搜索

[18870] 2019-06-11_文件包含总结

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-06-11_文件包含总结 文 件 包 含 总 结 c r h u a   h u a s e c   2 0 1 9 - 0 6 - 1 1 0 1 — 攻 击 方 式 ( 1 )   p h p 本 地 本 地 / 远 程 文 件 包 含 远 程 文 件 包 含 测 试 代 码 ： 本 地 文 件 包 含 本 地 文 件 包 含 ： 通 过 目 录 遍 历 漏 洞 可 以 获 取 到 系 统 中 其 他 文 件 的 内 容 ： 远 程 文 件 包 含 ： 远 程 文 件 包 含 ： p h p   远 程 文 件 包 含 需 要 将   a l l o w _ u r l _ f o p e n   和   a l l o w _ u r l _ i n c l u d e 设 置 为 O N ， 将 f i l e n a m e   参 数 值 设 置 为 远 程 的 文 件 ， 也 可 以 在 系 统 内 执 行 。 < ? p h p         $ f i l e n a m e     =   $ _ G E T [ ' f i l e n a m e ' ] ;         i n c l u d e ( $ f i l e n a m e ) ; ? >
（ （ 2 ） ） s e s s i o n   文 件 包 含 文 件 包 含 利 用 条 件 ： s e s s i o n 的 存 储 位 置 可 以 获 取 。 1 . 通 过 p h p i n f o 的 信 息 可 以 获 取 到 s e s s i o n 的 存 储 位 置 ， 获 取 到 s e s s i o n . s a v e _ p a t h 为 / v a r / l i b / p h p / s e s s i o n ： 2 . 通 过 猜 测 默 认 的 s e s s i o n 存 放 位 置 进 行 尝 试 。 如 l i n u x 下 默 认 存 储 在 / v a r / l i b / p h p / s e s s i o n 目 录 下 ： s e s s i o n 中 的 内 容 可 以 被 控 制 ， 传 入 恶 意 代 码 。
例 如 ： 此 p h p 会 将 获 取 到 的 G E T 型 n a m e 变 量 的 值 存 入 到 s e s s i o n 中 。 访 问 会 在 / v a r / l i b / p h p / s e s s i o n 目 录 下 存 储 s e s s i o n 的 值 。 s e s s i o n 的 文 件 名 为 s e s s _ + s e s s i o n i d ， s e s s i o n i d 可 以 通 过 开 发 者 模 式 获 取 。 所 以 s e s s i o n 的 文 件 名 为 s e s s _ a k p 7 9 g f i e d h 1 3 h o 1 1 i 6 f 3 s m 6 s 6 到 服 务 器 的 / v a r / l i b / p h p / s e s s i o n 目 录 下 查 看 果 然 存 在 此 文 件 ， 内 容 为 ： 通 过 上 面 的 分 析 ， 可 以 知 道 参 数 n a m e 传 入 的 值 会 存 储 到 s e s s i o n 文 件 中 ， 如 果 存 在 本 地 文 件 包 含 漏 洞 ， 就 可 以 通 过 参 数 n a m e 写 入 恶 意 代 码 到 s e s s i o n 文 件 中 ， 然 后 通 过 文 件 包 含 漏 洞 执 行 此 恶 意 代 码 g e t s h e l l 。 访 问 后 ， 会 在 / v a r / l i b / p h p / s e s s i o n 目 录 下 存 储 s e s s i o n 的 值 。 攻 击 者 通 过 p h p i n f o ( ) 信 息 泄 露 或 者 猜 测 能 获 取 到 s e s s i o n 存 放 的 位 置 ， 文 件 名 称 通 过 开 发 者 模 式 可 获 取 到 ， 然 后 通 过 文 件 包 含 的 漏 洞 解 析 恶 意 代 码 g e t s h e l l 。 < ? p h p s e s s i o n _ s t a r t ( ) ; $ n a m e = $ _ G E T [ ' n a m e ' ] ; $ _ S E S S I O N [ " n a m e " ] = $ n a m e ; ? > h t t p : / / w w w . h u a s e c . c o m / i n d e x . p h p ? n a m e = c r h u a [ r o o t @ k a l i   s e s s i o n ] #   c a t   s e s s _ a k p 7 9 g f i e d h 1 3 h o 1 1 i 6 f 3 s m 6 s 6 n a m e | s : 5 : " c r h u a " h t t p : / / 1 9 2 . 1 6 8 . 9 1 . 1 4 2 : 8 0 8 0 / f i . p h p ? f i l e n a m e = < ? p h p   p h p i n f o ( ) ; ? >
( 3 ) 文 件 包 含 利 用 日 志 文 件 g e t s h e l l A p a c h e 日 志 分 为 a c c e s s . l o g 与 e r r o r . l o g ， 当 我 们 请 求 一 个 u r l 地 址 时 ， 便 会 记 录 在 a c c e s s . l o g 中 ， 但 如 果 访 问 一 个 不 存 在 的 页 面 ， 便 会 将 这 个 页 面 写 入 a c c e s s . l o g 中 。 如 访 问 U R L : 则 会 将 一 句 话 写 入 到 a c c e s s . l o g 中 。 ( 4 )   伪 协 议 ①   p h p : / / i n p u t 用 来 接 收 P O S T 数 据 。 我 们 能 够 通 过 i n p u t 把 我 们 的 语 句 输 入 上 去 然 后 执 行 。 条 件 ： p h p   < 5 . 0   ， a l l o w _ u r l _ i n c l u d e = O f f   情 况 下 也 可 以 用 p h p   >   5 . 0 ， 只 有 在 a l l o w _ u r l _ f o p e n = O n   时 才 能 使 用 h t t p : / / w w w . h u a s e c . c o m / f i l e . p h p ? f i l e = p h p : / / i n p u t P O S T : < ? p h p   p h p i n f o ( ) ;   ? > ②   d a t a 协 议 条 件 ： a l l o w _ u r l _ i n c l u d e   =   o n p h p   >   5 . 2 h t t p : / / w w w . h u a s e c . c o m / < ? p h p   p h p i n f o ( ) ;   ? >
h t t p : / / w w w . h u a s e c . c o m / f i l e . p h p ? f i l e = d a t a : t e x t / p l a i n ; b a s e 6 4 , P D 9 w a H A g c G h w a W 5 m b y g p O y A / P g = = ③   p h p : / / f i l t e r h t t p : / / w w w . h u a s e c . c o m / f i l e . p h p ? f i l e = p h p : / / f i l t e r / r e a d = c o v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = . . / . . / c o n f i g . p h p 0 2 — 漏 洞 挖 掘 当 我 们 看 到 u r l 参 数 的 值 为 路 径 ， 那 么 我 们 可 以 尝 试 f u z z , 是 否 存 在 文 件 包 含 漏 洞 。 比 如 ： s k i n 参 数 的 值 为 路 径 ， 我 们 可 以 对 其 f u z z , 一 般 我 常 用 字 典 跑 ， 这 种 l f i 字 典 g i t 上 有 很 多 。 常 见 的 敏 感 信 息 路 径 有 ： W i n d o w s L i n u x 0 3 — 漏 洞 案 例 ( 1 ) 绕 过 云 锁 文 件 读 取 防 护 绕 过 云 锁 文 件 读 取 防 护 云 锁 对 于 两 类 p a y l o a d 会 给 予 拦 截 1 . 连 续 两 个 . . / 2 . 类 似 于 / e t c / p a s s w d 这 样 的 敏 感 字 符 串 p a y l o a d : h t t p : / / w w w . h u a s e c . c o m / i n d e x . p h p ? s k i n = / s t a t i c / h t m l / h e a d . h t m l & p a g e = 1 c : b o o t . i n i   / /   查 看 系 统 版 本 / e t c / p a s s w d   / /   账 户 信 息 / e t c / s h a d o w   / /   账 户 密 码 文 件 / u s r / l o c a l / a p p / a p a c h e 2 / c o n f / h t t p d . c o n f   / /   A p a c h e 2 默 认 配 置 文 件 / u s r / l o c a l / a p p / a p a c h e 2 / c o n f / e x t r a / h t t p d - v h o s t . c o n f   / /   虚 拟 网 站 配 置 / u s r / l o c a l / a p p / p h p 5 / l i b / p h p . i n i   / /   P H P 相 关 配 置 / e t c / h t t p d / c o n f / h t t p d . c o n f   / /   A p a c h e 配 置 文 件 / e t c / m y . c o n f   / /   m y s q l   配 置 文 件 / p r o c / s e l f / e n v i r o n     w e b 进 程 运 行 时 候 的 环 境 变 量 . . / . / . . / . / . . / . / . . / . / . . / . / . . / . / . . / . / . . / . / . . / . / . . / . / . . / . / e t c / . / p a s s w d
案 例 来 源 ： h t t p s : / / p a p e r . t u i s e c . w i n / d e t a i l / e 3 d 9 2 7 4 4 a 7 9 8 b 9 0 ( 2 ) 用 户 头 像 处 文 件 包 含 用 户 头 像 处 文 件 包 含 在 某 次 渗 透 着 ， 在 照 片 处 发 现 了 一 个 神 奇 的 U R L 照 片 的 路 径 为 U R L = / 图 片 路 径 / 尝 试 把 U R L 后 面 的 路 径 改 为 / e t c / p a s s w d
成 功 下 载 到 p a s s w d 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理