脚本编写

  • 建议先过一遍参考文档：https://docs.xray.cool/#/guide/poc/v2

    YAML

    一种可读的序列化数据，类似JSON。参考：YAML - Wiki

  • 特点：

    • 大小写敏感
    • 可以使用#号注释
    • 使用缩进表示层级关系，缩进不允许使用Tab，可以用空格

  • 关于YAML字符串转义：https://stackoverflow.com/questions/3790454/

    基本信息

  • 文件命名格式为：组件-编号-漏洞类型.yml，如：node-cve-2017-14849-fileread.yml ```yaml

    基本信息

    POC名称,一般格式为 poc-yaml-<组件名>-<漏洞编号>-<漏洞类型>

    name: poc-yaml-test

    区分是否手工编写,Xray有一些poc是自动生成的

    manual: true

  1. <a name="fglJV"></a>
  2. ### 脚本部分
  4. - `set`：定义全局变量
  5.    - 随机整数：`变量名: randomInt(min, max)`
  6.    - 随机字符：`变量名: randomLowercase(length)`
  7. - `transport`：通信协议，`tcp/udp/http`
  8. - `rules`：语法规则
  9.    - `request`字段：定义请求方式和目标路径
  10.    - `expression`字段：判断规则是否命中，返回`true/false`
  11.    - `out`字段：可以从响应包中获取数据
  12.       - `search`字段定义匹配的正则表达式，返回一个字典
  13.       - `info:search["info"]`：
  14.          - `info`是自定义的变量名，后面可以用`{{info}}`进行调
  15.          - `search["info"]`：`search`字典中Key为`info`的值
  16. - `expression`：全部`rule`的执行顺序，遵循短路求值
  17.    - 短路求值：即`r1() || r2()`，如果`r1()`的结果为`true`，那么`r2()`不会执行
  18.    - 示例：
  19.       - `r1() && r2() && r3()`，全部规则命中时返回`true`
  20.       - `r1() || r2() || r3()`，任一规则命中时返回`true`
  21.       - `r1() || (r2() && r3())`，`r1`规则命中，或者`r2、r3`规则同时命中时返回`true`
  22. ```yaml
  23. # 脚本部分
  24. # 全局变量
  25. set:
  26.     # 范围随机整数/字符
  27.     randInt0: randomInt(1000, 9999)
  28.     randStr1: randomLowercase(10) 
  30. # 通信协议
  31. transport: http     
  33. # 匹配规则
  34. rules:
  35.     r1:
  36.         # 请求方式
  37.         request:
  38.             method: GET
  39.             path: "/"
  41.         # 最终执行结果
  42.         expression: |
  43.             response.status == 200 && response.body.bcontains(b"example") 
  45.         # 从响应包获取数据
  46.         output:  
  47.             # search,指定搜索语法
  48.             search: |
  49.                 r'(?P<info>\|.*\|)'.bsubmatch(response.raw)'
  50.             # 变量名:匹配规则
  51.             info: search["info"]
  53. # rule执行顺序
  54. expression:
  55.     r1()

信息部分

  2. - 完整POC
  3. ```yaml
  4. # 基本信息
  5. # POC名称,一般格式为 poc-yaml-[框架名]-<漏洞编号>
  6. name: poc-yaml-test
  7. # 区分是否手工编写,Xray有一些poc是自动生成的
  8. manual: true
  10. # 脚本部分
  11. # 全局变量
  12. set:
  13.     # 范围随机整数/字符
  14.     randInt0: randomInt(1000, 9999)
  15.     randStr1: randomLowercase(10) 
  17. # 通信协议
  18. transport: http     
  20. # 匹配规则
  21. rules:
  22.     r1:
  23.         # 请求方式
  24.         request:
  25.             method: GET
  26.             path: "/"
  28.         # 最终执行结果
  29.         expression: |
  30.             response.status == 200 && response.body.bcontains(b"example") 
  32.         # 从响应包获取数据
  33.         output:  
  34.             # search,指定搜索语法
  35.             search: |
  36.                 r'(?P<info>\|.*\|)'.bsubmatch(response.raw)'
  37.             # 变量名:匹配规则
  38.             info: search["info"]
  40. # rule执行顺序
  41. expression:
  42.     r1()
  44. # 信息部分,非必填内容
  45. detail:
  46.   author: Chaitin(https://chaitin.com/)
  47.   links:
  48.     - https://docs.xray.cool/
  49.   # 还有一些指纹和漏洞信息,可以参考文档

expression

  • 匹配响应包 ```yaml expression: response.status == 200 # Status-Code expression: “zbx_session” in response.headers # Header expression: response.body.bcontains(b”verify_string”) # Body
  2. - 搜索
  3. ```yaml
  4. # 搜索Body
  5. search: |
  6.   "\"verify_string\":\"(?P<token>\\w+)\"".bsubmatch(response.body)

常用字段

output - rule完成后的全局变量

定义了这条 rule 运行完成之后的一些变量，该字段定义的变量会被添加到全局变量。

  • out字段下的变量是全局变量，如果2条rule里在匹配正则时，都用到search变量，后面的search的内容会和前面的search一样，也就是说第2条正则不会生效，所以后面info2自然和前面info1一样。不会覆盖也不会报错，第一次遇到的时候排查了很久，记录一下 ```yaml

    错误示例

r0: request: method: GET path: / expression: response.status == 200 output: search: “?P\w+”.bsubmatch(response.body) info1: search[“info”] r1: request: method: GET path: /test.php expression: response.status == 200 output: search: “?P\w+”.bsubmatch(response.body) info2: search[“info”]

  2. - 正确写法应该是命名不同的变量
  3. ```yaml
  4. # 正确示例
  6. r0:
  7.     request:
  8.     method: GET
  9.     path: /
  10.     expression: response.status == 200 
  11.     output:
  12.         r0search: "?P<info>\\w+".bsubmatch(response.body) 
  13.         info1: r0search["info"]
  14. r1:
  15.     request:
  16.         method: GET
  17.         path: /test.php
  18.     expression: response.status == 200
  19.     output:
  20.         r1search: "?P<info>\\w+".bsubmatch(response.body) 
  21.         info2: r1search["info"]

follow_redirects - 跟随跳转

  • 可以通过设置follow_redirects: bool来判断是否允许跟随30X跳转

  • 举例场景：

    • 如果需要从一个302跳转的包中取值并设置到Cookie中，这个时候就需要显式设置follow_redirects为´false，然后再手动发起一次新的请求包。否则如果跟随跳转的话，则会携带原来Cookie

      payload - 全局变量载荷

      该字段用于定义多个 payload，来实现发送不同 payload 的效果。

  • 这个字段是POCv2版本新增的，Gamma语法检查时会报错，但是实际可以运行 | 变量名/函数名 | 类型 | 说明 | | —- | —- | —- | | continue | bool | 命中一个之后是否继续，默认false命中即停 | | payloads | map[string]Set | 和 set 一样的结构和语法 |

  • 每个 payload 中的 key 必须严格一致 ```shell payloads: payloads: ping:

    1. cmd: r"ping test.com"

    curl:

    1. cmd: r"curl test.com"
  1. <a name="ndzce"></a>
  2. ### reverse - 反连平台
  4. - 设变量名为`reverse`，需要先使用`newReverse()`生成实例)
  5. | **变量名/函数名** | **类型** | **说明** |
  6. | --- | --- | --- |
  7. | reverse.url | urlType | 反连平台的 url |
  8. | reverse.domain | string | 反连平台的域名 |
  9. | reverse.ip | string | 反连平台的 ip 地址 |
  10. | reverse.is_domain_name_server | bool | 反连平台的 domain 是否同时是 nameserver |
  11. | reverse.wait(timeout) | func (timeout int) bool | 等待 timeout 秒，并返回是否在改时间内获得了信息 |
  13. ```yaml
  14. set:
  15.   reverse: newReverse()
  16.   reverseURL: reverse.url
  18. rules:
  19.   r1:
  20.     request:
  21.       method: POST
  22.       path: "/xxx/{{reverseURL}}"
  23.       expression: |
  24.         reverse.wait(5)

参考知识

CEL

  1. ![image.png](https://cdn.nlark.com/yuque/0/2022/png/520228/1645687966683-80b0aa97-9e6d-4bd8-8885-a2e963d61f92.png#clientId=ub141f219-a495-4&from=paste&height=426&id=LhSZR&margin=%5Bobject%20Object%5D&name=image.png&originHeight=852&originWidth=1087&originalType=binary&ratio=1&size=249794&status=done&style=none&taskId=ufb0e0e26-b76f-4d57-881b-d95714012e8&width=543.5)
  3. - [Gamma](https://github.com/chaitin/gamma)：提供YAML脚本运行环境，请求响应会以Base64编码形式返回，可以使用`--http-proxy`参数代理到Burp中
  4. ```shell
  5. # 语法检查
  6. $ gamma lint --script xxx.yml
  8. # 运行
  9. $ gamma run --target "http://xxx.com" --script xxx.yml
  11. # 调试运行
  12. $ GAMMA_LOG_LEVEL=debug ./gamma run --no-cache --target "http://xxx.com" --script xxx.yml
  14. # 搭配Burp调试
  15. $ gamma run --target "http://xxx.com" --script xxx.yml --http-proxy http://127.0.0.1:8080

image.png
image.png

作业