搜索

[89] 2019-11-13_本地文件包含漏洞

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-15
2019-11-13_本地文件包含漏洞 本 地 文 件 包 含 漏 洞 c m d b a c k   A d m i n   T e a m   2 0 1 9 - 1 1 - 1 3 本 地 文 件 包 含 漏 洞 0 1 实 验 环 境 : 1 、 虚 机 w i n 7   1 9 2 . 1 6 8 . 6 4 . 1 5 4 2 、 K a l i   1 9 2 . 1 6 8 . 6 4 . 1 4 8 3 、 P h p s t u d y   p h p - 5 . 4 . 4 5 0 2 文 件 包 含 漏 洞 原 理 :         文 件 包 含 漏 洞 由 于 程 序 开 发 人 员 一 般 会 把 重 复 使 用 的 函 数 写 到 单 个 文 件 中 ， 需 要 使 用 某 个 函 数 时 直 接 调 用 此 文 件 ， 而 无 需 再 次 编 写 ， 这 中 文 件 调 用 的 过 程 一 般 被 称 为 文 件 包 含 。 由 于 代 码 更 灵 活 ， 所 以 将 被 包 含 的 文 件 设 置 为 变 量 ， 用 来 进 行 动 态 调 用 ， 往 往 这 种 代 码 的 灵 活 性 ， 从 而 会 导 致 客 户 端 可 以 调 用 一 个 恶 意 文 件 ， 造 成 文 件 包 含 。 文 件 包 含 漏 洞 分 为 本 地 包 含 和 远 程 包 含 ： 文 件 包 含 漏 洞 分 为 本 地 包 含 和 远 程 包 含 ：         本 地 本 地 包 含 顾 名 思 义 就 是 利 用 本 地 服 务 器 上 面 存 在 的 一 个 恶 意 文 件 ， 然 后 利 用 本 地 服 务 器 上 面 额 这 个 恶 意 文 件 进 行 本 地 包 含 。         远 程 远 程 包 含 顾 名 思 义 指 的 是 利 用 远 程 服 务 器 上 面 的 一 个 恶 意 文 件 ， 进 行 远 程 文 件 包 含 利 用 。 需 要 注 意 的 是 远 程 文 件 包 含 ， 在 配 置 文 件 中 的 p h p . i n i 中 开 启 a l l o w _ u r l _ i n c l u d e 、 a l l o w _ u r l _ f o p e n 选 项 。 开 启 后 可 以 直 接 执 行 任 意 代 码 。 0 3 文 件 包 含 涉 及 的 函 数 :         一 般 p h p 文 件 包 含 涉 及 的 比 较 多 ， 所 以 下 面 主 要 是 讲 解 一 下 p h p 的 文 件 包 含 漏 洞 。 P h p 文 件 包 含 漏 洞 涉 及 的 函 数 ： i n c l u d e ( ) ， i n c l u d e _ o n c e ( ) ， f o p e n ( ) ,   r e q u i r e ( ) ， r e q u i r e _ o n c e ( )         上 述 是 主 流 的 文 件 包 含 的 函 数 ： i n c l u d e ( )   : 只 能 找 到 了 i n c l u d e 才 能 包 含 文 件 ， 如 果 找 不 到 包 含 文 件 只 是 会 产 生 警 告 的 提 示 ， 不 会 影 响 下 面 脚 本 运 行 ； r e q u i r e ( ) :   与 i n c l u d e 函 数 不 同 的 是 ， 程 序 只 要 一 运 行 就 会 包 含 文 件 ， 如 果 找 不 到 包 含 的 文 件 就 会 产 生 致 命 的 错 误 ， 脚 本 就 会 立 即 停 止 。 i n c l u d e _ o n c e ( ) 和 r e q u i r e _ o n c e ( ) ： 这 两 个 函 数 如 果 文 件 包 含 被 运 行 了 ， 就 不 会 再 次 被 包 含 。 0 4 搭 建 环 境 :         首 先 我 先 分 享 一 个 文 件 包 含 绕 过 的 新 姿 势 ， 这 也 是 我 在 学 习 文 件 包 含 的 时 候 看 到 的 ， 下 面 先 说 一 下 ： 我 们 可 以 利 用 p h a r : / / 协 议 特 性 可 以 在 渗 透 过 程 中 躲 过 一 些 w a f 的 检 测 ， P H P 5 . 3 . 0 起 就 开 始 有 这 个 p h a r : / / 数 据 流 包 装 器 。 0 5 利 用 过 程 在 本 地 创 建 c m d b a c k . p h p :
内 容 ： < ? p h p   i n c l u d e   ‘ p h a r : / / c m d . z i p / c m d . t x t ’ ; ? > 在 本 地 创 建 c m d . t x t , 内 容 为 ： < ? p h p   p h p i n f o ( ) ; ? >         下 面 我 们 把 c m d . t x t 压 缩 ， 文 件 名 可 以 压 缩 为 z i p t a r p h a r r a r 等 格 式 ， 然 后 我 们 访 问 c m d b a c k . p h p ， 浏 览 器 就 会 出 现 p h p i n f o 内 容 ， 故 在 渗 透 的 时 候 可 以 写 入 一 句 话 木 马 ， 这 样 就 轻 松 的 拿 到 了 服 务 器 的 w e b s h e l l 。         为 了 能 够 直 观 的 可 以 看 到 测 试 的 效 果 ， 下 面 我 们 分 别 将 c m d t x t 压 缩 为 不 同 的 文 件 格 式 ( 上 述 提 到 的 压 缩 格 式 ) ( 1 )   z i p 格 式 ：         在 浏 览 器 中 我 们 访 问 h t t p : / / 1 9 2 . 1 6 8 . 6 4 . 1 5 4 / c m d b a c k . p h p , 浏 览 器 中 就 会 显 示 p h p i n f o 的 信 息 ：
( 2 )   p h a r 格 式 :         我 们 将 c m d . z i p 修 改 为 c m d . p h a r ， 要 注 意 的 是 c m d b a c k . p h p 也 需 要 修 改 以 下 ：         在 浏 览 器 中 我 们 访 问 h t t p : / / 1 9 2 . 1 6 8 . 6 4 . 1 5 4 / c m d b a c k . . . . , 浏 览 器 中 同 样 会 显 示 p h p i n f o 的 信 息 ： ( 3 )   t a r 格 式 : 将 c m d . p h a r 修 改 为 c m d . t a r ， 也 将 c d m b a c k . p h p 的 内 容 修 改 一 下 ：
        在 浏 览 器 中 我 们 访 问 h t t p : / / 1 9 2 . 1 6 8 . 6 4 . 1 5 4 / c m d b a c k . p h p , 浏 览 器 中 同 样 会 显 示 p h p i n f o 的 信 息 ： ( 4 )   r a r 格 式 : 下 面 为 何 和 上 面 的 内 容 不 重 复 ， 修 改 以 下 c m d . t x t 的 内 容 ：         在 浏 览 器 中 我 们 访 问 h t t p : / / 1 9 2 . 1 6 8 . 6 4 . 1 5 4 / c m d b a c k . p h p , 浏 览 器 中 同 样 会 输 出 c m d b a c k . p h p 里 面 的 内 容 ：
        以 上 就 是 利 用 p h a r : / / 协 议 特 性 来 进 行 进 行 包 含 漏 洞 的 利 用 ， 有 时 候 也 可 以 绕 过 安 全 狗 ， 有 兴 趣 的 可 以 去 实 验 实 验 。 0 6 归 入 正 题 : 本 地 包 含 ：         首 先 创 建 一 个 简 单 的 i n c l u d e 函 数 的 p h p 代 码 c m d . p h p , 变 量 b 接 受 c m d 传 过 来 的 值 ， 然 后 这 个 函 数 被 执 行 ： < ? p h p   $ b = $ _ P O S T [ ‘ c m d ’ ] ; I n c l u d e ( $ b ) ; ? >         创 建 s h e l l . t x t ， 内 容 可 以 是 一 句 话 木 马 ， 本 着 实 验 的 情 况 ， 我 们 先 不 写 一 句 话 ： < ? p h p   e c h o   ‘ h e l l o   h a c k ’ ; ? > 这 两 个 文 件 需 要 放 在 同 一 目 录 下 面 ：         在 浏 览 器 中 访 问 h t t p : / / 1 9 2 . 1 6 8 . 6 4 . 1 5 4 / c m d . p h p ? c m d = s h e l l . t x t , 成 功 输 出 s h e l l . t x t 里 面 的 内 容 ：
        套 路 来 一 波 ， 实 验 看 一 下 把 s h e l l . t x t 后 缀 修 改 后 会 不 会 出 现 报 错 ， 这 个 测 试 主 要 是 为 了 说 明 无 论 扩 展 名 修 改 为 什 么 ， 都 会 以 p h p 代 码 执 行 ， 如 果 不 符 合 p h p 规 则 的 ， 都 会 通 过 i n c l u d e 可 以 输 出 源 码 内 容 ： S h e l l . t x t - - - s h e l l . d o c         关 于 远 程 文 件 包 含 以 及 % 0 0 截 断 、 配 合 上 传 拿 服 务 器 w e b s h e l l 、 插 入 l o g 日 志 获 取 w e b s h e l l 等 内 容 ， 等 小 白 下 次 总 结 。 今 天 先 总 结 到 这 里 。 在 测 试 过 程 中 本 地 包 含 漏 洞 遇 见 的 比 较 多 ， 如 果 能 g e t s h e l l 的 话 ， 那 就 爽 的 不 得 了 。 大 佬 们 有 什 么 意 见 ， 本 小 白 欢 迎 指 教 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理