69久久精品无码一区二区|99在线精品免费视频九九视|亚洲中文字幕91视频|亚洲精品成人片在线观看

滲透測(cè)試服務(wù) 對(duì)客戶網(wǎng)站squid系統(tǒng)的漏洞檢測(cè)與利用

時(shí)間:2020-01-05瀏覽數(shù):1398

在對(duì)網(wǎng)站進(jìn)行滲透測(cè)試的時(shí)候,發(fā)現(xiàn)很多網(wǎng)站都在使用squid反向代理系統(tǒng),該系統(tǒng)存在可以執(zhí)行遠(yuǎn)程代碼的漏洞,很多客戶找我們SINE安全做滲透測(cè)試服務(wù)的同時(shí),我們會(huì)先對(duì)客戶的網(wǎng)站進(jìn)行信息搜集工作,包括域名,二級(jí)域名收集,網(wǎng)站使用的反向代理系統(tǒng),網(wǎng)站程序開(kāi)發(fā)語(yǔ)言,是否使用開(kāi)源的代碼,以及網(wǎng)站后臺(tái)路徑收集,都在前期滲透中需要做的。

前段時(shí)間某一個(gè)客戶網(wǎng)站使用的就是squid反向代理系統(tǒng),客戶APP,以及網(wǎng)站后臺(tái)都被攻擊者篡改,被惡意提現(xiàn),會(huì)員注單篡改,銀行卡號(hào)篡改,充值通道篡改,給客戶帶來(lái)了很大的經(jīng)濟(jì)損失,通過(guò)老客戶介紹找到我們SINE安全,我們對(duì)該情況進(jìn)行詳細(xì)的了解,針對(duì)實(shí)際情況,定制了詳細(xì)的滲透測(cè)試服務(wù)方案。關(guān)于squid系統(tǒng)漏洞的檢測(cè),我們來(lái)詳細(xì)的介紹一下:squid是開(kāi)源的一套網(wǎng)站反向代理系統(tǒng),可以對(duì)網(wǎng)站進(jìn)行加速,緩存,有些網(wǎng)站訪問(wèn)較慢,就會(huì)在國(guó)內(nèi)的服務(wù)器節(jié)點(diǎn)做反向代理,加速網(wǎng)站的快速訪問(wèn),將圖片,以及JS文件,css文件進(jìn)行緩存,還有一個(gè)好處通過(guò)squid可以隱藏網(wǎng)站的真實(shí)IP。squid支持很多種TCP協(xié)議,包括80端口的http協(xié)議,F(xiàn)TP的21端口協(xié)議,HTTPS433端口的協(xié)議,都可以進(jìn)行反向代理,簡(jiǎn)單易用受到很多開(kāi)發(fā)者的喜歡。

squid漏洞產(chǎn)生的原因在于緩沖區(qū)溢出導(dǎo)致可以執(zhí)行遠(yuǎn)程代碼,當(dāng)反向代理收到cachemgr的請(qǐng)求時(shí)候,會(huì)使用parseheaders這個(gè)函數(shù)接口,將請(qǐng)求來(lái)的參數(shù)進(jìn)行解析操作,并賦值于后端去,正常應(yīng)該對(duì)請(qǐng)求的參數(shù)進(jìn)行字?jǐn)?shù)限制,而該請(qǐng)求并沒(méi)有對(duì)字?jǐn)?shù)多少進(jìn)行限制,導(dǎo)致可以寫(xiě)入base64代碼進(jìn)行數(shù)據(jù)溢出,當(dāng)長(zhǎng)度超過(guò)squid的安全限制后,就會(huì)執(zhí)行惡意的代碼。漏洞的利用方式是,構(gòu)造惡意的代碼,使用FTP協(xié)議的方式進(jìn)行請(qǐng)求 request-uri,將base64代碼加密,提交到服務(wù)器中去,就可以達(dá)到滲透服務(wù)器的權(quán)限。

當(dāng)服務(wù)器執(zhí)行惡意代碼后,就會(huì)產(chǎn)生一個(gè)webshell到網(wǎng)站的根目錄下,從而對(duì)網(wǎng)站進(jìn)行控制,該webshell也叫網(wǎng)站木馬后門(mén),相當(dāng)于網(wǎng)站的管理員權(quán)限,可以寫(xiě)入文件,修改文件,修改數(shù)據(jù)庫(kù)等操作,通過(guò)對(duì)客戶網(wǎng)站的滲透測(cè)試發(fā)現(xiàn),導(dǎo)致被篡改的問(wèn)題根源,是squid系統(tǒng)存在漏洞,隨即我們SINE安全對(duì)客戶的squid漏洞進(jìn)行了修復(fù),對(duì)base64代碼的長(zhǎng)度進(jìn)行了限制,防止溢出,并對(duì)所有的請(qǐng)求包括get,post.cookies的請(qǐng)求都進(jìn)行了字符長(zhǎng)度限制。



http://m.mmsped.com

產(chǎn)品推薦

新宾| 东阿县| 东方市| 奉新县| 常宁市| 卓资县| 平邑县| 麦盖提县| 宁远县| 余干县| 若羌县| 盐源县| 赣榆县| 静海县| 南皮县| 闽清县| 高安市| 股票| 东港市| 威远县| 温泉县| 娱乐| 婺源县| 深圳市| 阿图什市| 大渡口区| 澎湖县| 奇台县| 潼关县| 鹤峰县| 尚志市| 额济纳旗| 阜阳市| 鄂托克前旗| 宁强县| 枣阳市| 蒙山县| 酉阳| 邓州市| 扬州市| 伊通|