|
) X3 ?0 O/ X4 B/ e- E
最近在搞国外网站发现一个存在本地包含漏洞的网站目标为：http://caricaturesbylori.com/index.php?page=index.php
\5 |" ?2 l5 Y$ W6 t' ?6 c) k5 A, u 1 a; q# D8 d6 I- J: q$ q" T
: ]/ j a- ]7 _4 a" j+ p
6 V* b( p$ A! W" R
, }/ i& m& v! _% O* C$ i
- B+ R6 U' u$ E 幺嚯!page参数后面直接包含一个网页，那我们是不是可以尝试看看存在不存在包含漏洞
# v2 M, i+ t- h6 G; `
$ a4 E: T. R c$ \* `
4 m" a" c2 t) r* @) m0 q  3 L& D& z q4 K6 M$ A: u; ]
! i3 z! j/ L2 v" H- w3 U$ \' K- M: d4 e# I+ o6 A
没能直接包含成功，试试报错; u) p( {$ {* O* j! P
5 E0 I+ f5 G! m2 a; |
, [) [/ h3 J: x) q
" J5 N5 R7 w, B8 q& |! ` 3 t$ p; n4 Y' m' u* I. k \
- F4 ]; ]. P) ]+ p
4 i# p% [; I7 d7 r8 g
# g& U! S. D% M1 N% N2 u6 c5 A+ N# {4 ~8 U6 D- v/ a
$ d: H* o ~! V0 E7 y) p
, Q) U' l: R& [5 j. O! _/ j2 |. P- K* u" p9 _1 e* m
; J) G/ P% `4 q& L7 ^5 b
) a+ Z( t. L5 ?5 ?& v: ]0 h) X
+ l* _1 e7 G7 m6 A; ], ~' u / z) o" M9 |5 S
$ e5 h( ? ^# M. J1 Q2 b6 T7 h: I5 D
& m% C5 K1 k; B1 e 0 ]9 L: M0 ?$ K# e
' U5 V1 R: x! n }
7 B; q( ]& Y/ s; y; |; z" y
1 @, k- P9 s' ~7 B
" `1 @2 G# ^; k Z3 B5 N8 A3 Q  7 {3 x7 w+ X# d# Z
S- L) a H" H# J1 r3 E% B% r0 H, F9 M' B8 j- ?6 {
哈哈，爆出物理路径，然后接着../../../../etc/passwd，直接包含成功了$ u2 ^* |" i9 H9 H7 S
8 s# q$ p g1 Y: Z( B8 g2 d* @: [8 i* I: w: {8 R8 f w
3 F" R& q* K) R I
/ ] p5 b ~. ]5 d" k2 `: N' D- j
哈哈，看来是真的存在包含漏洞，那么我们包含一下环境变量文件试试，http://caricaturesbylori.com/ind ... ./proc/self/environ
! Q( `0 O8 f" s2 \/ P% X% v5 | 2 N# i2 N' M n5 m8 p$ _+ T0 X
3 B' S) O) m6 y* X$ H3 w 
% e2 {2 E) W N9 |/ V
/ M0 X: N+ B# ~4 a" e& q+ z' [7 G% L; Z' H
+ J. ]& ~4 U2 V3 T* I
0 j, E, Z2 T' @" O6 F' a! {$ i: F& ^% T: I/ v
2 z) ]9 k3 F; Z* y; f
/ i* r" e/ q: r; U. J
4 ]* R3 \% E1 ~! ~; p 没有权限，看来包含环境变量写webshell方法是失败了，那我们该怎么办呢，答案是乱搞- c9 p6 W! w! E
# W: `8 W. ]3 R) k
$ g. x% X2 _" p' j: j
我的思路是查询一下旁站网站看看有没有上传，但是经过用旁注查询工具查询，就一个旁站，且无法上传，并且也爆不了物理路径，这时候我就想到用burpsuite来暴力破解一下LFI的字典，看看到底可以包含哪些文件，我们来开启burpsuite
& }& H& h- j) A- [+ n3 x0 ?% v2 F) x & u) P) c( m# l7 T
8 o1 ]0 Z5 z4 t) E, e8 o
 . l7 R) r+ E( w1 H4 y
2 P5 G2 o2 l) e1 f
7 @% Z5 ?4 Y0 _( J9 A1 x 然后发送到intruder，! j) I6 Z- U/ D. f
3 }, X* ~- J* ^# A. G6 _: N4 R+ P9 V
5 D+ O" ~* v1 o+ f0 E% }) x) q2 ^
6 |: t) ?" w0 y; C2 h: ]' d; v+ I b% Q7 l
Clears（清除变量）重新设置变量, [- m0 X8 M& F3 L
! b/ p* A5 J" ^* w& ^: e% U( U# j5 S" d: x9 L8 @
 9 x# d; ]: ]; v$ L- e% y
; h: R0 b* V8 J3 l) @2 V4 b0 n5 A: v" {0 t$ b6 _. I
 ) u( H! C! h) ?5 ^# I
2 w# `* C. w- w8 ]$ |- s0 j
1 s1 N( a" t5 g
破解到这里卡住了，哈哈说明包含到真正的log文件呢，我们终止掉，burp之前我测试在高带宽起码50MB的速度下可以显示出正确的结果，否则的话会导致网站卡，下面我们介绍另一种方法，用迅雷下载的方式来下载log文件并且查看，我们首先来制作一个迅雷要下载的url链接，需要批量处理一下，
; K8 B) p% ?, N9 _) Q: U& y
% w9 @" w/ w6 u6 M5 f6 O' B6 y
/ t8 _& s: ~! G3 I0 ]
) r" E! W) y7 o* ^9 E
0 c$ M! |# s- V- z2 C; X5 Q( N6 f$ [0 ?- G: Z: ?
0 }' U% X4 f$ P: k
* Y$ w9 o" `2 x0 V" L$ _
, m. y) w5 \7 f! F. [
+ N+ d% R2 y: ^$ l, R& U \3 V 1 G+ m$ V* W4 i& g! t/ j
T* E7 y7 E: |
+ `- z! V2 @. }! E' n 使用正则批量替换，替换%00为
6 a( E/ v1 ?) D8 Z+ ]( b
$ T: `8 L4 m3 q: t: X
3 a0 l, i! d q0 x  7 K* d* e7 R) ~$ Z9 y
' |+ K4 N; K" p7 a+ u2 Y
/ @# s" {9 x* x5 Y5 L8 I" `; ~ 下面用迅雷开始下载
6 \! I6 @% j* T i+ |! j5 B
) i. q4 O! Z; C3 b& _' t* r3 W- _
$ l+ X" y9 P' }( _" J1 m & w+ H7 W6 H, ]3 u. m
# M% l" n' }* E9 A6 O8 }
把下载同样KB的都删除掉，最后剩下几十兆的，我们丢进编辑工具里看看，如图：
7 |: v" O0 M) O, x" w " @$ I- o/ E, c7 {9 I" M- B
. Q$ X& _/ M4 k0 X9 n# f) N  ' I g( P! `4 a7 a+ Z1 V: N* H$ h
5 C7 G3 B: m* @3 W* w6 @
, K" \! {6 E3 R, \! C
读到一个报错log文件，目测像是同服上的网站，正好扫描一下，找一个上传地址如图:
- R$ o7 h3 I5 r/ U" y1 ^, |% H7 a 6 D! _, R R0 q" R1 \7 t/ _
0 n9 g8 k, B! i. @ 
2 N6 }; j! [2 t5 u$ D1 H0 h 4 `5 t5 N5 @; F% @- n
$ e; E- i* P. u. E0 m4 d
 6 c" b& t( J0 J; I! u. [4 Z8 d8 [, x( [
5 q I7 v- {4 ^$ o; `
8 Z! n6 _6 q% W$ k6 l* k9 Y4 v0 a3 t 然后上传图片一句话木马如图$ }2 e( H- {' h( R5 T
; j, ]; q+ k, u4 y) P; s
" ?- m* [ a. } s$ o6 m+ q H  - [& P, z) h! X& H8 a, }) S
% L9 P/ y% k- v- V0 h
0 K6 ]( c% ?% b 下面我们来构造一下包含url. }' S# k! {) i. A5 D; A
8 C" a* Q* F9 p' z4 o* Z/ e, \2 i5 {. g! Z! s
http://caricaturesbylori.com/index.php?page=../../../../home/creative/public_html/xml/upfiles/zxh/new_name.jpeg (home/creative/public_html/目录即为log文件里的物理路径）
5 j- x4 q3 s6 w( @ 8 l# n) e' J/ }4 A
* ?% Z/ A) c5 h' g/ @2 U
下面我们用菜刀连接一下，
1 _& @/ {4 n. ^* q) A) s# W. K$ u2 L 0 F% N8 g$ [$ _' x2 o$ m
4 `! H# R! p. y
 * R2 e7 O5 ^+ ^/ e0 X+ z2 m% H
7 `8 j5 R# b# K* D5 D8 h0 ?. |" N: g1 |
OK，文章就到这里了，谢谢大家观看，原创作者:酷帥王子' J# X# l" P4 }$ K- F& a r
| 
发表于 2018-10-20 20:17:57
收藏
支持
反对