搜索

[28335] 2020-06-06_实战审计并getshell某发卡平台

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-06-06_实战审计并getshell某发卡平台 实 战 审 计 并 g e t s h e l l 某 发 卡 平 台 n g l s t h   O t s 安 全   2 0 2 0 - 0 6 - 0 6 前 言 前 言 之 前 在 群 里 有 个 老 兄 求 助 帮 忙 审 计 一 个 自 助 发 卡 系 统 的 c m s ( 还 是 1 块 钱 买 来 的 )   基 于 t p 5 开 发   我 反 正 没 事   于 是 看 了 一 下 o - o   找 到 了 几 种 g e t s h e l l 的 方 法   这 里 就 介 绍 一 种 , 还 有 一 个 更 神 奇 的 地 方 , 最 后 发 现 这 位 老 兄 竟 然 是 我 的 学 弟 , 真 的 是 缘 分 让 我 们 相 遇 不 是 意 外 . . . . . 太 神 奇 了 . . . . . . . . . . . . . . . . . 让 我 们 一 起 日 了 这 个 站 正 文 正 文 这 个 系 统 的 后 台 上 传 是 有 两 个 步 骤 首 先 会 调 用   a d m i n 模 块 p l u g i n 控 制 器 的 u p d a t e 方 法   通 过   p o s t 的 m d 5   和   f i l e n a m e   生 成 一 个 加 密 t o k e n   这 个 t o k e n 会 用 于 后 面 的 检 验 对 应 源 码
再 来 看 看 第 二 步   当 然 就 是 上 传 文 件 拉   下 面 就 是 个 平 常 的 上 传 文 件 包 看 看 对 应 的 源 码
这 里 i f   ( $ t h i s - > r e q u e s t - > p o s t ( ' t o k e n ' )   ! = =   m d 5 ( $ f i l e n a m e   .   s e s s i o n _ i d ( ) ) ) 这 一 个 判 断 是 可 以 绕 过 的   因 为 这 里 $ f i l e n a m e   =   j o i n ( ' / ' ,   $ m d 5 )   .   " . { $ e x t } " ; 而   $ m d 5 是 可 以 控 制 的   e x t   也 是 可 以 控 制 的   所 以 $ f i l e n a m e 可 以 控 制   而 且   p o s t   的 t o k e n 也 可 以 控 制   这 样 当 然 可 以 绕 过   具 体 的 生 成 方 法 就 是 利 用 上 传 文 件 的 第 一 步   自 己 可 以 随 意 构 造 p o s t 的 m d 5 值   并 且 没 有 检 验 针 对 p o s t 的 m d 5 参 数   这 是 g e t s h e l l 的 背 景 之 一 然 后 关 键 点 在 $ i n f o   =   $ f i l e - > m o v e ( ' s t a t i c '   .   D S   .   ' u p l o a d '   .   D S   .   $ m d 5 [ 0 ] ,   $ m d 5 [ 1 ] ,   t r u e ) ) 这 个 m o v e 函 数 里   跟 进 这 个 m o v e 函 数   在 这 个 m o v e 函 数 里 有 一 个 关 键 的 调 用 $ s a v e N a m e   =   $ t h i s - > b u i l d S a v e N a m e ( $ s a v e n a m e ) ;                 $ f i l e n a m e   =   $ p a t h   .   $ s a v e N a m e ; 我 们 来 看 看 这 个 b u i l d s a v e n a m e 函 数
p r o t e c t e d   f u n c t i o n   b u i l d S a v e N a m e ( $ s a v e n a m e )         {                 / /   自 动 生 成 文 件 名                 i f   ( t r u e   = = =   $ s a v e n a m e )   {                         i f   ( $ t h i s - > r u l e   i n s t a n c e o f   C l o s u r e )   {                                 $ s a v e n a m e   =   c a l l _ u s e r _ f u n c _ a r r a y ( $ t h i s - > r u l e ,   [ $ t h i s ] ) ;                         }   e l s e   {                                 s w i t c h   ( $ t h i s - > r u l e )   {                                         c a s e   ' d a t e ' :                                                 $ s a v e n a m e   =   d a t e ( ' Y m d ' )   .   D S   .   m d 5 ( m i c r o t i m e ( t r u e ) ) ;                                                 b r e a k ;                                         d e f a u l t :                                                 i f   ( i n _ a r r a y ( $ t h i s - > r u l e ,   h a s h _ a l g o s ( ) ) )   {                                                         $ h a s h           =   $ t h i s - > h a s h ( $ t h i s - > r u l e ) ;                                                         $ s a v e n a m e   =   s u b s t r ( $ h a s h ,   0 ,   2 )   .   D S   .   s u b s t r ( $ h a s h ,   2 ) ;                                                 }   e l s e i f   ( i s _ c a l l a b l e ( $ t h i s - > r u l e ) )   {                                                         $ s a v e n a m e   =   c a l l _ u s e r _ f u n c ( $ t h i s - > r u l e ) ;                                                 }   e l s e   {                                                         $ s a v e n a m e   =   d a t e ( ' Y m d ' )   .   D S   .   m d 5 ( m i c r o t i m e ( t r u e ) ) ;                                                 }                                 }                         }                 }   e l s e i f   ( ' '   = = =   $ s a v e n a m e   | |   f a l s e   = = =   $ s a v e n a m e )   {                         $ s a v e n a m e   =   $ t h i s - > g e t I n f o ( ' n a m e ' ) ;                 }                 i f   ( ! s t r p o s ( $ s a v e n a m e ,   ' . ' ) )   {                         $ s a v e n a m e   . =   ' . '   .   p a t h i n f o ( $ t h i s - > g e t I n f o ( ' n a m e ' ) ,   P A T H I N F O _ E X T E N S I O N ) ;                 }                 r e t u r n   $ s a v e n a m e ;         } 兄 弟 萌   看 见 没   h h   关 键 点 就 在   最 后 一 个 i f 判 断 上   判 断   $ s a v e n a m e 里 是 否 有 .   有 的 话 就 会 直 接   r e t u r n   $ s a v e n a m e   那 么 这 个 s a v e n a m e 是 什 么 呢   看 前 面 的 调 用 发 现   这 个 s a v e n a m e 就 是   调 用 m o v e 函 数 的 第 二 个 参 数   也 就 是   $ m d 5 [ 1 ]   这 个 是 咱 们 可 以 控 制 的   而 且 看 m o v e 函 数 后 面 是 将 这 个 作 为 文 件 名 了 的   那 么 我 们 将 $ m d 5 [ 1 ] 设 置 成 x x x x . p h p ( 要 长 与 1 6 位 )   是 不 是 已 经 成 了 ! ! !   h h 还 需 要 注 意 一 下   上 传 的 时 候   p n g 图 片 前 面 一 部 分 的 格 式 需 要 保 留   因 为 有 检 测   p h p 代 码 丢 后 面 就 好   或 者 直 接 用 图 片 马 什 么 的
你 别 看 它 返 回 的 是 上 传 失 败   其 实 已 经 上 传 成 功 了   路 径 就 是   x x x x x / s t a t i c / u p l o a d / $ m d 5 [ 0 ] / $ m d 5 [ 1 ] 我 刚 开 始 百 思 不 得 其 解 为 什 么 会 上 传 失 败   一 切 都 这 么 的 流 畅 . . . .   最 后 看 了 几 遍 找 不 出 错 在 哪 , 不 得 已 自 己 在 本 地 搭 建 了 环 境 ， 然 后 实 验 ， 偶 然 间 , 去 瞟 了 一 眼 上 传 目 录 , 发 现 . . . . . . 其 实 已 经 上 传 成 功 了 . . . . .   应 该 自 己 去 访 问 一 下 的   这 个 地 方 有 点 傻 了 最 终 最 终 ： 弄 了 个 p h p i n f o 上 去 看 了 一 下 d i s a b l e d   f u n c t i o n   并 不 恐 怖   而 且 是 p h p   7   直 接 用   p h p 7 的 b u g   就 能 执 行 命 令
最 后 尝 试 了 一 波 提 权 , 因 为 没 什 么 三 方 应 用 用 来 提 的 比 如 r e d i s 啊 啥 的 , 只 有 硬 刚 , 然 后 果 然 的 失 败 了 ， 希 望 有 大 佬 教 教 我 提 l i n u x . 在 f o f a 上 搜 了 一 下 不 是 很 多 , 有 1 0 0 多 台 , 不 过 这 个 地 方 是 未 授 权 , 后 端 没 有 检 测 , 不 需 要 登 陆 , 两 个 包 直 接 入 魂 , 也 算 不 错 了 , 关 键 是 竟 然 遇 到 了 学 弟 , h h h h h h h h h h 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理