滲透測試中利用基於時間差反饋的遠程代碼執行漏洞（Timed Based RCE）進行數據獲取

新聞 03-25

在最近的滲透測試項目中，為了進一步驗證漏洞的可用性和危害性，我們遇到了這樣一種情形：構造基於時間差反饋的系統注入命令（OS command injection time based ），從某邏輯隔離的伺服器中實現數據獲取。

以下是測試過程中的相關思路整理，僅供借鑒參考

（滲透測試最終利用工具請移步

GitHub-TBDEx

）。

漏洞說明

由於該邏輯隔離伺服器僅能通過API服務提供的程序介面實現特定服務訪問，而在對該API介面的測試過程中，我們發現了一個有趣的GET request請求，其中包含了兩個參數，一個為字元串，另一個為請求包的ID號。

之後在對參數的fuzzing中，其對單引號的處理方式和特徵貌似像是SQL注入漏洞，但在漏洞利用過程中卻不能成功實現注入攻擊，然而，當我們執行了『sleep 10′命令後，HTTP response在10秒鐘之後有了回應，這下可能有戲了！我們首先想到的是，該API程序完蛋了，因為這樣就可以對API服務端執行遠程代碼了。

Payload不能有效執行

但一切都高興得太早，本來我們通過HTTP響應頭判斷API服務應該是架設在Windows平台上，但漏洞利用payload只在Bash或PowerShell下可用，所以，只能重新在Bash或PowerShell模式下進行可行性測試。

為了模擬實際測試效果，我們通過在linux環境下運行形如以下、包含sleep命令的「time if」判斷語句來查看系統反饋信息：

linux下time命令可以獲取到一個程序的執行時間，包括程序的實際運行時間(real time)，以及程序運行在用戶態的時間(user time)和內核態的時間(sys time)。

利用這種方式，我們在模擬伺服器上進行了各種ncat、wget、curl測試和其它數據竊取動作，如FTP 連接、 DNS請求，甚至是ICMP請求，但依然不能成功，沒有效果。後來，我們才意識到，由於目標伺服器主機處於有防火牆的邏輯隔離網路內，我們執行的命令估計被防火牆阻擋了。

構造基於時間延遲的判斷執行命令

之後，一個同事建議可以嘗試用形如以下sleep語句來運行包含的任務命令，這樣一方面可以通過時間延遲來逐字元判斷輸出值，又能實現命令自動化，就像從基於時間（time-based）的SQL注入中獲取輸出信息一樣。

考慮到網路延遲，我們首先想到的是，構造一個包含以下命令，按字元位置進行猜解判斷的腳本，可以看到，以下黃色框內命令中:

time if [ $（whoami | cut -c 1 == r）]; then sleep 5; fi

如果系統用戶為root，通過whoami | cut -c 1 == r 方式取root的第一個字元「r」成功，則相應的時間延遲為5秒，與判斷命令中的sleep 5結果一致，以此方式猜解出系統用戶為root

。

Linux系統cut命令從文件的每一行剪切位元組、字元和欄位並將這些位元組、字元和欄位寫至標準輸出。

-b ：以位元組為單位進行分割

-c ：以字元為單位進行分割，cut -c 1 取第1個字元

-d ：自定義分隔符，默認為製表符

-f ：與-d一起使用，指定顯示哪個區域

-n ：取消分割多位元組字元

突破限制構造有效Payload命令

你可以想像用這種方式是多麼的繁雜，更煩人的是，前述發現的GET請求參數中竟然有48個字元的最大限制，而我們構造的payload遠遠超過48個字元。為了繞過這種限制，我們只有把任務命令的輸出結果重定向到系統某個臨時文件中，然後用cut方式分割這些輸出結果，取出需要的位置字元，結合time命令的時間延遲方式判斷猜解，大概方法如下：