|
2 O/ S8 ?7 N8 P4 u6 }" Z
最近在搞国外网站发现一个存在本地包含漏洞的网站目标为：http://caricaturesbylori.com/index.php?page=index.php ! \0 t8 \# x5 W0 l5 H! [, G/ D, _
" m( t- X6 r& j3 D
' P% w; G3 y. ?$ C3 T  ) J0 e$ j5 r( a/ p s2 {
$ m( m5 o- D" C5 `- E
( r! u/ v5 g6 c8 S- n: V; q1 T
幺嚯!page参数后面直接包含一个网页，那我们是不是可以尝试看看存在不存在包含漏洞# B, z4 b9 t, Y" v) h& Q
* J% p* ^. J; `6 [8 W% K2 F$ m' T v/ G: x. U& D: M$ p* l9 ~0 h
( t8 w/ L' [+ D6 L% O- o6 ?5 M
) u+ f+ ?4 T8 r9 @$ j' g3 Z& o; U& `4 f1 f$ F. O9 y, w' \- k
没能直接包含成功，试试报错3 }! q/ z3 Z( v- }6 g
+ x2 N. X7 u; @. X" K% F2 C6 A" {
: {, _4 u3 M! ?8 j0 @" { 2 b& D& }& y2 F3 D: M; v+ T) I
; Z" n" P+ t$ p5 l6 b
" w/ V, s7 H( V$ v# F
2 Z( C/ f% [( r. U1 O9 o
' Q# O! q( M! r3 i, i7 s/ w
# F7 Q p0 c: U, V" k, k W
" n0 S; d$ V- c0 v# \/ k# N1 _, q
( X1 W! u1 e4 {! g! i
3 z( v/ z5 @- Y0 X% S+ _1 b
. ^5 v |& u! [* w# U
. k0 d5 j; Y' W9 T9 B2 W$ U: \9 x/ y/ B0 t/ A
6 y6 x$ A( O ~' w4 P9 v. w
5 ?" o% C5 n% x& P! D5 n
& w& B9 z: M8 e& G, `% |$ ^0 y3 }
1 J4 J; _* T ~$ w$ S8 I
0 {0 B% m3 q4 b, q; j3 e) l4 ?6 j) @" f& i/ R
/ H) i9 U' x9 w w. {
1 v3 u* ]( c; ~6 P3 [. s- Z* b# Y) M$ ~% J9 M
 " J5 F4 I* U- m, r
+ T( }7 `- w7 b. A# D5 d
L: K& f J$ [ 哈哈，爆出物理路径，然后接着../../../../etc/passwd，直接包含成功了
5 W0 G, a" c3 N% o5 u0 g: y6 C / c" v! g- D0 G, m
1 l3 O5 H2 s5 f. z/ ]( Q
 1 y, ^! v/ g6 l8 ^7 G3 v
. y5 W, u* M6 d, j& D/ e4 W2 d
6 L1 p/ F/ }! Z
哈哈，看来是真的存在包含漏洞，那么我们包含一下环境变量文件试试，http://caricaturesbylori.com/ind ... ./proc/self/environ
9 p0 Y J9 g' v; v 8 }4 L+ L5 P3 m! K# r5 I
% _% p C q% |1 j" s2 j 
0 `. [2 ~2 v6 Q5 ^# [/ r 1 ~3 ?1 j& g' i4 t/ y# G9 {
( Y) M Y2 w6 { ~8 B. X( X% f
" ^! q# |' P1 M0 n s6 b
$ @8 l9 |" n p
% e1 u! @) L% g: M1 [" H- |
! q1 K# P: U; k1 _) D 3 x: ]/ B0 q( \1 U% E6 o: Y1 x$ [2 F
L5 X3 V( E) v% E: k 没有权限，看来包含环境变量写webshell方法是失败了，那我们该怎么办呢，答案是乱搞
% X6 T9 q9 j) Q, R
: n' `( K+ C. Y/ n$ U) K: ?- }- u$ n( e2 y# {% `6 H2 i6 L) ?) U i- v* U7 I
我的思路是查询一下旁站网站看看有没有上传，但是经过用旁注查询工具查询，就一个旁站，且无法上传，并且也爆不了物理路径，这时候我就想到用burpsuite来暴力破解一下LFI的字典，看看到底可以包含哪些文件，我们来开启burpsuite, s# [. o1 E! v/ z; o! `
5 B+ P9 p5 m$ D) ?2 i5 c' ~
) l0 }& w: K3 R& A( \0 b6 B
 + D' V w' K7 d3 ]: s
3 ?9 i8 j8 T/ O' B% x- m6 v. s
* ]1 v9 y4 \8 m* l2 `; x2 y 然后发送到intruder，
( F- O& {2 K6 c& I, d! K) f 8 E/ d! |: B8 R8 D7 O
# F- C& G6 H* B+ E& l5 Y- D
$ L& A* D; z, W9 L6 I
3 L8 W. @. W( z# n! d# @7 [% m- t% W, f( b
Clears（清除变量）重新设置变量' s( H- J j5 ~. t, V
& v1 a* j5 V8 w( \
5 n3 y7 U2 _2 t2 N- ]6 l5 v3 M/ ?
! r0 g/ K" g3 } 4 r0 [( s) K# X1 D
$ {: C+ }' u! `! E1 D$ g: Q
 3 Y- G' R7 r8 [
6 w8 h+ B- m/ [0 O7 X" j8 k
$ k9 B/ t% [: G# a 破解到这里卡住了，哈哈说明包含到真正的log文件呢，我们终止掉，burp之前我测试在高带宽起码50MB的速度下可以显示出正确的结果，否则的话会导致网站卡，下面我们介绍另一种方法，用迅雷下载的方式来下载log文件并且查看，我们首先来制作一个迅雷要下载的url链接，需要批量处理一下，
, u( \* q$ G/ H7 T- i 4 H! N" B' K4 ~& g" `7 Y+ i- j& {
# T% J2 L8 Q9 o% g5 b( T, A
8 l4 d* U: W( y6 W8 @! z ' D9 m! A T- C! E$ ^) Z% s5 ^
! `! B7 H0 k4 g; ?, M3 {7 V3 W2 K
" x9 S3 x1 v" s* [) p / N, | r8 D; D' ~7 o
8 p5 F# R! w3 e I
3 X7 ]3 ]9 ^, f+ i8 A3 e! ] - k z2 }: h9 h) C/ [
: G+ D; P. ]9 C) x7 {2 l H. T# C' N2 M: L- i C" E% _
使用正则批量替换，替换%00为& D1 @/ A' I. ^. J9 M5 ~
+ M+ I& l' L' g" Q
) ]& C! y& Y" P 
; z6 P( F* P& R " Y+ ?/ \/ t) s o$ n
! N& x' M3 I" X# E* R: y
下面用迅雷开始下载% z4 e# t8 G2 K1 A" p( m; `
: z3 i$ `2 k9 i8 d$ H# Q3 |! M2 Z% C0 @, R
6 `8 r) t5 M3 n+ n/ Y; k+ O  # g- t2 }3 ~& J0 H
0 t9 W0 x. B% J; b) j6 M2 A0 L! h( `! |, s
把下载同样KB的都删除掉，最后剩下几十兆的，我们丢进编辑工具里看看，如图： e6 V0 T3 j6 I( c* A" W1 g W
/ D, i6 r" T5 p6 G; w" T. ~1 R
6 m: e/ c% k& D8 R1 w  ( p) O) F) a& V; `) d K
" L8 @2 [; k0 b6 F4 v3 O1 W, }
0 R8 v3 E+ w# x- Y. e 读到一个报错log文件，目测像是同服上的网站，正好扫描一下，找一个上传地址如图:* s1 c( w& P2 k5 a$ s; R
9 Z3 P8 `( ?9 k R
" w. B" V5 A9 R# [; k7 D! a
 - L3 j/ M- _- h$ R. N& Z
; B4 H0 t' o/ V, b* |8 Z
' W5 t8 o4 B u& `9 {* z+ S* S2 J 
7 C- x5 F) x B) }5 N/ q# J + l: a; L! j- n6 ]6 c L
6 j% u( q9 G R' f" h3 ^9 @0 p4 ?! z
然后上传图片一句话木马如图
$ y! R m' x5 C9 T $ n! p2 L5 O: U, g3 o2 K, i
& w1 X8 L/ d& }* Y* B, h8 i8 s  3 B% i4 K2 o2 G l( W0 U1 [2 ^
, U* _7 l- Y, @! V( M& M' `& D, F% c* r) @5 O0 B/ y
下面我们来构造一下包含url
. ?1 b( t1 Y9 j, }
6 z, j0 l" ~( o1 o! ?0 `% j3 h( }3 C8 m! g3 p0 E* J
http://caricaturesbylori.com/index.php?page=../../../../home/creative/public_html/xml/upfiles/zxh/new_name.jpeg (home/creative/public_html/目录即为log文件里的物理路径）
1 i1 r% ]+ e$ I# M d: x
9 [8 J, M- `9 {3 v+ n [0 I9 f# ]3 c5 V& v
下面我们用菜刀连接一下，3 I6 c! L" r# @& s6 s( X
$ ^& l& R7 M# _" y. x1 Q
" b* }# Z+ p+ V. `! u  ' W$ l" x2 G8 P
/ f0 u8 E: _1 |# c- o. k g E$ T4 E& i- g7 x0 W8 G
OK，文章就到这里了，谢谢大家观看，原创作者:酷帥王子( U4 [. e( G) ?0 l" f' @& ]3 k- b K
| 
发表于 2018-10-20 20:17:57
收藏
支持
反对