搜索

[16762] 2021-05-08_某次攻防文件上传绕过-getshell

文档创建者：s7ckTeam
浏览次数：102
最后更新：2025-01-18
2021-05-08_某次攻防文件上传绕过-getshell 某 次 攻 防 文 件 上 传 绕 过 - g e t s h e l l 原 创   G 0 m i n i   F r e e B u f   2 0 2 1 - 0 5 - 0 8 目 标 环 境 目 标 环 境 L i n u x j s p 黑 名 单 前 言 前 言 通 过 读 取 j s 文 件 ， 发 现 后 台 。 然 后 查 看 用 户 名 规 则 ， 进 行 爆 破 。 最 开 始 爆 破 一 个 ， 提 示 已 过 期 ， 然 后 根 据 长 度 规 则 ， 特 定 去 尝 试 。 爆 破 出 一 个 ， 然 后 进 行 文 件 上 传 。 文 件 上 传 过 程 文 件 上 传 过 程 后 缀 黑 名 单 绕 过 方 式 ： 疑 惑 点 疑 惑 点 上 传 图 片 ， 正 常 访 问 。 上 传 h t m l ， 正 常 访 问 。 上 传 图 片 ， 改 名 为 j s p 绕 过 后 无 法 访 问 。 继 续 测 试 ， 改 名 为 j s p x 也 是 无 法 访 问 。 图 片 上 传 处 有 两 个 按 钮 ， 一 个 是 查 看 ， 一 个 是 下 载 。 j s p 访 问 是 4 0 4 但 是 可 以 正 常 下 载 。 这 里 猜 测 应 该 是 上 传 成 功 ， 但 是 存 在 内 容 检 查 。 内 容 检 测 绕 过 内 容 检 测 绕 过 过 程 过 程 1 上 传 图 片 ， 改 名 j s p   — - 4 0 4   这 个 时 候 就 很 疑 惑 。 不 知 道 为 啥 会 这 样 ，   难 道 是 后 缀 和 C o n t e n t - T y p e 不 匹 配 的 问 题 。 b o u n d a r y =         - - - - W e b K i t F o r m x x x x x j p g : i m a g e / j p e g j s p : a p p l i c a t i o n / o c t e t - s t r e a m
尝 试 修 改 C o n t e n t - T y p e ， 上 传 成 功 ， 下 载 成 功 。 访 问 4 0 4 过 程 过 程 2 没 有 遇 到 过 ， 不 知 为 啥 会 这 样 ， 陷 入 沉 思 。 难 道 是 内 容 + C o n t e n t - T y p e + 后 缀 匹 配 才 能 正 常 解 析 访 问 。 继 续 f u z z 。 修 改 如 下 : 上 传 成 功 。 下 载 正 常 ， 访 问 4 0 4 过 程 过 程 3 感 觉 没 有 思 路 ， 沉 思 一 会 ， 想 起 来 目 标 一 定 是 有 防 护 的 。 后 缀 一 定 是 绕 过 去 。 那 么 有 问 题 的 一 定 是 内 容 检 测 。 想 起 来 ， 以 前 j s p 内 容 绕 过 的 时 候 ， 一 般 都 会 对 j s p 中 的 % 进 行 检 测 。 修 改 一 下 上 传 内 容 激 动 ， 终 于 可 以 访 问 j s p 。 离 成 功 又 近 一 步 。 过 程 过 程 4 心 里 想 着 ， 只 要 上 传 不 带 % % 的 j s p 码 就 可 以 了 。 找 到 之 前 不 带 % 号 的 码 ， 成 功 上 传 。 激 动 了 。 下 载 正 常 ， 访 问 4 0 4 ！ 这 … … 难 道 是 不 免 杀 的 问 题 。 这 里 难 过 了 。 自 己 不 会 写 这 种 不 带 % 的 码 子 ， 这 可 怎 么 办 。 继 续 思 考 :   是 不 是 函 数 被 查 杀 。 f u z z 一 下 可 以 用 函 数 。 j a v a 中 ， 当 然 首 选 R u n T i m e . g e t R u n t i m e ( ) . e x e c ( ) 命 令 执 行 试 试 。 又 一 次 上 传 尝 试 d n s l o g 是 不 是 可 以 收 到 。 发 现 可 以 收 到 。 f i l e n a m e : " 1 . j s p " C o n t e n t - T y p e : a p p l i c a t i o n / o c t e t - s t r e a m 内 容 : < %   o u t . p r i n t l n   ( " h e l l o w o r l d " ) ;   % > f i l e n a m e : j s p C o n t e n t - T y p e : a p p l i c a t i o n / o c t e t - s t r e a m 内 容 : o u t . p r i n t l n   ( " h e l l o w o r l d " ) f i l e n a m e : j s p C o n t e n t - T y p e : a p p l i c a t i o n / o c t e t - s t r e a m 内 容 : < j s p : s c r i p t l e t > R u n t i m e . g e t R u n t i m e ( ) . e x e c ( " p i n g   d n s l o g " ) ; < j s p : s c r i p t l e t >
目 标 又 是 l i n u x 是 不 是 就 可 以 反 弹 了 。 利 用 b a s h 。 卒 . 过 程 过 程 5 看 到 路 了 ， 不 过 好 像 又 不 是 路 。 知 识 不 够 ， 不 知 道 怎 么 继 续 下 一 步 了 。 沉 思 一 会 ， 还 是 继 续 从 马 的 方 向 入 手 。 一 定 是 可 以 绕 过 的 。 只 不 过 需 要 找 到 目 标 查 杀 方 式 。 不 过 难 点 是 利 用 ， 对 这 个 更 是 不 懂 。 现 学 可 能 不 够 用 ， 放 一 下 。 继 续 f u z z 内 容 ： 在 一 次 无 意 中 测 试 ， 发 现 带 % 号 也 可 以 正 常 访 问 。 一 机 灵 ，   原 来 不 是 % 检 测 。 那 就 方 便 多 了 。 进 行 j s p 免 杀 马 的 测 试 ， 发 现 正 常 本 地 可 以 免 杀 的 马 ， 上 传 之 后 就 4 0 4 。 难 道 是 内 容 长 度 太 长 了 。 但 是 小 马 都 无 法 访 问 。 继 续 思 考 ， 之 前 上 传 成 功 是 利 用 ， 然 后 内 容 是 利 用 u n i c o d e 编 码 才 可 以 成 功 。 虽 然 感 觉 不 是 对 % 号 检 测 ， 但 是 内 容 用 u n i c o d e 应 该 可 以 绕 过 。 过 程 过 程 6 - 成 功 成 功 J S P   U n i c o d e 解 析 特 性   在 J S P 文 件 中 ， 在 除 开 头 部 声 明 处 ， 其 他 的 代 码 内 容 均 可 以 使 用 U n i c o d e 代 码 进 行 替 换 h t t p s : / / d o c s . o r a c l e . c o m / j a v a s e / s p e c s / j l s / s e 8 / h t m l / j l s - 3 . h t m l # j l s - U n i c o d e E s c a p e 免 杀 马 制 作 免 杀 马 制 作 先 正 常 的 免 杀 马 ， 然 后 进 行 u n i c o d e 编 码 。 这 里 需 要 先 看 一 下 上 面 u n i c o d e 特 性 。 然 后 利 用 了 E c l i p s e 中 编 码 。 编 码 不 对 会 报 错 。 很 方 便 。 编 码 后 上 传 ， 下 载 正 常 ， 访 问 正 常 。 命 令 执 行 尝 试 。
但 是 利 用 w e b s h e l l 进 行 连 接 的 时 候 ， 发 现 无 法 连 接 。 有 点 好 奇 。 因 为 习 惯 ， 马 生 成 的 时 候 ， 本 地 都 会 继 续 测 试 ， 本 地 都 是 可 以 正 常 连 接 的 。 思 考 了 一 下 ， 可 能 是 流 量 特 征 ， 用 的 都 是 原 生 的 。 这 里 看 百 度 改 了 一 下 w e b s h e l l 管 理 工 具 的 一 些 特 征 。 发 现 也 无 法 连 接 。 不 知 道 是 不 是 u n i c o d e 编 码 的 问 题 。 后 续 后 续 免 杀 马 不 好 整 ， 这 里 测 试 了 一 下 哥 斯 拉 和 冰 蝎 马 的 u n i c o d e 编 码 后 。 发 现 哥 斯 拉 u n i c o d e 编 码 后 ， 也 可 以 上 传 成 功 ， 可 以 访 问 ， 也 是 存 在 连 接 不 了 的 问 题 。 （ 未 解 决 ） 整 体 思 路 整 体 思 路 1 . 根 据 用 户 名 规 则 进 行 爆 破 。 2 . 文 件 上 传 后 缀 + 内 容 绕 过 。 3 . 耗 时 一 天 ～ ～ ～ ～ 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理