搜索

[18358] 2021-05-28_别致的上传思路导致getshell的案例

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-05-28_别致的上传思路导致getshell的案例 别 致 的 上 传 思 路 导 致 g e t s h e l l 的 案 例 带 头 大 哥   H A C K 之 道   2 0 2 1 - 0 5 - 2 8 本 文 首 发 于 奇 安 信 攻 防 社 区 0 x 0 1   前 言 前 言 在 某 次 授 权 的 项 目 中 ， 客 户 只 要 g e t s h e l l 漏 洞 ， 经 过 一 番 折 腾 ， 最 后 成 功 拿 下 s h e l l ， 完 成 项 目 交 付 ， 本 文 将 过 程 和 遇 到 的 问 题 和 一 些 小 t i p s 分 享 给 大 家 。 0 x 0 2   S Q L 注 入 注 入 经 过 资 产 收 集 ， 在 资 产 中 ， 找 到 某 个 子 域 名 ， 打 开 就 是 个 登 录 框 输 入 手 机 号 和 密 码 ， 验 证 码 进 行 登 录 结 果 数 据 包 中 并 没 有 验 证 码 , 2 3 3 3 随 手 加 上 ’ 居 然 报 错 了 ， 存 在 m y s q l 的 注 入 ， 还 报 错 了 物 理 路 径 ， 还 有 密 码 列 名 为 ( 后 面 有 用 到 ) u s e p w d
要 是 r o o t 权 限 是 不 是 就 美 滋 滋 了 ， 结 果 多 想 了 ， 不 是 r o o t 权 限 尝 试 了 用 也 没 成 功 登 录 ， 只 能 老 老 实 实 去 注 入 查 账 号 密 码 ， 然 后 登 录 进 去 看 看 有 没 有 其 他 点 可 以 拿 s h e l l 手 工 看 后 没 有 过 滤 ， 可 以 使 用 s e l e c t   f r o m ， 那 跑 数 据 还 是 交 给 s q l m a p 吧 按 照 步 骤 ， 跑 裤 ， 跑 表 可 是 这 个 数 据 库 是 通 用 的 ， 表 名 就 有 4 0 0 多 个 ， 带 U s e r 关 键 字 的 都 有 2 0 多 个 尝 试 了 第 个 表 名 o r   ' 1 ' = ' 1 l o c u s _ u s e r
跑 出 来 的 账 号 密 码 ， 账 号 不 是 手 机 号 ， 密 码 也 登 录 不 上 。 就 跑 第 二 个 ， 第 三 个 ， 都 不 对 想 了 想 ， 登 录 后 还 不 知 道 有 没 有 其 他 点 能 用 ， 注 入 一 直 这 么 跑 ， 有 些 表 也 很 大 ， 也 很 敏 感 ， 就 不 敢 跑 了 ， 关 机 睡 觉 ， 第 二 天 换 其 他 子 域 名 去 看 但 是 第 二 天 下 午 还 是 想 看 看 能 不 能 搞 下 来 ， 就 继 续 看 这 个 站 回 过 头 来 想 到 的 字 段 ， m y s q l 也 有 存 储 了 表 和 列 结 构 想 到 直 接 查 那 些 表 名 有 u s e r p w d 的 字 段 直 接 — s q l - s h e l l 去 执 行 ， 这 次 只 得 到 三 个 表 名 最 终 在 获 得 账 号 密 码 u s e r p w d s e l e c t   *   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   c o l u m n _ n a m e   =   ' u s e r p w d ' c o u p o n _ u s e r
1 3 3 x x x x 3 3 3 3 / x x x x 0 x 0 2 文 件 上 传 文 件 上 传 使 用 账 号 密 码 直 接 登 录 在 后 台 一 堆 找 ， 都 是 查 询 ， 有 个 活 动 编 辑 的 功 能 ， 里 面 有 上 传 图 片 直 觉 告 诉 我 这 里 可 以 s h e l l ， 兴 高 采 烈 的 上 传 抓 包
结 果 上 传 接 口 为 ， 文 件 保 存 到 T e n c e n t C l o u d ， 没 保 存 在 本 地 ， 这 也 没 办 法 s h e l l 啊 不 甘 心 找 其 他 上 传 的 地 方 ， 如 下 还 是 上 传 在 腾 讯 云 ， 整 个 站 都 使 用 的 u p l o a d T e n c e n t C l o u d 的 接 口 上 传 陷 入 僵 局 ， 冷 静 思 考 了 一 下 理 一 理 思 路 上 传 腾 讯 云 ， 上 传 名 字 也 叫 ， 会 不 会 是 开 发 新 开 发 的 接 口 ， 怕 服 务 器 保 存 图 片 太 多 了 ， 专 门 开 发 的 接 口 。 怕 服 务 器 保 存 图 片 太 多 了 ， 专 门 开 发 的 接 口 。 u p l o a d e r / u p l o a d T e n c e n t C l o u d u p l o a d T e n c e n t C l o u d
会 不 会 存 在 会 不 会 存 在 u p l o a d 的 方 法 的 方 法 直 接 尝 试 一 下 真 被 我 猜 中 了 ， 存 在 的 上 传 接 口 为 了 验 证 自 己 的 想 法 ， 尝 试 了 其 他 站 ， 有 些 站 也 有 这 个 小 问 题 ， 开 发 不 删 除 原 接 口 ， 根 据 业 务 要 求 直 接 写 了 新 接 口 ， 修 改 了 前 端 。 尝 试 将 尝 试 将 改 成 改 成 u p l o a d u p l o a d e r / u p l o a d T e n c e n t C l o u d u p l o a d e r / u p l o a d
成 功 上 传 到 本 地 ， 喜 出 望 外 ， 盲 猜 一 手 文 件 存 在 了 u p l o a d 目 录 成 功 g e t s h e l l 技 术 总 结 技 术 总 结 1 . 当 m y s q l 注 入 数 据 库 里 表 名 很 多 ， 找 不 到 列 名 时 ， 可 根 据 或 者 去 查 询 表 名 2 . 遇 到 二 次 开 发 的 上 传 接 口 ， 如 报 错 的 列 名 参 数 值
、 、 时 ， 可 尝 试 接 口 是 否 存 在 E N D 【 版 权 说 明 】 本 作 品 著 作 权 归 带 头 大 哥 所 有 ， 授 权 补 天 漏 洞 响 应 平 台 独 家 享 有 信 息 网 络 传 播 权 ， 任 何 第 三 方 未 经 授 权 ， 不 得 转 载 带 头 大 哥 一 位 神 秘 而 优 秀 的 补 天 白 帽 子 阅 读 原 文 u p l o a d T X u p l o a d O S S u p l o a d S 3 u p l o a d
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理