.我们向服务器请求URL:

http://localhost/RPO2/index/page/123456/..%2f..%2f..%2findex.php

2.服务器看到的是：

http://localhost/RPO2/index/page/123456/../../../index.php

3.服务器返回index.php页面给浏览器

 http://localhost/RPO2/index.php

4.浏览器加载index.php文件，并加载同目录下的3.js，但是浏览器看到的URL是：

http://localhost/RPO2/index.php/page/123456/..%2f..%2f..%2findex.php

5.浏览器认为…%2f…%2f…%2findex.php是一个页面，自然而然加载的URL就是:

http://localhost/RPO2/index.php/page/123456/3.js

6.而此时我们index.php中用Header函数跳转到12356.txt,所以123456.txt中的内容会展示的页面中,并且由于我们的请求是由<script src=…>生成的，所以返回给我们的alert(233)内容会被浏览器当做是js解析。

0xCCCC9090
关注
专栏目录
【例2514】rpo sketch RPO草图
王牌飞行员_里海的博客
06-25 413
rpo sketch RPO草图》这是一个NX二次开发官方小例子，下面是代码和解析。相较于混乱、未经验证的代码，官方案例能够确保开发者获得准确的开发方法，这些官方示例代码经过严格测试，能够正确地反映出NX软件的功能和API使用方式，有助于开发者系统地掌握NX二次开发技能，提高开发质量和效率。本专栏订阅后是永久阅读的。欢迎一起学习NX二次开发案例，逐步积累宝贵的经验，早日成为行业专家。
【例1094】display rpo dimensions 显示RPO尺寸
王牌飞行员_里海的博客
06-06 104
display rpo dimensions 显示RPO尺寸》这是一个NX二次开发官方小例子，下面是代码和解析。相较于混乱、未经验证的代码，官方案例能够确保开发者获得准确的开发方法，这些官方示例代码经过严格测试，能够正确地反映出NX软件的功能和API使用方式，有助于开发者系统地掌握NX二次开发技能，提高开发质量和效率。本专栏订阅后是永久阅读的。欢迎一起学习NX二次开发案例，逐步积累宝贵的经验，早日成为行业专家。
RPO漏洞分析与利用
vspiders的博客
04-04 2869
RPO，全称（Relative Path Overwirte）相对路径覆盖，它主要利用浏览器的一些特性与服务器的配置差异导致的。通俗来说就是浏览器与服务器两者对请求的解析不一致，并没有做到同步解析。因而我们可以通过相对路径来引入其他的资源文件，以至于达到我们的目的。这里以www.xxx.com/test为例。第一步：比如我们输入一个请求http://www.xxx.com/test/%2f..%2...
相对路径覆盖漏洞攻击RPO详解
Cwillchris的博客
09-26 4153
此攻击方法依赖于浏览器和服务器的反应，基于服务器的Web缓存技术和配置差异，以及服务器和客户端浏览器的解析差异，利用前端代码中加载的css/js的相对路径来加载其他文件，最终浏览器将服务器返回的不是css/js的文件当做css/js来解析，从而导致XSS，信息泄露等漏洞产生。这就是相对路径覆盖攻击, 我们成功用/aaa目录下的b.js覆盖掉了a.html中静态资源b.js的路径.如果我们控制网站根目录下的aaa的目录下面的b.js的内容,写入/aaa/b.js内容如下。输入如下代码，保存退出。
RPO 相对路径覆盖攻击
hl1293348082的专栏
05-31 2132
RPO (Relative Path Overwrite) 相对路径覆盖，最早由 Gareth Heyes 在其发表的文章中提出。主要是利用浏览器的一些特性和部分服务端的配置差异导致的漏洞，通过一些技巧，我们可以通过引入相对路径来引入其他资源文件，以达到我们的目的。 漏洞成因： RPO 依赖于浏览器和网络服务器的反应，基于服务器的 Web 缓存技术和配置差异，以及服务器和客户端游览器的解析差异，利用前端代码中加载的 css/js 的相对路径来加载其他文件，最终浏览器将服务器返回的不是 css/js 文件
信息服务上线渗透检测网络安全检查报告和解决方案3(系统漏洞扫描、相对路径覆盖RPO漏洞、nginx漏洞修复)
漏刻有时数据可视化大屏（PHP&ECHARTS智能化开源软件系统）
03-03 1076
经过对该部门应用系统漏洞扫描工作开展，发现高风险漏洞0项，中风险漏洞1项，低风险漏洞11项。业务部门对于中高风险漏洞按照专业安全测评公司建议及时修改，修改后我们及时开展二次漏洞扫描工作。确保应用系统漏洞控制在安全法规要求之内，确保信息与数据安全。@漏刻有时。
【RPO技巧拓展】————2、Detecting and exploiting path-relative stylesheet import (PRSSI) vulnerabilities
Fly_鹏程万里
01-31 2104
去年年初，Gareth Heyes推出了一种引人入胜的新技术，通过利用路径相对样式表导入来攻击Web应用程序，并将其称为“ 相对路径覆盖 ”。此攻击通过滥用许多常见Web语言和框架的路径处理功能，欺骗浏览器将HTML页面导入为样式表。由于极其宽容的样式表解析，这可以经常用于注入恶意CSS和劫持用户帐户。 这种技术目前非常深奥，因此对于已经接受过专业或众包审计的网站来说，它通常很有效。然而，在...
RPO攻击方式的探究
Sea_Sand息禅
07-25 869
什么是RPO？ RPO (Relative Path Overwrite)相对路径覆盖，作为一种相对新型的攻击方式,由 Gareth Heyes在2014年首次提出，利用的是nginx服务器、配置错误的Apache服务器和浏览器之间对URL解析出现的差异，并借助文件中包含的相对路径的css或者js造成跨目录读取css或者js，甚至可以将本身不是css或者js的页面当做css或者js解析，从而触发x...
信息服务上线渗透检测网络安全检查报告和解决方案4(网站风险等级评定标准、漏洞危害分级标准、漏洞安全建议)
漏刻有时数据可视化大屏（PHP&ECHARTS智能化开源软件系统）
06-28 1534
漏洞扫描是指对网络应用、服务器等进行全面的安全检测，以发现其中存在的安全漏洞，从而及时修复，确保网络系统的安全性。一种常见的漏洞扫描方法是黑盒测试，即对系统进行模拟攻击来发现潜在的漏洞风险。以下是一些常用的扫描工具：Nessus：开源的漏洞扫描工具，可用于扫描多种操作系统和应用程序漏洞，并提供了详细的用户和管理员报告。Acunetix：自动化的漏洞扫描工具，支持扫描 Web 应用、网络、API 等，能够发现多种漏洞类型。
rpo_fclient
03-19
在IT行业中，"rpo_fclient"可能是一个特定项目的名称，该项目与RPO（恢复...这可能涉及学习相关的编程语言、网络通信协议、数据备份与恢复策略等相关知识。同时，阅读和遵循项目文档，将有助于你顺利地参与到项目中去。
【例2122】report feature rpo descriptions 获取特征RPO描述
最新发布
王牌飞行员_里海的博客
06-18 914
report feature rpo descriptions 获取特征RPO描述》这是一个NX二次开发官方小例子，下面是代码和解析。相较于混乱、未经验证的代码，官方案例能够确保开发者获得准确的开发方法，这些官方示例代码经过严格测试，能够正确地反映出NX软件的功能和API使用方式，有助于开发者系统地掌握NX二次开发技能，提高开发质量和效率。本专栏订阅后是永久阅读的。欢迎一起学习NX二次开发案例，逐步积累宝贵的经验，早日成为行业专家。
【例2120】report feature rpo constraints 报告特征RPO约束
王牌飞行员_里海的博客
06-18 226
report feature rpo constraints 报告特征RPO约束》这是一个NX二次开发官方小例子，下面是代码和解析。相较于混乱、未经验证的代码，官方案例能够确保开发者获得准确的开发方法，这些官方示例代码经过严格测试，能够正确地反映出NX软件的功能和API使用方式，有助于开发者系统地掌握NX二次开发技能，提高开发质量和效率。本专栏订阅后是永久阅读的。欢迎一起学习NX二次开发案例，逐步积累宝贵的经验，早日成为行业专家。
分享一下修复项目漏洞步骤
IT_master8888的博客
02-06 3291
项目漏洞修复步骤： Apache Shiro RememberMe 1.2.4 反序列化过程命令执行漏洞 <shiro.version>1.6.0</shiro.version> 检测到目标站点存在javascript框架库漏洞 jquery-3.5.1.js 检测到目标主机可能存在缓慢的HTTP拒绝服务攻击 设置Tomcat / server.xml文件 connectiontimeout 值，默认为20000ms，修改为8000ms(Tomcat 自身安全漏洞) A...
【RPO技巧拓展】————3、IIS和.Net应用程序中的非根相对路径覆盖（RPO）
Fly_鹏程万里
01-31 2602
在这篇博文中，我将向您展示一种更好的方法来利用ASP.NET Web窗体应用程序中的非根相对路径覆盖问题。这是一个低风险漏洞，可用于将资源（如样式表）甚至动态JavaScript注入受影响的网页。 介绍 很长一段时间以来，我们很多人都知道路径信息以及.Net，php或java等几种Web应用技术的能力，这些技术可以通过使用斜杠（“/”）或半波段在文件扩展名后接受参数-colon（“;”）字符。...
【漏洞挖掘】——21、RPO漏洞挖掘攻防
Fly_鹏程万里
03-03 3141
Gareth Heyes在2014年首次提出了一种新型攻击手法—RPO(Relative Path Overwrite)相对路径覆盖，该漏洞是一种利用相对URL路径覆盖目标文件的一种攻击手段，其主要依赖于服务器和浏览器的解析差异性并利用前端代码中加载的css/js的相对路径来加载其他文件，最终使得浏览器将服务器返回的不是css/js的文件当做css/js来解析，从而导致XSS，信息泄露等漏洞产生。
Microsoft IIS 短文件名/目录名 枚举漏洞修复步骤
热门推荐
hzfw2008的博客
07-30 1万+
近期网站系统被扫描出漏洞：短文件名/目录名 枚举漏洞Microsoft IIS tilde directory enumeration 危害级别：轻微 IIS短文件名泄露漏洞 WASC Threat Classification 描述： Microsoft IIS在实现上存在文件枚举漏洞，攻击者可利用此漏洞枚举网络服务器根目录中的文件。 Internet Information Serv...
一篇RPO漏洞挖掘文章翻译加深理解。
weixin_30455365的博客
09-16 796
　　　　这是我第一次尝试翻译一篇漏洞挖掘文章，翻译它也是为了加深理解它。这是一篇很有意思的漏洞挖掘文章。 　　前几天在看fd的博客，偶然看到了这篇文章，虽然有点老了。但是思路真的牛皮。我决定花费时间和精力研究它们。我决定运用我对这个漏洞的理解来讲述他们。 　　存在漏洞网站地址:http://www.google.com/tools/toolbar/buttons/apis/howto...
目录浏览漏洞修复建议
weixin_33755649的博客
08-08 1225
目录浏览漏洞主要是由于配置不当，当访问到某一目录中没有索引文件时（或是手工开启了目录浏览功能）即把当前目录中的所有文件及相关下层目录一一在页面中显示出来，通过该漏洞***者可获得服务器上的文件目录结构，从而下载敏感文件（数据文件、数据库文件、源代码文件等）。对于windows来说，只需要进入IIS管理器，选择对应的网站，然后在功能视图中的IIS项双击【目录浏览...
理解容灾解决方案：RPO与RTO解析
本文主要介绍了容灾解决方案的相关知识，适用于HCIE (Huawei Certified ICT Expert) 学习者。容灾是确保业务连续性的重要策略，它涉及到在面临各种灾难情况时，如何保护系统和数据不受损失并能快速恢复。 **容灾...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值