AWD神器—watchbird背景rce挖掘

简介

在传统的AWD攻防中，Waf饰演偏紧张的脚色，Watchbird作为一款专门为AWD而生的PHP防火墙，具有部署简单，功能强大等特点，一出世便受到了广大CTFer的喜爱，现在在GitHub上已有600多star。本篇则详细介绍如果拿到watchbird背景，怎么利用watchbird背景进行rce。
项目部署

版本：除了最新版（两周前发布的新版本中此漏洞已修复）
具体部署细节可参考官方文档
Watchbird项目地点：https://github.com/leohearts/awd-watchbird
漏洞挖掘

获取背景账户暗码

利用过watchbird的师傅应该都有所了解，watchbird的操作都是有鉴权的

没有拿到用户的cookie或者暗码，就谈不上背景rce了
这里只能通过爆破获取暗码
大概很多人有疑问，watchbird不是有防DDOS，爆破不直接给封了吗？

就像上面如许，短时间频仍访问会直接返回一个watchbird的logo，不会正常返回网站内容
watchbird确实是有这个功能，如果爆破目标网站就会被封，但是爆破watchbird暗码就不会，因为，只是单纯验证watchbird暗码的话，代码根本就走不到防DDOS这一步。所以，师傅们放心爆破吧，从角逐开始不停爆破到角逐结束都没题目！

上面的示例中可以看到，当暗码为123456时，返回长度不一样，说明爆破成功了
固然，还有一种方法就是打xss钓鱼，这里就不过多阐述具体细节了，我们直接入正题
修改设置的方法

进入背景后是如许的页面

watchbird算是一个rasp(应用运行时自我保护)的waf，php步伐是如许的。
也就是说，每次访问网站的时候，代码都是重新到尾重新运行一次，watchbird又没用到数据库，它是怎么存储用户信息和设置的呢？
开辟常用方法，就是用序列化来生存用户设置
代码开头就定义了设置文件的路径
$config_path='/tmp/watchbird/watchbird.conf'

打开看一下，都是类序列化后的内容，这个类就是下面要讲的

watchbird定义了一个configmanager类用来实现有关设置的一切功能，临时叫它设置类

这个类的成员对应waf全部功能的开关状态，文件路径，过滤规则等等
同样这个类还有一个方法

change方法担当一个                                   k                         e                         y                         和一个                              key和一个                  key和一个val
接着把当前设置类的                                   k                         e                         y                         赋值为                              key赋值为                  key赋值为val
最后用file_put_contents函数将当前设置类进行序列化后写入到设置文件watchbird.conf中，由此实现用户设置更新
但题目就在这里，他没有对这个                                   k                         e                         y                         和                              key和                  key和val进行校验
所以                                   k                         e                         y                         和                              key和                  key和val可以任意写入到设置文件中，我们可以更改原有设置，也可以新添设置
而且，调用这个change方法也很简单

只需要验证用户身份，就可以直接调用。
修改暗码（示例）

举个简单的例子，watchbird没有提供修改暗码这一功能，总有人问暗码忘了怎么修改，下面就演示一下
生存用户暗码的是设置类中的$password_sha1属性

它的初始值是unset
当用户第一次登录时

它会先将前端ui输出出来，然后将设置类的password_sha1赋值给ui类的passwdhash，接着调用了ui的show方法

在show方法中，他会判断这个passwdhash的值是不是unset，如果是的话，就会调用设置类的change方法初始化暗码。
因此，只需要传参
?watchbird=change&key=password_sha1&value=unset

password_sha1就被更改为unset了
删掉cookie后刷新一下

就再次回到了初始化界面。
固然也可以到watchbird.conf中直接去改序列化后的数据

如许就实现了用户暗码修改
修改设置文件路径

但仅仅如许任意修改设置文件还不足以拿到shell
重点在文件最初运行时的操作

当步伐运行时
起首会查抄设置文件路径是否存在，不存在则创建(这对应初次访问的情况)
接着会查抄设置文件是否存在，不存在则将设置类序列化后写入设置文件中(同上)
然后反序列化读取设置，赋值给config变量
重点就在下面的foreach
这个foreach获取了config中的全部属性，并变成key=>val的形式
用了两个$，将config中的属性放到了全局中
前面说了，设置我们是可以随意更改的
如果我们在之前的操作中新增了一个config_path属性并写入到设置文件中
那么当代码走到这里的时候，从设置文件中读取的config_path会被写入到全局中
如许就覆盖了watchbird开头定义的congfig_path的值

如许一来，设置文件的路径和文件格式就被改变了
如果我们将他改为/var/www/html/shell.php
那么接下来用户的操作中，如果需要更改设置，用户的设置信息会被写入到/var/www/html/shell.php中

而根据代码流程很容易看到，接下来就可以直接调用change方法来实现设置文件重新写入
我们来实现一下

最初网站根目次下是没有其他文件的

接着我们调用change方法添加一个config_path设置，并将他的值设为网站的根目次
这里要执行两次
第一次，是将config_path写入到/tmp/watchbird/watchbird.conf中
第二次，就会读取设置，覆盖config_path变量，将设置写入到shell.php中了

检察根目次，果然他出现了
访问shell.php

没题目，很nice
写入木马

因为设置我们可以随便写入，我们直接将设置名写为php步伐

像如许，我写入了一个php步伐用于输出当前目次下的文件
检察一下shell.php文件

写入成功
访问shell.php

执行成功
到这一步ctfer都已经轻车熟路了，后面的环节就不再多说了，恣意写马吧！
总结

闲来无事，偶然翻阅源码发现的小tips，因为省事本身用本机windows的phpstudy搭的，真实awd角逐一般都是linux情况，所以以上仅供参考！欢迎师傅们多多交换！
本日只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
网络安全学习资源分享:

给各人分享我本身学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小伙伴们有资助！
零底子入门
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习发展路线图。可以说是最科学最系统的学习路线，各人跟着这个大的方向学习准没题目。
【点击免费领取】CSDN大礼包：《黑客&网络安全入门&进阶学习资源包》
1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有题目。
2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我本身录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频解说。【点击领取视频教程】

技术文档也是我本身整理的，包罗我参加大型网安举措、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取技术文档】

（都打包成一块的了，不能逐一睁开，统共300多集）
3.技术文档和电子书

技术文档也是我本身整理的，包罗我参加大型网安举措、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取书籍】

4.工具包、口试题和源码

“工欲善其事必先利其器”我为各人总结出了最受欢迎的几十款款黑客工具。涉及范围紧张集中在 信息网络、Android黑客工具、自动化工具、网络钓鱼等，感爱好的同学不容错过。

最后就是我这几年整理的网安方面的口试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。
这些题目都是各人在口试深信服、奇安信、腾讯或者其它大厂口试时经常遇到的，如果各人有好的题目或者好的见解欢迎分享。
参考剖析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表现更加易懂。
内容概要：包罗 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…