搜索

[354] 2020-11-08_imap_open绕过disable_functions

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2020-11-08_imap_open绕过disable_functions i m a p _ o p e n 绕 过 d i s a b l e _ f u n c t i o n s 原 创   a F a 攻 防 实 验 室   a F a 攻 防 实 验 室   2 0 2 0 - 1 1 - 0 8 收 录 于 话 题   # 渗 透 测 试   , 1 4 个 i m a p _ o p e n p h p 有 个 i m a p _ o p e n 函 数 ， 该 函 数 简 单 理 解 就 是 用 来 打 开 邮 箱 的 ， 大 概 的 原 理 就 是 ： 它 会 接 收 服 务 器 地 址 、 账 号 、 密 码 这 些 参 数 。 而 接 收 的 服 务 器 地 址 参 数 在 处 理 的 过 程 中 没 有 校 验 和 过 滤 机 制 ， 导 致 可 以 输 入 命 令 并 执 行 。 漏 洞 编 号 为 C V E - 2 0 1 8 - 1 9 5 1 8 。 环 境 搭 建 环 境 搭 建 适 用 于 u b u n t u 、 d e b i a n 、 r e d h a t 这 些 ， 这 里 用 v u l t r 搭 个 d e b i a n 的 ， 然 后 使 用 v u l h u b 的 漏 洞 环 境 测 试 一 下 。 这 个 漏 洞 编 号 是 2 0 1 8 - 1 9 5 1 8 ， v u l h u b 目 录 为 v u l h u b / p h p / C V E - 2 0 1 8 - 1 9 5 1 8 / 。 搭 建 后 访 问 v p s 的 8 0 8 0 地 址 即 可 ， 服 务 器 处 地 址 可 进 行 命 令 写 入 。
漏 洞 利 用 代 码 可 参 考 ： h t t p s : / / g i t h u b . c o m / B o 0 o M / P H P _ i m a p _ o p e n _ e x p l o i t 这 里 把 h o s t n a m e 替 换 为 以 下 内 容 ： 命 令 是 在 容 器 中 执 行 的 ， 所 以 需 要 d o c k e r   e x e c     - t i   c o n t a i n e r i d   / b i n / b a s h 命 令 来 进 入 指 定 容 器 的 交 互 s h e l l 中 。 关 于 t i 参 数 说 明 ： - t ： d o c k e r 分 配 一 个 伪 终 端 绑 定 到 容 器 的 标 准 输 入 上 ， - i ： 让 容 器 的 标 准 输 入 保 持 打 开 。 d o c k e r 执 行 完 b a s h 命 令 后 会 自 动 退 出 ， 因 为 没 有 衔 接 的 输 入 流 ， 加 上 t i 后 ， 可 保 持 伪 终 端 持 续 打 开 ， 进 行 交 互 操 作 。 P a y l o a d 分 析 分 析 1 ， 首 先 ， 我 们 要 执 行 的 命 令 需 要 转 换 为 b a s e 6 4 ， 主 要 对 类 似 于 / 这 些 符 号 进 行 编 码 ， 避 免 影 响 命 令 执 行 。 2 ， 例 如 w h o a m i > / t m p / w h o a m i 命 令 ， 把 w h o a m i 的 执 行 结 果 放 到 t m p 下 面 的 w h o a m i 文 件 中 。 3 ， 转 换 后 结 果 为 ： d 2 h v Y W 1 p P i 9 0 b X A v d 2 h v Y W 1 p C g = = ， 因 为 像 = 、 + 这 些 可 能 会 对 u r l 造 成 影 响 ， 所 以 我 们 要 对 其 进 行 u r l 编 码 。 4 ， 此 时 结 果 就 变 成 了 ： d 2 h v Y W 1 p P i 9 0 b X A v d 2 h v Y W 1 p C g % 3 d % 3 d 5 ， p a y l o a d 运 行 时 会 将 编 码 后 的 结 果 给 到 b a s e 6 4 解 下 码 ， 然 后 再 给 到 s h 或 b a s h 执 行 。 6 ， s h 或 b a s h 有 一 个 p r o x y c o m m a n d 参 数 ， 代 表 代 理 指 令 ， 即 在 代 理 上 执 行 命 令 ， 这 里 我 们 直 接 使 用 就 相 当 于 在 当 前 机 上 执 行 。 a + - o P r o x y C o m m a n d % 3 d e c h o % 0 9 d 2 h v Y W 1 p P i 9 0 b X A v d 2 h v Y W 1 p C g % 3 d % 3 d | b a s e 6 4 % 0 9 - d | s h }
7 ， 而 p a y l o a d 最 开 始 ， 可 以 添 加 一 个 任 意 字 符 ， 例 如 a ， 主 要 作 用 是 用 来 闭 合 i m a p _ o p e n 语 法 的 。 8 ， i m a p 语 法 形 式 ： 9 ， 命 令 中 的 空 格 可 能 会 有 影 响 ， 需 要 换 成 制 表 符 ， 最 后 把 制 表 符 也 进 行 u r l 编 码 ， 即 % 0 9 1 0 ， p a y l o a d ： 最 后 的 执 行 结 果 如 下 图 。 总 结 总 结 总 体 来 看 ， 和 上 一 篇 的 L D _ P R E L O A D 绕 过 类 似 ， 都 是 通 过 一 些 方 法 来 进 行 的 命 令 执 行 。 这 里 i m a p _ o p e n 在 测 试 过 程 中 ， 服 务 器 需 要 为 l i n u x 并 且 使 用 了 i m a p _ o p e n 函 数 ， 这 时 就 可 以 尝 试 上 面 的 p a y l o a d ， 渗 透 时 涉 及 到 一 些 发 邮 件 ， 设 置 邮 件 地 址 ， 设 置 邮 箱 账 号 密 码 的 功 能 ， 都 可 以 关 注 下 。 $ i m a p   =   @ i m a p _ o p e n ( ' { ' . $ _ P O S T [ ' h o s t n a m e ' ] . ' : 9 9 3 / i m a p / s s l } I N B O X ' ,   $ _ P O S T [ ' u s e r n a m e ' ] ,   $ _ P O S T [ ' p a s s w o r d ' ] ) ; a + - o P r o x y C o m m a n d % 3 d e c h o % 0 9 d 2 h v Y W 1 p P i 9 0 b X A v d 2 h v Y W 1 p C g % 3 d % 3 d | b a s e 6 4 % 0 9 - d | s h }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理