漏洞验证与利用代码编写指南

一、前言

本文旨在为安全研究人员和漏洞分析者提供编写高质量漏洞验证(POC)和漏洞利用(EXP)代码的详细指导。文章基于实践经验总结，适合有一定漏洞验证和利用代码编写经验的人员阅读。

二、漏洞验证准则

1. 随机性

• 关键变量、数据和无明显含义要求的值应具有随机性
• 应用场景：
  • 上传文件的文件名
  • webshell密码
  • print的值
  • 探测404页面使用的路径

2. 确定性

• 通过返回内容找到唯一确定的标识来判断漏洞是否存在
• 验证标准应尽可能接近实际利用水准
• 避免使用单一模糊条件判断(如仅HTTP状态码或固定页面内容)
• 示例：
  • 文件上传漏洞：实际上传真实文件验证
  • API未授权添加管理员：实际尝试添加管理员用户并验证是否成功

3. 通用性

• 考虑不同环境和平台
• 考虑存在漏洞应用的多个常见版本
• 需注意的差异：
  • 不同版本间的API接口变化
  • 参数名差异
  • 路径前缀差异
  • 执行命令方式差异

4. 无损性

• 在有效验证前提下尽量减少对目标的影响
• 最佳实践：
  • 避免改写、添加或删除数据
  • 避免上传或删除文件
  • 验证后尽可能恢复原始状态

三、漏洞验证方法

直接判断方法

1. 结果回显判断

   • 最直接的判定方法
   • 目标响应中完整输出期望结果

2. 报错回显判断

   • 使目标处理输入时产生内部错误
   • 错误输出中包含期望结果

3. 写数据读取判断

   • 将结果或标志写入目标存储系统(文件/数据库)
   • 尝试读取存储内容来判断漏洞

4. 延时判断

   • 控制目标执行代码使其等待N秒后响应
   • 应用场景：
     • 延时SQL注入
     • 执行命令sleep
     • 执行代码sleep

间接判断方法

1. DNSLOG方式判断

   • 当目标可解析域名且允许请求外网DNS时使用
   • 示例：JAVA反序列化中的URLDNS payload

2. WEBLOG方式判断

   • 目标可对外发送TCP请求时使用
   • 通过Web服务器接收目标发送的请求来判断

方法优先级

结果回显判断 > 报错回显判断 > 写文件读取判断 > 延时判断 > DNSLOG方式判断 > WEBLOG方式判断

四、漏洞利用准则

1. 结果回显优先

• 优先直接显示漏洞利用获得的信息
• 示例：CouchDB漏洞利用(CVE-2017-12635 + CVE-2017-12636)
  • 垂直越权添加管理员
  • 通过认证创建新数据库
  • 将命令结果存入数据库并读取
  • 最后删除数据库
• 优势：
  • 高错误兼容性
  • 不受网络限制影响
  • 不依赖特定文件路径

2. 稳定利用优先

• 考虑应用版本、OS环境和网络因素
• 关键注意事项：
  • 不同版本间的API接口和路径变化
  • 执行代码优于执行命令（避免"降级利用"）
    • 代码执行比命令执行更稳定
    • 示例：反弹shell时直接执行代码比通过/bin/bash更可靠

3. 最简利用优先

• 在相同效果下选择最简单的实现路径
• 示例：flink-unauth-rce漏洞利用
  • 利用程序报错回显提取命令结果
  • 比完整实现flink API更简单有效

五、常见错误避免

1. 检测条件不充足

• 错误示例：
  • 仅通过状态码200和"admin"关键词判断
  • 特殊路径但判断条件过于简单

2. 检测关键词放置在发包内容中

• GET请求错误示例：

  /api/ping?host=127.1|echo+79c363c6044c4c58
  

  判断依据仅为响应中包含"79c363c6044c4c58"

• POST请求错误示例：

  POST: /api/ping
  DATA: host=127.1|echo+79c363c6044c4c58
  

  服务器可能将整个请求回显导致误报

六、总结

• 规则需灵活应用，根据实际情况权衡
• 避免过度追求完美而失去效率
  • 30%精力覆盖90%环境 vs 100%精力覆盖99%环境
• 作为有追求的安全研究人员：
  • 不应满足于简单漏洞验证代码
  • 应致力于编写高质量的漏洞利用代码
  • 通过实际利用才能真正体现漏洞危害