搜索

[11707] 2017-08-25_挖洞经验记一次曲折的Getshell过程

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-08-25_挖洞经验记一次曲折的Getshell过程 挖 洞 经 验   |   记 一 次 曲 折 的 G e t s h e l l 过 程 三 只 小 潴   F r e e B u f   2 0 1 7 - 0 8 - 2 5 * 本 文 原 创 作 者 ： 三 只 小 潴 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 最 近 在 挖 某 框 架 的 漏 洞 ， 其 中 挖 到 一 枚 最 近 在 挖 某 框 架 的 漏 洞 ， 其 中 挖 到 一 枚 G e t s h e l l ， 挖 的 过 程 有 点 曲 折 感 觉 可 以 写 篇 文 章 总 结 一 下 ， 方 便 与 各 位 ， 挖 的 过 程 有 点 曲 折 感 觉 可 以 写 篇 文 章 总 结 一 下 ， 方 便 与 各 位 大 牛 交 流 交 流 。 大 牛 交 流 交 流 。 因 为 此 框 架 有 大 量 用 户 ， 并 且 此 漏 洞 并 未 修 复 ， 故 此 隐 去 所 有 有 关 此 框 架 的 信 息 ， 连 文 章 中 出 现 的 代 码 都 是 我 因 为 此 框 架 有 大 量 用 户 ， 并 且 此 漏 洞 并 未 修 复 ， 故 此 隐 去 所 有 有 关 此 框 架 的 信 息 ， 连 文 章 中 出 现 的 代 码 都 是 我 自 己 另 写 的 ， 重 在 思 路 ， 希 望 大 家 理 解 。 自 己 另 写 的 ， 重 在 思 路 ， 希 望 大 家 理 解 。 首 先 通 过 审 计 定 位 到 可 能 导 致 漏 洞 的 代 码 （ 路 径 ： / e d i t / c r e a t . p h p ） ： 其 中   $ G P   是 合 并   $ G E T   和   $ _ P O S T   的 变 量 。 可 以 看 到 写 入 的 文 件 路 径 和 写 入 的 部 分 内 容 都 是 可 控 的 ， 看 到 这 里 不 禁 露 出 了 一 丝 笑 容 ， 没 想 到 一 枚   g e t s h e l l   如 此 轻 松 。 好 吧 ， 先 测 试 一 下 ， 把 $ f i l e 的 值 设 置 为 ： p o s t   到   / i n d e x . p h p ?   c o n t r o l = e d i t & a c t i o n = c r e a t ( 此 框 架 是 单 入 口 ) 预 计 生 成 的 文 件 内 容 是 ： 好 了 ， 那 访 问 一 下 生 成 的 文 件 ， U R L ： < ? p h p   e c h o   1 1 1 1 ;   ? > . p h p
右 键 查 看 一 下 源 码 ， 发 现 输 出 的 内 容 是 ： 居 然 被 过 滤 了 ？   回 溯 之 前 的 代 码 ， 在   i n d e x . p h p   文 件 中 发 现 代 码 ： 关 键 在 开 始 的 两 行 代 码 上 ， h t m l E n c o d e   ?   搜 索 这 个 函 数 ， 找 到 这 个 函 数 的 代 码 如 下 ： 结 合 起 来 ， 就 是 对   p o s t   和   g e t   获 取 到 的 所 有 内 容 进 行 h t m l s p e c i a l c h a r s ， 所 以 才 会 出 现 上 面 所 看 到 的 尖 括 号 被 过 滤 的 情 况 。 看 到 这 里 ， 脸 上 的 笑 容 都 消 失 了 ， 哎 呀 ， 果 然 没 那 么 容 易 。 尖 括 号 过 滤 了 ， 那 就 没 办 法 写 入 P H P   代 码 的 解 析 标 签 了 ， 想 不 到 什 么 突 破 的 办 法 ， 难 道 就 这 样 放 弃 么 ？ 开 始 犯 愁 … 一 直 想 着 ： 过 滤 了 尖 括 号 怎 么 办 ？ 过 滤 了 尖 括 号 怎 么 办 ？ 过 滤 了 尖 括 号 怎 么 办 … … 那 我 能 不 能 不 用 尖 括 号 呢 ？ 不 用 尖 括 号 能 不 能 解 析 ？ 要 怎 么 才 能 解 析 ？ 想 到 这 里 ， 突 然 就 想 到 模 板 ！ 这 个 框 架 的 模 板 和 大 多 数   M V C   的 模 板 一 样 ， 使 用 大 括 号 作 为 标 记 :
这 样 就 可 以 使 用 模 板 的 标 记   { }   来 绕 过 尖 括 号   < >   的 过 滤 ， 但 是 根 据 这 个 框 架 的 路 由 协 定 ， 模 板 不 能 随 便 被 包 含 ， 所 以 只 能 覆 盖 原 有 的 模 板 。 按 照 这 个 思 路 ， 找 一 个 有 加 载 模 板 的 功 能 ， 覆 盖 加 载 的 模 板 ， 覆 盖 之 后 访 问 了 就 可 以 解 析 了 。 按 照 这 个 思 路 ， 找 到 一 个 加 载 了 模 板 的 功 能 ， U R L 是 ： 代 码 路 径 在 / b a s i c / i n d e x . p h p ， 代 码 最 后 就 有 调 用   v i e w ( ‘ i n d e x ’ ) ; 加 载 的 模 板 路 径 在 ： 按 照 这 些 信 息 ， 应 该 构 造   $ f i l e   的 值 为 ： 但 是 这 样 又 有 一 个 问 题 了 ， 虽 然 构 造 这 样 的 值 可 以 覆 盖 原 有 的 模 板 文 件 ， 但 是 写 入 的 文 件 内 容 就 是 ： 这 样 的 话 就 没 有 写 入 需 要 的   W e b s h e l l   了 ， 怎 么 办 呢 ？ ！ 根 据   U R L   的 特 性 ， . / 1 . p h p   和   . / t e s t / . . / 1 . p h p   访 问 的 内 容 是 一 样 的 ， 都 是   1 . p h p   这 个 文 件 ， 但 是   t e s t   这 个 目 录 名 我 是 可 以 随 便 写 的 ， 再 根 据 模 板 伪 代 码 的 格 式 构 造 一 个 控 制   $ f i l e   的 测 试   P O C ： （ 根 据   v i e w ( )   函 数 的 代 码 ， 有 一 个 { p h p   } 伪 代 码 标 签 ， 处 理 的 时 候 会 替 换 为   < ? p h p   > 。 其 实 就 算 是 没 有 这 标 签 也 可 以 用 其 他 非 组 合 的 标 签 代 替 ） / i n d e x . p h p ?   c o n t r o l = b a s i c & a c t i o n = i n d e x / t h e m e s / b a s i c / i n d e x . h t m l . . / . . / t h e m e s / b a s i c / i n d e x . h t m l
生 成 的 文 件 内 容 为 ： 访 问   U R L ： 右 键 查 看 源 码 ， 输 出 的 内 容 为 ： 证 明 代 码 执 行 了 ， 那 构 造 一 个 包 含 一 句 话 的   P O C ， 按 照 上 一 个   P O C   的 思 路 ， 应 该 把   f i l e   的 值 构 造 为 ：   但 是 访 问 后 发 现 输 出 的 内 容 为 ： 想 起   $ f i l e   的 值 是 通 过 框 架 封 装 的   $ G P   的 值 都 经 过 了   h t m l e n c o d e ， 怎 么 办 呢 ？ ！   根 据   P H P   的 特 性 ， $ _ P O S T [ ‘ w ’ ] 获 取 值 的 时 候 可 以 把 引 号 去 掉 ， 所 以 可 以 把   p o c   改 为 ： 访 问   U R L ： / i n d e x . p h p ?   c o n t r o l = b a s i c & a c t i o n = i n d e x   ， 给 参 数   w 传 值   e c h o   1 1 1 1 ; / i n d e x . p h p ?   c o n t r o l = b a s i c & a c t i o n = i n d e x
右 键 查 看 源 码 ， 内 容 为 ： 证 明   p o s t   的 代 码 确 实 被 执 行 了 ， 到 服 务 器 上 执 行 ： 至 此 ， g e t s h e l l   完 成 ， 虽 然 过 程 有 点 艰 辛 ， 但 还 是 拿 下 了 。 最 后 总 结 一 下 ： 1 .   刚 开 始 遇 到 过 滤 尖 括 号 等 的   H T M L   字 符 的 时 候 ， 利 用 了   M V C   模 板 中 的 伪 代 码 代 替 绕 过 了 2 .   遇 到 覆 盖 文 件 时 候 填 写 完 整 路 径 不 能 写 入 p a y l o a d   的 问 题 ， 使 用 了 构 造 一 个 不 存 在 的 目 录 （ 目 录 的 名 称 就 是   p a y l o a d ） 的 方 法 进 行   p a y l o a d   的 写 入 3 .   最 后 写 入   p a y l o a d   的 时 候 发 现 也 过 滤 了 引 号 导 致 不 能 写 入   $ P O S T [ ‘ w ’ ]   ， 根 据   P H P   的 特 性 ， 去 掉 引 号 依 然 可 以 获 取   w   下 标 的 内 容 ， 所 以 替 换 为   $ P O S T [ w ] 4 .   写 入 最 终 构 造 好 的   p a y l o a d ， G e t s h e l l   完 成 ！ * 本 文 原 创 作 者 ： 三 只 小 潴 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理