搜索

[13303] 2018-10-15_无字母数字Webshell之提高篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-10-15_无字母数字Webshell之提高篇 无 字 母 数 字 W e b s h e l l 之 提 高 篇 p h i t h o n   F r e e B u f   2 0 1 8 - 1 0 - 1 5 前 几 天 有 同 学 提 出 了 一 个 问 题 ， 大 概 代 码 如 下 ： 这 个 代 码 如 果 要 g e t s h e l l ， 怎 样 利 用 ？ 这 题 可 能 来 自 是 我 曾 写 过 的 一 篇 文 章 ： 《 一 些 不 包 含 数 字 和 字 母 的 W e b s h e l l 》 ， 里 面 介 绍 了 如 何 构 造 无 字 母 数 字 的 w e b s h e l l 。 其 中 有 两 个 主 要 的 思 路 ： 1 . 利 用 位 运 算 2 . 利 用 自 增 运 算 符 当 然 ， 这 道 题 多 了 两 个 限 制 ： 1 . w e b s h e l l 长 度 不 超 过 3 5 位 2 . 除 了 不 包 含 字 母 数 字 ， 还 不 能 包 含 $ 和 _ 难 点 呼 之 欲 出 了 ， 我 前 面 文 章 中 给 出 的 所 有 方 法 ， 都 用 到 了 P H P 中 的 变 量 ， 需 要 对 变 量 进 行 变 形 、 异 或 、 取 反 等 操 作 ， 最 后 动 态 执 行 函 数 。 但 现 在 ， 因 为 $ 不 能 使 用 了 ， 所 以 我 们 无 法 构 造 P H P 中 的 变 量 。 所 以 ， 如 何 解 决 这 个 问 题 ？ P H P 7   下 简 单 解 决 问 题 下 简 单 解 决 问 题 我 们 将 上 述 代 码 放 在 i n d e x . p h p 中 ， 然 后 执 行 d o c k e r   r u n   — r m   - p   9 0 9 0 : 8 0   - v   : / v a r / w w w / h t m l   p h p : 7 . 2 - a p a c h e ， 启 动 一 个 p h p   7 . 2 的 服 务 器 。 p h p 7 中 修 改 了 表 达 式 执 行 的 顺 序 ： h t t p : / / p h p . n e t / m a n u a l / z h / m i g r a t i o n 7 0 . i n c o m p a t i b l e . p h p   ： p w d
P H P 7 前 是 不 允 许 用 ( $ a ) ( ) ; 这 样 的 方 法 来 执 行 动 态 函 数 的 ， 但 P H P 7 中 增 加 了 对 此 的 支 持 。 所 以 ， 我 们 可 以 通 过 ( ‘ p h p i n f o ’ ) ( ) ; 来 执 行 函 数 ， 第 一 个 括 号 中 可 以 是 任 意 P H P 表 达 式 。 所 以 很 简 单 了 ， 构 造 一 个 可 以 生 成 p h p i n f o 这 个 字 符 串 的 P H P 表 达 式 即 可 。 p a y l o a d 如 下 （ 不 可 见 字 符 用 u r l 编 码 表 示 ） ： P H P 5 的 思 考 的 思 考 我 们 使 用 d o c k e r   r u n   — r m   - p   9 0 9 0 : 8 0   - v   : / v a r / w w w / h t m l   p h p : 5 . 6 - a p a c h 来 运 行 一 个 p h p 5 . 6 的 w e b 环 境 。 此 时 ， 我 们 尝 试 用 P H P 7 的 p a y l o a d ， 将 会 得 到 一 个 错 误 ： 原 因 就 是 p h p 5 并 不 支 持 这 种 表 达 方 式 。 在 我 在 知 识 星 球 里 发 出 帖 子 的 时 候 ， 其 实 还 没 想 到 如 何 用 P H P 5 解 决 问 题 ， 但 我 有 自 信 解 决 它 ， 所 以 先 发 了 这 个 小 挑 战 。 后 来 关 上 电 脑 仔 细 想 想 ， 发 现 当 思 路 禁 锢 在 一 个 点 的 时 候 ， 你 将 会 钻 进 牛 角 尖 ； 当 你 用 大 局 观 来 看 待 问 题 ， 问 题 就 迎 刃 而 解 。 ( ~ % 8 F % 9 7 % 8 F % 9 6 % 9 1 % 9 9 % 9 0 ) ( ) ; p w d
当 然 ， 我 觉 得 我 的 方 法 应 该 不 是 唯 一 的 ， 不 过 一 直 没 人 出 来 公 布 答 案 ， 我 就 先 抛 钻 引 玉 了 。 大 部 分 语 言 都 不 会 是 单 纯 的 逻 辑 语 言 ， 一 门 全 功 能 的 语 言 必 然 需 要 和 操 作 系 统 进 行 交 互 。 操 作 系 统 里 包 含 的 最 重 要 的 两 个 功 能 就 是 “ s h e l l （ 系 统 命 令 ） ” 和 “ 文 件 系 统 ” ， 很 多 木 马 与 远 控 其 实 也 只 实 现 了 这 两 个 功 能 。 P H P 自 然 也 能 够 和 操 作 系 统 进 行 交 互 ， “ 反 引 号 ” 就 是 P H P 中 最 简 单 的 执 行 s h e l l 的 方 法 。 那 么 ， 在 使 用 P H P 无 法 解 决 问 题 的 情 况 下 ， 为 何 不 考 虑 用 “ 反 引 号 ” + “ s h e l l ” 的 方 式 来 g e t s h e l l 呢 ？ P H P 5 + s h e l l 打 破 禁 锢 打 破 禁 锢 因 为 反 引 号 不 属 于 “ 字 母 ” 、 “ 数 字 ” ， 所 以 我 们 可 以 执 行 系 统 命 令 ， 但 问 题 来 了 ： 如 何 利 用 无 字 母 、 数 字 、 $ 的 系 统 命 令 来 g e t s h e l l ？ 好 像 问 题 又 回 到 了 原 点 ： 无 字 母 、 数 字 、 $ ， 在 s h e l l 中 仍 然 是 一 个 难 题 。 此 时 我 想 到 了 两 个 有 趣 的 L i n u x   s h e l l 知 识 点 ： 1 . s h e l l 下 可 以 利 用 . 来 执 行 任 意 脚 本 2 . L i n u x 文 件 名 支 持 用 g l o b 通 配 符 代 替 第 一 点 曾 在 《   小 密 圈 里 的 那 些 奇 技 淫 巧   》 露 出 过 一 角 ， 但 我 没 细 讲 。 . 或 者 叫 p e r i o d ， 它 的 作 用 和 s o u r c e 一 样 ， 就 是 用 当 前 的 s h e l l 执 行 一 个 文 件 中 的 命 令 。 比 如 ， 当 前 运 行 的 s h e l l 是 b a s h ， 则 .   f i l e 的 意 思 就 是 用 b a s h 执 行 f i l e 文 件 中 的 命 令 。 用 .   f i l e 执 行 文 件 ， 是 不 需 要 f i l e 有 x 权 限 的 。 那 么 ， 如 果 目 标 服 务 器 上 有 一 个 我 们 可 控 的 文 件 ， 那 不 就 可 以 利 用 . 来 执 行 它 了 吗 ？ 这 个 文 件 也 很 好 得 到 ， 我 们 可 以 发 送 一 个 上 传 文 件 的 P O S T 包 ， 此 时 P H P 会 将 我 们 上 传 的 文 件 保 存 在 临 时 文 件 夹 下 ， 默 认 的 文 件 名 是 / t m p / p h p X X X X X X ， 文 件 名 最 后 6 个 字 符 是 随 机 的 大 小 写 字 母 。 第 二 个 难 题 接 踵 而 至 ， 执 行 .   / t m p / p h p X X X X X X ， 也 是 有 字 母 的 。 此 时 就 可 以 用 到 L i n u x 下 的 g l o b 通 配 符 ： * 可 以 代 替 0 个 及 以 上 任 意 字 符 ? 可 以 代 表 1 个 任 意 字 符 那 么 ， / t m p / p h p X X X X X X 就 可 以 表 示 为 / * / ? ? ? ? ? ? ? ? ? 或 / ? ? ? / ? ? ? ? ? ? ? ? ? 。 但 我 们 尝 试 执 行 .   / ? ? ? / ? ? ? ? ? ? ? ? ? ， 却 得 到 如 下 错 误 ： 这 是 因 为 ， 能 够 匹 配 上 / ? ? ? / ? ? ? ? ? ? ? ? ? 这 个 通 配 符 的 文 件 有 很 多 ， 我 们 可 以 列 出 来 ：
可 见 ， 我 们 要 执 行 的 / t m p / p h p c j g g L C 排 在 倒 数 第 二 位 。 然 而 ， 在 执 行 第 一 个 匹 配 上 的 文 件 （ 即 / b i n / r u n - p a r t s ） 的 时 候 就 已 经 出 现 了 错 误 ， 导 致 整 个 流 程 停 止 ， 根 本 不 会 执 行 到 我 们 上 传 的 文 件 。 思 路 又 陷 入 了 僵 局 ， 虽 然 方 向 没 错 。 深 入 理 解 深 入 理 解 g l o b 通 配 符 通 配 符 大 部 分 同 学 对 于 通 配 符 ， 可 能 知 道 的 都 只 有 * 和 ? 。 但 实 际 上 ， 阅 读 L i n u x 的 文 档 （   h t t p : / / m a n 7 . o r g / l i n u x / m a n - p a g e s / m a n 7 / g l o b . 7 . h t m l   ） ， 可 以 学 到 更 多 有 趣 的 知 识 点 。 其 中 ， g l o b 支 持 用 [ ^ x ] 的 方 法 来 构 造 “ 这 个 位 置 不 是 字 符 x ” 。 那 么 ， 我 们 用 这 个 姿 势 干 掉 / b i n / r u n - p a r t s ： 排 除 了 第 4 个 字 符 是 - 的 文 件 ， 同 样 我 们 可 以 排 除 包 含 . 的 文 件 ： 现 在 就 剩 最 后 三 个 文 件 了 。 但 我 们 要 执 行 的 文 件 仍 然 排 在 最 后 ， 但 我 发 现 这 三 个 文 件 名 中 都 不 包 含 特 殊 字 符 ， 那 么 这 个 方 法 似 乎 行 不 通 了 。 继 续 阅 读 g l o b 的 帮 助 ， 我 发 现 另 一 个 有 趣 的 用 法 ： 就 跟 正 则 表 达 式 类 似 ， g l o b 支 持 利 用 [ 0 - 9 ] 来 表 示 一 个 范 围 。 我 们 再 来 看 看 之 前 列 出 可 能 干 扰 我 们 的 文 件 ： 所 有 文 件 名 都 是 小 写 ， 只 有 P H P 生 成 的 临 时 文 件 包 含 大 写 字 母 。 那 么 答 案 就 呼 之 欲 出 了 ， 我 们 只 要 找 到 一 个 可 以 表 示 “ 大 写 字 母 ” 的 g l o b 通 配 符 ， 就 能 精 准 找 到 我 们 要 执 行 的 文 件 。
翻 开 a s c i i 码 表 ， 可 见 大 写 字 母 位 于 @ 与 [ 之 间 ： 那 么 ， 我 们 可 以 利 用 [ @ - [ ] 来 表 示 大 写 字 母 ：
显 然 这 一 招 是 管 用 的 。 构 造 构 造 P O C ， 执 行 任 意 命 令 ， 执 行 任 意 命 令 当 然 ， p h p 生 成 临 时 文 件 名 是 随 机 的 ， 最 后 一 个 字 符 不 一 定 是 大 写 字 母 ， 不 过 多 尝 试 几 次 也 就 行 了 。 最 后 ， 我 传 入 的 c o d e 为 ? > < ? = ; ? > ， 发 送 数 据 包 如 下 ： 成 功 执 行 任 意 命 令 。 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： p h i t h o n ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 .   / ? ? ? / ? ? ? ? ? ? ? ? [ @ - [ ]
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理