渗透测试工具 | 【技术分享】实现基于时间的远程代码执行（RCE）技术（含工具下载）

0x1 前言

本文主要介绍了作者在进行渗透测试项目的过程中，如何利用基于时间反馈的方式，突破无法获得命令输出反馈的限制，实现远程代码执行技术。

我们最近进行了一个渗透测试的项目，该项目的主要目的是测试目标主机某个API的漏洞以及可能造成的损害。该主机在一个被防火墙隔离的私有网络中，我们最终是利用基于时间的命令注入攻击完成的测试。

以下是整个渗透测试的心路历程。

首先，我们发现了一个有趣的GET请求，它接收了两个参数：一个是string类型，另一个是ID号。通过对string类型参数进行fuzzing测试，并基于它处理单引号的方式，我们发现它看起来是个SQL注入，然而普通的SQL注入攻击测试并没有成功。但是当我们发送`sleep 10`命令，并且HTTP响应确实在10秒后返回时，我们发现这里应当是个突破口，可以做一些文章。接下来，我们将设法攻击主机，以实现远程代码执行（RCE）。

第一个任务应当是识别目标主机运行在什么平台上。开始时，根据HTTP响应的头部，我们认为该主机是基于Windows平台的，然而测试结果却很奇怪，因为有的载荷应当只能在Linux的bash里面工作，在这个主机上却也能够工作。

为了确定该主机到底基于什么平台，我们的思路是：使用一个包含了sleep命令的“if”语句来识别到底是哪个系统。当条件为真是，sleep命令将被执行。

为了能够执行得到上述sleep命令的结果，我们的第二个任务就是想办法与该主机进行交互。然而，实现交互也并不简单。我们尝试了许多工具用来建立TCP连接：ncat，wget，curl等。但没有一个可以成功。然后，我们尝试了其他类似的技术：FTP连接，DNS查询，甚至ICMP数据包，但也没有成功。再后来，我们才发现，这个主机处在一个私有网络中，保护该主机的防火墙允许我们执行命令，但是看不到输出。

我们项目的同事给出了一个建议，即使用sleep命令的返回结果去一个字符一个字符的猜命令执行的输出，当然，这个过程可以写个自动化脚本去完成。这有点像执行基于时间的SQL注入一样。

那么，为了测试这种方式在有网络延迟的情况下是否有效，我们首先尝试了一个简单的脚本，它用来判断，在命令输出的结果中位置X的字符是否是Y。

通过上面这个脚本，我们可以得到whoami命令输出。

上面的方法看似可行，但是暴力枚举的猜测是一个十分低效的方式（事实上，作者后来也没解决这个问题= =）。除了这个问题以外，该方法还有其他严重的问题，比如，GET参数仅限于48个字符，因为不满足这个限制将会超过载荷的最大长度。为了绕过这个限制，我们的思路是将命令的输出分割，分割的部分分别存在目标主机的不同临时文件中。之后，我们再依次读取分割后的命令输出内容，那么，最终的输出结果就是所有内容的合并。