這是發生在國內某家高級中學全球資訊網的低級錯誤，已通報ZeroDay！
基於職業道德，不便提供此網站的網址及細部資訊。
該校首頁(PHP)利用iframe內嵌另一組新聞管理系統(ASP)，由於兩個服務不能共用相同PORT，因此，首頁用PORT 80，新聞管理用PORT 8080，這樣分配很合理。不過，可能是PHP比較早建置，沒有考慮到會和ASP共用伺服器，所以將ASP網頁被當成一般文字檔。
從洩漏的原始碼可看出後端使用MS ACCESS資料庫及其路徑，只要給予正確路徑，便能下載資料庫檔，等於把整個資料庫都拿走了！
前一篇分享破解密碼」的經驗提到，開發人員將密碼編碼後記錄到Cookie裡，這一篇則是將資料庫的SQL語句記錄到Cookie裡，只要竄改Cookie裡的SQL語句，就能命令資料庫執行其他動作。
國內某地圖查詢服務網，當使用者輸入查詢資料後，會將完整的SQL語句記錄在Cookie的QuerySQL欄位中，使用者跳到下一資料頁或其他資料頁時，QuerySQL內容會傳回伺服器，而且伺服器直接以此SQL語句再次執行查詢，這讓駭客有了注入SQL命令的機會。
筆者曾試者利用SQLMAP去測試此進入點，但一直無法得到有效的回應，如果有同好知道如何利用SQLMAP直接攻擊SQL語句，尚請不吝指教！
基於職業道德，不便提供此服務網站的網址及細部資訊。
首先，直接點擊查詢頁上的「顯示全部」鈕(圖1)，可以得到各單位的清單，檢視清單頁的回應標頭之Cookie，可看到查詢的SQL語句(圖2)。
|
| 圖1:地圖查詢頁 |
|
| 圖2:查詢後，在cookei記錄SQL語句 |
為了重複測試，從換頁清單找出瀏覽網址(圖3)，每次變更QuerySQL內容後，就瀏覽前述網址，讓資料庫伺服器執行QuerySQL所指定的SQL語句。
|
| 圖3:找出直接瀏覽的網址 |
為測試修改後的QuerySQL是否會交由後端執行，將SQL的條件移除(Where及之後的文字，如圖4)，再重新瀏覽，此時系統真的回傳1839 頁(如圖5，原本只有1頁)，至此確認Cookie的QuerySQL存在SQL injection漏洞。
 |
| 圖4:修改Cookie裡的QuerySQL的語句 |
 |
| 圖5:從回傳的結果證實QuerySQL存在SQL Injection漏洞 |
某券商的網路下單系統，在登入後或變更密碼時，會將此密碼編碼並紀錄在Cookie裡，本文將說明如何破解從此Cookie內容而得到明文密碼。基於職業道德，不便提供此下單系統的網址及細部資訊。
每次變更密碼後，檢視回應(response)的標頭(header)發現LoginPWD欄位值的長度是4的倍數(圖1)，且字元符合BASE64編碼形式，猜測密碼是利用BASE64編碼後再記錄到Cookie，但是解碼LoginPWD的值卻得到亂碼(圖2)，而非原來的密碼明文，推測「執行BASE64編碼前，密碼應該還進行其他編碼處理」。既然使用BASE64 to Text得到亂碼，只好改用BASE64 to Hex來觀查解碼後的內容(圖3)。
 |
| 圖1:檢視回應內容的標頭資訊 |
 |
| 圖2:直接解碼只得到亂碼 |
 |
| 圖3:使用BASE64 to Hex查看解碼後的結果 |
要破解密碼，當然不會只使用一組資訊，下表是筆者以不同的密碼得出下單系統回傳的LoginPWD值，並和該密碼的BASE64編碼進行比較。
| NO | 密碼 | 直接BASE64編碼 | 密碼的Hex | LoginPWD | 解碼成Hex |
| 1 | AaBbCcDdE012 | QWFCYkNjRGRFMDEy | 416142624363446445303132 | AZiE4EEKG79Npb05nw== | 019884E0410A1BBF4DA5BD399F |
| 2 | AaBbCcdDe012 | QWFCYkNjZERlMDEy | 416142624363644465303132 | AZiE4EEKO59tpb05nw== | 019884E0410A3B9F6DA5BD399F |
| 3 | ABC123456789 | QUJDMTIzNDU2Nzg5 | 414243313233343536373839 | AbuFszBaa+4+orQynw== | 01BB85B3305A6BEE3EA2B4329F |
| 4 | abc123456789 | YWJjMTIzNDU2Nzg5 | 616263313233343536373839 | IZulszBaa+4+orQynw== | 219BA5B3305A6BEE3EA2B4329F |
| 5 | ABC123 | QUJDMTIz | 414243313233 | AbuFszBaXw== | 01BB85B3305A5F |
| 6 | abc123 | YWJjMTIz | 616263313233 | IZulszBaXw== | 219BA5B3305A5F |
從上表可以找出幾個現象
開始思考開發者可能使用的編碼方式
| NO | 密碼 | 密碼的Hex | 解碼成Hex | XOR結果 |
| 1 | AaBbCcDdE012 | 416142624363446445303132 | 019884E0410A1BBF4DA5BD399F | 40F9C68202695FDB08958C0B |
| 2 | AaBbCcdDe012 | 416142624363644465303132 | 019884E0410A3B9F6DA5BD399F | 40F9C68202695FDB08958C0B |
| 3 | ABC123456789 | 414243313233343536373839 | 01BB85B3305A6BEE3EA2B4329F | 40F9C68202695FDB08958C0B |
| 4 | abc123456789 | 616263313233343536373839 | 219BA5B3305A6BEE3EA2B4329F | 40F9C68202695FDB08958C0B |
| 5 | ABC123 | 414243313233 | 01BB85B3305A5F | 40F9C6820269 |
| 6 | abc123 | 616263313233 | 219BA5B3305A5F | 40F9C6820269 |
從上表的「XOR結果」得到如下結論
目前解得35碼的XOR Key值是「40F9C68202695FDB08958C0B9F74F518BC6361D42F22998F31B2895B67BF64AA505D528E」，亦即「0x40,0xF9,0xC6,0x82,0x02,0x69,0x5F,0xDB,0x08,0x95,0x8C,0x0B,0x9F,0x74,0xF5,0x18,0xBC,0x63,0x61,0xD4,0x2F,0x22,0x99,0x8F,0x31,0xB2,0x89,0x5B,0x67,0xBF,0x64,0xAA,0x50,0x5D,0x52,0x8E」
知道XOR的Key值後，就能對任意LoginPWD進行解碼，步驟如下：
就以「LoginPWD: E62TszBaa+4+orQynw==」為例：
今年的Hitcon 2020第一天Jimmy Liu老師主講「IoT Hacking 101」，主要是實作基礎的物聯網設備滲透測試！有關上課素材可從「https://github.com/DrmnSamoLiu/Hitcon-iot101」下載，上課簡報請參考素材包裡的DVIPcam_hitcon.pdf，在此假設您已事先閱讀並瞭此份簡報的內容。
參加此議題的同事於會後分享學習心得，而筆者事後練習時，又發現LV2(簡報22頁)有另一條啟用Telnet及FTP服務的途徑，借此做個筆記。
此題的網路攝影機預設只開啟端口443、554、8000，我們要想辦法辦啟動這台設備上的Telnet及FTP服務，即開啟端口23及21。
依照簡報內容，由於使用者未變更預設密碼，駭客可由使用手冊得知兩組登入帳密：「root / root」及「user / DVIPcam」，實際上，root的密碼已變更，無法直接以管理員身分登入管理界面，但user的密碼則未變更，駭客能夠經由提權而取得管理員權限，在瀏覽「System Configuration」頁面時啟用Telnet及FTP服務(簡報28頁)。好了，前述的滲透手法，簡報裡已寫得很清楚，這裡不再贅述。
但~~如果連user的預設密碼也被修改，有沒有「不需要網站的帳密就能開啟Telnet服務」的方法？這篇的手法就是了！
一、為了分析網站的原始碼，先從登入頁下載此設備的韌體更新檔(firmware.bin)。
二、利用7-zip開啟 firmware.bin，檢查 www/cgi-bin/ 目錄，注意readcookie.cgi、Config.cgi及Configsubmit.cgi這三個檔案。
三、檢查readcookie.cgi，發現呼叫此CGI時不會檢查是否已登入，且會將HTTP_COOKIE寫到/var/Allowed_SessionID，而Allowed_SessionID是判斷使用者有沒有登入的依據。我們就是利用此漏洞。
四、檢視Config.cgi，發現它會載入 /var/web/Config.html，所以再檢視此網頁，發現它是用來設定FTP及Telnet開關，Submit的內容是Telnet=on/off&FTP=on/off，提交對象是「/cgi-bin/Configsubmit.cgi」
五、再檢視「Configsubmit.cgi」，發現此cgi並不會檢查權限，只要有session就可以成立。（剛剛的readcookie.cgi已可建立session）
經由上面分析，得知readcookie.cgi可以建立空seeeionid，Configsubmit.cgi可以設定Telnet及FTP服務，為了便於操作，此處使用Firefox示範。（192.168.232.139 是筆者電腦啟動LV2映象檔後的網址，請依個人環境修正）
一、 在瀏覽 https://192.168.232.139/cig-bin/readcookie.cgi，會得到如下結果，重點在於session is 的內容是空的。
二、啟用 FireFox的開發者模式，切換到「網路」頁籤。
三、瀏覽https://192.168.232.139/cig-bin/Configsubmit.cgi，出現404是正常的。
四、從「網路」頁籤的網址清單中選擇剛剛請求的Configsubmit.cgi，然後點擊右方的「重新發送」下拉選單，並選擇「編輯並重新發送」項目。
五、將方法改成「POST」，並在請求內容中貼上「Telnet=on&FTP=on」，然後「傳送」。
六、查看回應結果，FTP及Telnet已經打開。
假設您已按照簡報30頁的方法執行暴力破解，應該已得到作業系統的 admin / Administrator 這組帳密，可以利用telnet操控這台設備了！
＜filter＞ ＜filter-name＞httpheadersecurity＜/filter-name＞ ＜filter-class＞org.apache.catalina.filters.HttpHeaderSecurityFilter＜/filter-class＞＜init-param＞ ＜param-name＞antiClickJackingOption＜/param-name＞ ＜param-value＞SAMEORIGIN＜/param-value＞ ＜/init-param＞＜async-supported＞true＜/async-supported＞ ＜/filter＞
＜filter-mapping＞ ＜filter-name＞httpHeaderSecurity＜/filter-name＞ ＜url-pattern＞/*＜/url-pattern＞ ＜dispatcher＞REQUEST＜/dispatcher＞ ＜/filter-mapping＞
＜init-param＞ ＜param-name＞antiClickJackingOption＜/param-name＞ ＜param-value＞SAMEORIGIN＜/param-value＞ ＜/init-param＞
 |
| 全字庫正楷體可以正常使用 |
 |
| 全字庫正楷體第2字面在Word2010無作用，仍自動選用新細明體字型 |
 |
| 全字庫正楷體第15字面在Word2010無作用 |
 |
| 未完成註冊表修改前，不會自動引用 TWKaiPlus |
 |
| 未完成註冊表修改前，不會自動引用 TWKaiPlus |
 |
| 完成註冊表修改後，雖然選用「新細明體」，第15字面會自動選用TWKaiPlus |
 |
| 完成註冊表修改後，就算Visual Studio，第15字面也會自動選用TWKaiPlus |
 |
| 不同瀏覽器第15字面的支援不一樣! |
function form2json(formId) //formId 是要加入 JSON 的表單 id { var data = new Object(); $(formId +" :input:not(:button, :reset, :submit)").each(function() { if($(this).attr('type')=='checkbox') { data[$(this).attr('name')]=($(this).attr('checked')) ? 1 : 0 ; } else { data[$(this).attr('name')]=$(this).val(); } }); return data; }
$.ajax({
url: 'user.asmx/checkLogin',
type: 'POST',
async: false,
data: JSON.stringify({userId:'12345', password:'12345'}),
contentType:'application/json; charset=UTF-8',
dataType:"json", //如果要回傳值，請設成 json
error: function(xhr) {//發生錯誤時之處理程序 },
success: function(reqObj) {//成功完成時之處理程序 }
});
using System; using System.Web; using System.Web.Services; using System.Web.Security; using System.Web.Services.Protocols; using System.Collections.Generic; using System.Web.Configuration; using System.Text.RegularExpressions; [WebService(Namespace = "http://SSO_Portal.moj.tw/")] [WebServiceBinding(ConformsTo = WsiProfiles.BasicProfile1_1)] // 若要允許使用 ASP.NET AJAX 從指令碼呼叫此 Web 服務，請取消註解下一行。 [System.Web.Script.Services.ScriptService] public class SSO_Service : System.Web.Services.WebService { [WebMethod(EnableSession = true)] [System.Web.Script.Services.ScriptMethod] public string[] checkLogin(string userID, string password, string grCode) { UserData user=new UserData(); HttpContext.Current.Response.Redirect("Default.aspx"); return null; } }
$.ajax({
url: 'checkLogin.aspx/chkUser',
type: 'POST',
async: false,
data: JSON.stringify({userId:'12345', password:'12345'}),
contentType:'application/json; charset=UTF-8',
dataType:"json", //如果要回傳值，請設成 json
error: function(xhr) {//發生錯誤時之處理程序 },
success: function(reqObj) {//成功完成時之處理程序 }
});
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.Security;
namespace mySpace
{
public partial class checkLogin : System.Web.UI.Page
{
protected void Page_Load(object sender, EventArgs e)
{
}
[WebMethod(EnableSession = true)]
public static string chkUser(string userID, string grCode, string password)
{
string aaaa = "";
// string uid=HttpContext.Current.Request.Form["userID"]; //收不到值
// string pwd = HttpContext.Current.Request.Form["password"];
// HttpContext.Current.Response.Redirect("Default.aspx"); //會出錯
return null;
}
}
}
$.ajax({
url: 'checkLogin.aspx',
type: 'POST',
async: false,
data: {userId:'12345', password:'12345'},
contentType:'application/x-www-form-urlencoded; charset=UTF-8',
//如果使用 "application/json; charset=utf-8" ，則後端程式無法
//用 Request.Form["..."] 來取得傳送過來的資料
dataType:"html", //或用 "text"
//如果不指定 dataType，會造成 jQuery 剖析時錯誤，所以會觸發 error
error: function(xhr) {//發生錯誤時之處理程序 },
success: function(reqObj) {//成功完成時之處理程序 }
});
using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Web.UI;
using System.Web.UI.WebControls;
using System.Web.Security;
namespace mySpace
{
public partial class checkLogin : System.Web.UI.Page
{
protected void Page_Load(object sender, EventArgs e)
{
String userid = this.Request.Form["userId"];
String pwd = this.Request.Form["password"];
this.Response.Write("Return Value"); //要返回的文字
this.Response.Redirect("Default.aspx");
//會把整個 Default.aspx 的html內容回傳，而不是執行轉向作業!
Server.Transfer("default.aspx");
//會把整個 Default.aspx 的html內容回傳，一樣不會執行轉向作業!
}
}
}
| application/x-www-form-urlencoded | application/json | |
| 對WebService |
|
|
| 對ASPX網頁 |
|
|
| 對 PageMethod | 不能使用這種方式呼叫 PageMethod，否則會變成是 Post 到 ASPX，反而執行 Page_Load，而忽略指定的 PageMethod |
|