利用 Apache 的解析机制来植入webshell
本文作者:Z1NG(信安之路核心成员)
这篇 getshell 是上一篇的一个续篇。在上一篇中提及的 getshell 的方式依赖于修改任意文件漏洞,假如任意文件修改被修补了,那么连带 getshell 也无法进行了。于是再对 down_url() 函数进行审计试图找出直接控制文件内容的方法。运气又一次眷顾,发现新的 getshell 的方法。
先简单回顾一下上篇的利用点,在代码的第 887 行处,有一处黑名单限制后缀名。显然,这个黑名单是不完备的。不仅仅只是用 phtml 可以绕过,就连 php (php 后面带一个空格)这样的方式也就可以绕过了。因此,首先通过 phtml 和 php [空格]已经可以创建一个动态可执行的脚本。那么,现在的关键点只在于如何控制内容?
控制内容的代码在 898 行处开始,由于是远程获取文件,所以流程进入 if 语句。很明显的可以看到,是使用 curl 的方式来获取远程服务器上的页面资源。说实话,对 curl 其实不是特别熟悉,仅仅是简单粗暴的把它理解成是一个浏览器。也就是,当curl www.baidu.com
时,实际上等效于访问百度的页面,会将页面的内容加载出来。
利用 curl 操作会将页面内容加载出来的特点,只要在可控服务器上能够使得一个 php 文件显示出一段 php 代码,再触发目标网站的漏洞点不就可以植入 webshell 吗?因此,我们可以得到两种 getshell 的方法。
方式一
在可控的服务器里(该虚拟机 IP 为 192.168.198.132),配置上一个 shell.php 内容如下:
然后在目标网站,执行 payload,效果如下: 注 : shell.php 后面有一个空格
查看文件夹,可以看到文件已经被保存下来了。
方式二
上一篇是利用生成一个 phtml 文件,再利用修改任意文件漏洞来达到 webshell 植入。在测试的过程中发现,我使用的 Win7+phpstudy 的环境默认不解析 phtml 环境,需要做修改才能解析。如果不解析,访问该文件,会直接将文件内容显示出来,或者弹出下载框。
于是自然而然的可以想到,先配置一个服务器并且设置不解析 phtml 文件,然后构造一个请求,使得目标网站将这个 shell.phtm 保存下来,从而达到 webshell 植入的目的!
总结
蛮有意思的一个洞吧。植入后门,不一定是要文件上传。类似于这种远程文件获取的,本身是带有一定危险的。如果没限制好后缀,简直就是天然的漏洞。加上上一篇,一共三种 getshell 方式(其实还有一种没写出来),各有各的特征。两个漏洞相结合 getshell 的方式不需要有自己的服务器,但是依赖于任意修改文件漏洞。后两种首先需要有自己的服务器,并且根据目标网站的环境不同(是否能解析 phtml 文件)来选择不同的方式。
对这套 CMS 的审计应该到此就结束了,不排除心血来潮再审一审。写下这几篇文章,仅记录一下挖掘过程和思路吧。
推荐阅读
- 全自动驾驶,吹牛容易实现难!有90%的人都不了解这些细节
- .NET4.0下web应用程序用UrlRewriter.dll重写无后缀路径
- Silverlight中摄像头的运用—part2
- 区块链小白投资入门操作指南(上)
- 《我的WCF之旅》博文系列汇总
- 网站出现“Service Unavailable”提示该如何解决
- Silverlight 4 中摄像头的运用—part1
- Silverlight 4 中摄像头的运用—part1
- Silverlight 4 中数据绑定发生的变化
- 未来3年 人工智能如何影响法律行业?5位权威专家给出趋势
- silverlight.js详解.
- 前端三大框架vue,angular,react大杂烩
- Silverlight制作scrollbar.
- [Silverlight动画]转向行为 - 躲避行为
- JavaScript 教程
- JavaScript 编辑工具
- JavaScript 与HTML
- JavaScript 与Java
- JavaScript 数据结构
- JavaScript 基本数据类型
- JavaScript 特殊数据类型
- JavaScript 运算符
- JavaScript typeof 运算符
- JavaScript 表达式
- JavaScript 类型转换
- JavaScript 基本语法
- JavaScript 注释
- Javascript 基本处理流程
- Javascript 选择结构
- Javascript if 语句
- Javascript if 语句的嵌套
- Javascript switch 语句
- Javascript 循环结构
- Javascript 循环结构实例
- Javascript 跳转语句
- Javascript 控制语句总结
- Javascript 函数介绍
- Javascript 函数的定义
- Javascript 函数调用
- Javascript 几种特殊的函数
- JavaScript 内置函数简介
- Javascript eval() 函数
- Javascript isFinite() 函数
- Javascript isNaN() 函数
- parseInt() 与 parseFloat()
- escape() 与 unescape()
- Javascript 字符串介绍
- Javascript length属性
- javascript 字符串函数
- Javascript 日期对象简介
- Javascript 日期对象用途
- Date 对象属性和方法
- Javascript 数组是什么
- Javascript 创建数组
- Javascript 数组赋值与取值
- Javascript 数组属性和方法
- laravel Model 执行事务的实现
- 在laravel中实现事务回滚的方法
- thinkphp5框架实现数据库读取的数据转换成json格式示例
- phpfpm的作用和用法
- 浅谈PHP5.6 与 PHP7.0 区别
- laravel执行php artisan migrate报错的解决方法
- Laravel统计一段时间间隔的数据方法
- laravel withCount 统计关联数量的方法
- 使用laravel和ECharts实现折线图效果的例子
- Laravel 将数据表的数据导出,并生成seeds种子文件的方法
- Laravel Eloquent ORM 多条件查询的例子
- laravel5.5添加echarts实现画图功能的方法
- thinkphp5.1框架实现格式化mysql时间戳为日期的方式小结
- Laravel 创建指定表 migrate的例子
- Laravel find in set排序实例