搜索

[28334] 2020-06-06_一次任意文件下载引发的渗透

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-06-06_一次任意文件下载引发的渗透 一 次 任 意 文 件 下 载 引 发 的 渗 透 d a z h i g e   O t s 安 全   2 0 2 0 - 0 6 - 0 6 起 因 起 因 故 事 的 开 始 ， 是 一 个 老 套 的 任 意 文 件 下 载 漏 洞 发 现 这 个 漏 洞 ， 自 然 要 利 用 起 来 ， 读 读 文 件 一 看 这 个 的 d b c o n n . a s p ， 就 是 跟 数 据 库 连 接 有 关 的 ， 于 是 读 取 一 下 ：
连 接 密 码 啥 的 没 直 接 写 ， 不 过 略 微 思 考 就 能 想 到 ： 不 写 在 这 个 文 件 里 面 ， 那 就 是 写 在 了 w e b . c o n f i g 里 面 了 。 然 而 直 接 读 取 根 目 录 的 w e b . c o n f i g 并 没 有 ， 一 番 寻 找 之 后 发 现 在 a d m i n / w e b . c o n f i g 里 面 。 。 。 可 惜 不 能 直 接 连 ， 扫 了 下 端 口 发 现 就 开 了 8 0 。 继 续 寻 找 继 续 寻 找 没 办 法 ， 读 了 几 个 文 件 发 现 这 个 系 统 参 数 都 做 了 s q l 过 滤 ， 看 了 下 过 滤 得 还 挺 细 ， 大 概 是 将 关 键 字 像 单 引 号 、 s e l e c t 啥 的 直 接 替 换 掉 ， 想 绕 估 计 得 找 黑 名 单 之 外 的 关 键 字 进 行 代 替 ， 有 些 麻 烦 ， 暂 时 先 放 这 。 扫 目 录 发 现 了 f c k e d i t o r ： 然 而 不 能 用 ， f c k e d i t o r 目 录 下 所 有 a s p 文 件 都 不 能 执 行 。
这 下 也 没 别 的 办 法 了 ， 只 能 找 找 上 传 点 。 于 是 我 根 据 目 录 扫 描 的 结 果 继 续 读 取 后 台 的 文 件 ： 可 以 看 到 这 个 菜 单 文 件 ， 里 面 没 有 直 接 写 出 后 台 各 个 部 分 的 路 径 。 试 试 直 接 访 问 ：
找 到 源 码 中 对 应 的 部 分 ， 发 现 直 接 访 问 也 获 取 不 到 ， 估 计 是 没 登 陆 的 缘 故 （ 后 面 拿 到 账 户 密 码 证 实 了 这 一 点 ） 。 没 有 办 法 ， 扫 目 录 没 什 么 进 展 ， 而 且 直 接 读 文 件 没 有 找 到 上 传 的 地 方 或 者 其 他 可 利 用 的 点 ， 卡 在 这 里 卡 了 好 一 会 峰 回 路 转 峰 回 路 转 经 过 一 番 仔 细 地 观 察 ， 我 发 现 扫 a d m i n 子 目 录 的 时 候 ， 有 个 r e p o r t 目 录 ， 直 接 访 问 是 4 0 3 的 ： 再 看 上 上 张 图 里 面 的 h t m l 源 代 码 ， 正 好 有 个 # r e p o r t 超 链 接 。 因 此 ， 可 以 大 胆 的 猜 测 ， 会 有 / b o a r d 、 / s y s 这 些 与 m e n u . a s p 这 个 菜 单 文 件 中 的 菜 单 同 名 的 目 录 。 测 试 发 现 确 实 如 此 ：
因 为 前 台 的 / b o a r d 目 录 有 附 件 ， 所 以 后 台 对 应 应 该 有 上 传 ， 于 是 去 猜 测 / a d m i n / b o a r d / 这 个 目 录 下 的 文 件 ， 最 后 找 到 个 n e w s . a s p ， 于 是 读 取 一 下 ： 根 据 源 码 ， 一 路 跟 踪 到 n e w s _ e d i t 2 . a s p 这 个 文 件 才 发 现 上 传 表 单 ， 但 是 需 要 登 陆 ： 终 于 突 破 又 迷 茫 了 好 一 阵 。 。 。 没 办 法 继 续 找 ， 常 规 的 思 维 告 诉 我 们 ， 后 台 的 系 统 设 置 什 么 的 可 能 存 在 上 传 ， 比 如 上 传 l o g o 什 么 的 ， 于 是 我 又 跑 去 猜 a d m i n / s y s 目 录 下 的 文 件 ：
好 家 伙 ， 有 个 u p l o a d . a s p （ 前 面 居 然 没 扫 出 来 。 。 。 ） ， 访 问 ： 然 而 难 受 的 是 点 击 上 传 之 后 会 跳 转 到 登 陆 。 。 。 就 当 我 以 为 g g 的 时 候 ， 看 了 眼 b u r p ， 发 现 是 上 传 成 功 了 ， 然 后 跳 转 的 ： 于 是 开 始 针 对 这 个 上 传 点 ， 不 过 直 接 上 传 是 不 行 的 ：
没 关 系 ， 我 们 可 以 读 源 码 ： 好 家 伙 ， 后 缀 控 制 得 很 死 。 然 而 文 件 名 可 以 钻 空 子 ， 让 我 们 看 看 文 件 名 的 构 成 ： 前 面 三 个 参 数 都 是 我 们 可 控 的 ， 这 样 我 们 直 接 进 行 在 前 三 个 参 数 进 行 截 断 就 行 了 ： u f p   =   u p l o a d . f o r m ( " s c h y y " ) & u p l o a d . f o r m ( " e x i d " ) & u p l o a d . f o r m ( " i d n o " )   &   u p l o a d . f o r m ( " e x t e n d " )   & " . " & u p f i l e n a m e ( u b o u n d ( u p f i l e n a m e ) )
这 里 我 还 跳 转 了 一 下 目 录 ， 跳 到 上 面 一 层 去 了 ， 因 为 默 认 的 那 个 目 录 ， 不 管 访 问 啥 都 是 4 0 3 ： 好 家 伙 ， 终 于 拿 到 了 s h e l l ：
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理