搜索

[7579] 2021-04-25_浅谈通过session文件进行文件包含

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2021-04-25_浅谈通过session文件进行文件包含 浅 谈 通 过 s e s s i o n 文 件 进 行 文 件 包 含 F 1 2 s e c   2 0 2 1 - 0 4 - 2 5 编 者 荐 语 ： 学 习 一 下 以 下 文 章 来 源 于 广 软 N S D A 安 全 团 队   ， 作 者 小 獭 文 件 包 含 漏 洞 的 原 理 为 文 件 包 含 函 数 加 载 的 参 数 没 有 经 过 过 滤 或 者 严 格 的 定 义 ， 可 以 被 用 户 控 制 ， 包 含 其 他 恶 意 文 件 ， 导 致 执 行 了 用 户 精 心 构 造 的 恶 意 代 码 。 实 例 代 码 在 页 面 中 如 果 被 过 滤 了 伪 协 议 字 符 而 不 能 通 过 伪 协 议 去 进 行 文 件 包 含 ， 而 代 码 中 也 没 有 显 示 可 以 用 的 文 件 的 时 候 可 以 考 虑 一 下 通 过 P H P 中 的 s e s s i o n . u p l o a d _ p r o g r e s s 功 能 ， 从 而 进 行 文 件 包 含 漏 洞 利 用 在 利 用 这 个 操 作 之 前 ， 我 们 需 要 了 解 一 点 p h p 的 参 数 知 识 ， 在 P H P 版 本 5 . 4 后 ， 添 加 了 好 几 个 默 认 选 项 1 . s e s s i o n . u p l o a d _ p r o g r e s s . e n a b l e d   =   o n 2 . s e s s i o n . u p l o a d _ p r o g r e s s . c l e a n u p   =   o n 3 . s e s s i o n . u p l o a d _ p r o g r e s s . p r e f i x   = “ u p l o a d _ p r o g r e s s _ ” 4 . s e s s i o n . u p l o a d _ p r o g r e s s . n a m e   =   “ P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S ” 5 . s e s s i o n . u s e _ s t r i c t _ m o d e = o f f 广 软 广 软 N S D A 安 全 团 队 安 全 团 队   . 技 术 分 享 ， 感 谢 关 注 < ? p h p i f ( i s s e t ( $ _ G E T [ ' f i l e ' ] ) ) {         $ f i l e   =   s t r _ r e p l a c e ( " p h p " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   s t r _ r e p l a c e ( " d a t a " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   s t r _ r e p l a c e ( " : " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   s t r _ r e p l a c e ( " . " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   $ _ G E T [ ' f i l e ' ] ; i n c l u d e ( $ f i l e ) ;         } e l s e {         h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ;         } ? >
上 图 为 s e s s i o n 上 传 进 度 的 官 网 介 绍 当 s e s s i o n . u p l o a d _ p r o g r e s s . e n a b l e d 为 O n 的 时 候 ， 说 明 我 们 向 服 务 器 上 传 文 件 的 时 候 ， 服 务 器 检 测 到 这 种 p o s t 请 求 的 时 候 会 将 数 据 存 储 在 s e s s i o n 里 面 上 图 为 s e s s i o n . u p l o a d _ p r o g r e s s . c l e a n u p 的 参 数 介 绍 ， s e s s i o n . u p l o a d _ p r o g r e s s . c l e a n u p 默 认 为 o n ， 该 参 数 的 作 用 是 会 在 文 件 上 传 结 束 后 ， 会 将 s e e s i o n 文 件 中 的 内 容 清 空   3 . s e s s i o n . u p l o a d _ p r o g r e s s . p r e f i x   = “ u p l o a d _ p r o g r e s s _ ” 4 . s e s s i o n . u p l o a d _ p r o g r e s s . n a m e   = “ P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S ”   而 这 两 个 参 数 表 示 为 s e s s i o n 中 的 键 名 在 这 个 参 数 选 项 可 以 看 到 默 认 为 关 闭 的 ， 当 关 闭 状 态 下 我 们 可 以 自 己 构 造 参 数 来 对 s e s s i o n I D 进 行 自 定 义   到 此 ， 我 们 对 s e s s i o n 进 行 文 件 包 含 有 个 大 概 的 了 解 了 ， 1 、 没 有 现 有 可 用 的 文 件 ， 那 么 我 们 瞄 准 通 过 上 传 文 件 的 时 候 创 建 的 s e s s i o n 文 件 ， 再 通 过 包 含 s e s s i o n 文 件 实 现 攻 击 。 2 、 但 是 想 要 开 启 s e s s i o n ， 我 们 必 须 要 通 过 s e s s i o n _ s t a r t ( ) ， 但 是 没 有 这 个 s e s s i o n _ s t a r t ( ) 怎 么 办 ？ 上 面 第 五 点 配 置 ， s e s s i o n . u s e _ s t r i c t _ m o d e 是 默 认 关 闭 的 ， 那 么 意 味 着 我 们 可 以 自 己 定 义 s e s s i o n i d ， 在 C o o k i e 中 设 置 P H P S E S S I D = x i a o t a ， 那 么 就 会 在 默 认 位 置 生 成 一 个 s e s s _ x i a o t a 的 文 件 3 、 同 时 ， 也 产 生 了 新 的 问 题 ， s e s s i o n . u p l o a d _ p r o g r e s s . c l e a n u p 默 认 为 o n ， 在 我 们 文 件 上 传 结 束 的 时 候 ， s e s s i o n 文 件 中 关 于 文 件 上 传 进 度 的 信 息 也 会 随 着 删 除 ， 那 么 我 们 可 以 通 过 条 件 竞 争 的 方 式 去 不 断 上 传 文 件 ， 同 时 去 包 含 该 临 时 的 s e s s i o n 文 件 去 进 行 攻 击 那 么 事 不 宜 迟 ， 来 实 操 一 下 参 考 c t f s h o w   w e b 8 2 进 行 本 地 复 现 页 面 代 码 如 下 < ? p h p i f ( i s s e t ( $ _ G E T [ ' f i l e ' ] ) ) {         $ f i l e   =   s t r _ r e p l a c e ( " p h p " ,   " ? ? ? " ,   $ f i l e ) ;
同 时 f l a g 位 置 也 在 同 一 文 件 夹 ， 想 要 去 包 含 f l a g . p h p ， 但 是 g e t 参 数 被 过 滤 了 ， 我 们 也 没 办 法 去 进 行 直 接 进 行 文 件 包 含 读 取 ， 所 以 我 们 可 以 去 通 过 临 时 s e s s i o n 文 件 进 行 文 件 包 含 了   写 一 个 简 单 的 文 件 上 传 的 页 面 通 过 b u r p 进 行 抓 包 修 改 参 数 去 看 看 临 时 s e s s i o n 文 件         $ f i l e   =   s t r _ r e p l a c e ( " p h p " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   s t r _ r e p l a c e ( " d a t a " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   s t r _ r e p l a c e ( " : " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   s t r _ r e p l a c e ( " . " ,   " ? ? ? " ,   $ f i l e ) ;         $ f i l e   =   $ _ G E T [ ' f i l e ' ] ; i n c l u d e ( $ f i l e ) ;         } e l s e {         h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ;         }   ? > < h t m l > < b o d y > < f o r m   a c t i o n = " h t t p : / / 1 9 2 . 1 6 8 . 1 5 0 . 1 3 6 / m y t e s t / i n d e x . p h p "   m e t h o d = " P O S T "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " > < i n p u t   t y p e = " h i d d e n "   n a m e = " P H P _ S E S S I O N _ U P L O A D _ P R O G R E S S "   v a l u e = " 1 "   / > < i n p u t   t y p e = " f i l e "   n a m e = " f i l e "   / > < i n p u t   t y p e = " s u b m i t "   v a l u e = " s u b m i t "   / > < / f o r m > < / b o d y > < / h t m l >
可 见 在 b u r p 线 程 持 续 的 期 间 ， 我 们 可 以 看 到 临 时 s e s s i o n 文 件 的 存 在   接 下 来 就 是 通 过 包 含 这 个 临 时 s e s s i o n 文 件 去 查 看 f l a g 并 且 留 下 s h e l l 脚 本 后 门 利 于 权 限 维 持 了   以 上 我 们 可 以 看 到 通 过 包 含 我 们 通 过 c o o k i e s 写 入 的 临 时 s e s s i o n 文 件 去 读 取 f l a g 文 件 ， 并 且 留 下 后 门 去 维 持 权 限 。   初 次 写 推 文 复 现 ， 有 错 误 请 各 位 师 傅 指 出 和 多 多 包 涵 呀 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理