Laravel框架网站漏洞检测与修复
发布时间：2022-02-09 14:16:04 所属栏目：经验 来源：互联网
导读：Laravel框架是目前许多网站,APP运营者都在使用的一款开发框架,正因为使用的网站较多,许多攻击者都在不停的对该网站进行漏洞测试,我们SINE安全在对该套系统进行漏洞测试的时候,发现存在REC漏洞.主要是XSRF漏洞,下面我们来详细的分析漏洞,以及如何利用,漏洞修
|
Laravel框架是目前许多网站,APP运营者都在使用的一款开发框架,正因为使用的网站较多,许多攻击者都在不停的对该网站进行漏洞测试,我们SINE安全在对该套系统进行漏洞测试的时候,发现存在REC漏洞.主要是XSRF漏洞,下面我们来详细的分析漏洞,以及如何利用,漏洞修复等三个方面进行全面的记录. 该Laravel REC漏洞的利用是需要条件的,必须满足APP_KEY泄露的情况下才能成功的利用与触发,我们SINE安全技术在整体的漏洞测试与复现过程里,共发现2个地方可以导致网站漏洞的发生,第一个是Post数据包里的cookies字段,再一个是HTTP header字段可以插入恶意的共计代码到网站后端中去. 我们来搭建一下网站漏洞测试的环境,使用linux centos系统,PHP5.5版本,数据库是mysql,使用apache环境来搭建,使用的Laravel版本为5.6.28.首先我们去官方下载该版本,并解压到apache设置的网站目录路径.首先我们post数据过去可以看到我们代码里,会调用十几个类,并将类里的对象进行调用,参数赋值,而在cookies和verifycsrftoken值里发现可以使用app_key进行漏洞利用,首先我们使用cookies来复现看下: 代码如下: POST / HTTP/1.2 Host: 127.0.0.2:80 Cookie: safe_SESSION=PHPSTORM; 5LqG5L+d6K+B5omA6L6T5Ye655qE57yW56CB5L2N5Y+v6K+75a2X56ym77yMQmFzZTY05Yi25a6a5LqG5LiA5Liq57yW56CB6KGo77yM5Lul5L6/6L+b6KGM57uf5LiA6L2s5o2i44CC57yW56CB6KGo55qE5aSn5bCP5Li6Ml42PTY077yM6L+Z5Lmf5pivQmFzZTY05ZCN56ew55qE55Sx5p2l44CCDQoNCkJhc2U2NOe8lueggeihqA==; Content-Type: application/x-www-form- Connection: open Content-Length: 1 上面的代码中在cookies栏里.加密的值就是我们要伪造的攻击代码,将该POST请求提交到网站中去,首先会对APP_key进行解密并赋值过去,如果解密成功的话, 哪么就会效验cookies里的值,并对其进行反序列的操作,进而导致漏洞的发生,就会触发RCE漏洞了. http header方式的漏洞利用,我们漏洞测试一下,首先也是构造跟cookies差不多的代码,如下: POST / HTTP/1.2 Host: 127.0.0.2:80 X-XSRF-TOKEN: +B5omA6L6T5Ye655qE57yW56CB5L2N5Y+v6K+75a2X56ym77yMQmFzZTY05Yi25a6a5LqG5LiA5Liq57yW56CB6KGo77yM5Lul5L6/6L+b6KGM57uf5LiA6L2s5o2i44CC57yW56CB6KGo55qE5aSn5bCP5Li6Ml42PTY077yM6L+Z5Lmf5pivQmFzZTY05ZCN56ew55qE55Sx5p2l44CCDQoNCkJhc2U2NOe8lueggeihqA==; Content-Type: application/x-www-form- Connection: open Content-Length: 1 这里看这个X-XSRF-TOKEN:值,Laravel 框架在提交过程中会去判断并效验这个值,如果解密成功就会进行反序列化的操作,这里就不再一一的介绍与解释了. 那如何对Laravel的漏洞进行修复? 我们SINE安全技术对Laravel的版本进行升级发现,最新的5.6.30版本已经对该rce漏洞进行了修复,在我们对代码的比对中看出,对cookies的解密并解析操作进行了判断,多写了static::serialized() 值,同样的在X-XSRF-TOKEN里也加入了这个值.如果您对代码不是太懂的话,也可以找专业的网站安全公司来进行修复,国内SINESAFE,绿盟,启明星辰,都是比较不错的,针对于Laravel的网站漏洞检测与测试就到此,也希望通过这次的分享,让更多的人了解网站漏洞,漏洞的产生原因,以及该如何修复漏洞,网站安全了,我们才能放开手脚去开拓市 场,做好营销.全球化经济的发展，让各种外贸网站如雨后春笋般出现。如果你也是做跨境电商行业，没有一个外贸网站，就会落后同行太多。但是很多商家对网站相关知识并不了解，不知道外贸建站该怎么做、用什么工具，也不了解建站的成本。如果在一无所知的情况下开始建站，那么很难把网站做好。所以接下来就跟大家科普一下外贸建站的相关知识。 1.外贸建站是什么意思？ 外贸建站即外贸网站建设，即利用外语（英文或其他小语种）搭建一个面向国外的电子商务贸易网站，实现你的企业形象展示，互联网引流，品牌营销，产品展示和转化，在线沟通等功能。 2.怎么建设出一个外贸网站？ 建站方法和普通网站是类似的，主要有三种：自己源代码开发、找外包团队定制、使用自助建站工具。前两种方法耗时很长，需要的成本也很高，适合有特殊个性化需求的大型企业。如果你不懂编程技术，也没有时间和成本去做高昂的定制，那么就可以用自助外贸建站工具，比如“上线了”，这样不懂技术的小白也可以顺利建站。外贸网站比较复杂，因此外贸建站cms工具的选择也需慎重。要根据以下几点判断是不是适合： （1）B2B还是B2C行业，能否满足你的功能需求 （2）操作系统是否简单易上手 （3）设计水平是否符合现代审美，建站系统的业界口碑如何 （4）程序是否在全球广受欢迎，程序代码是否受搜索引擎的欢迎 （5）售后服务是否到位 3.外贸建站费用 这个根据你建站方式的不同，费用也会有较大差距。自己组建技术团队，需要产品、开发、设计、测试、运营等一系列人员，这个成本跟当地的薪资水平有关；若是找外包团队定制，根据功能需求的复杂性，一般是几万到十几万不等；若是使用自助建站工具，一般几百块到小几千就能搞定，成本很低。 4.如何发挥外贸网站作用 网站建成后，得有足够的流量，你才可以实现变现盈利。不然你的外贸网站就只是个空架子，毫无用处。这就需要你做好网站推广，方法也有很多：可以建成网站后，多分享给亲朋好友和老顾客；在各类论坛、博客等方式宣传自己的网站；做好搜索优化，让网站有好的排名；或者直接做广告推广，提升网站曝光，从而带来更多流量，发挥外贸网站的价值。 大部分外贸从业人员都不懂技术，牢记以上这些知识会对你很有帮助。现在外贸网站已经是商家做互联网营销的重要一环，重要性不言而喻。如果你也想建设一个外贸网站，那就要抓紧时间了。A5创业网诚邀优质企业合作，为企业提供各种宣发服务。撰写企业推广文案，投放优质渠道。详情请扫描下方二维码咨询。 （编辑：揭阳站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
