|
g$ G/ M1 I( A* `% F
最近在搞国外网站发现一个存在本地包含漏洞的网站目标为：http://caricaturesbylori.com/index.php?page=index.php ( o( z8 R, L1 a* S& M$ o5 q
' O/ E6 U' v% R; {1 Q, ?! N& y
+ S! {6 I {( f6 X 
/ p$ C' V. ?2 z) B , g% ~+ \& q- D) _& d3 p/ |8 f
$ i4 _* d. x; b, j; k% k3 C 幺嚯!page参数后面直接包含一个网页，那我们是不是可以尝试看看存在不存在包含漏洞
# L3 v8 Y. `. d& g : }/ |, Y6 [7 W: Y m2 e3 e; s
! z7 t$ ^4 c7 T( |3 \+ d  ; H+ Q9 h* H0 l- u
5 U9 P3 c7 F$ S. x0 h+ ?0 W G# y F/ \* a
没能直接包含成功，试试报错
4 M( \4 \# `; M' I; C , T6 m/ R. L& F3 O% ~0 c2 c
8 T# ^) l( t% J; g, g$ z- c
f1 i5 h. W$ t$ w* X, r' V: ?' H% L
+ t$ k" V! ^/ v, L
; Y, T7 u0 q9 }/ }2 X + E# |( ^6 o/ s+ S8 x4 i( w
3 G+ K% \) W* L; o3 A+ }# ~% q0 s; b1 D+ d8 ^+ C. Y. c1 [
( y; }/ F' T8 ?5 F
' {& E$ X/ H3 `( ?2 P; G" ~+ f5 G b; \1 G6 y _1 G9 d
# M$ }4 K9 i! z: S! p
$ z8 ~: z9 m( f/ }) Q* {' \
6 ~, A' S' X1 D6 m8 M" u+ d6 \ 0 O2 W. w9 Y1 T
: s, ~9 P$ O1 y7 v% R$ t$ i B
* t5 \4 e: f4 d* j: |1 z
* p7 v# s3 ^, W
1 R8 t: P4 m$ X+ |# L
, ^& j _3 f0 w3 \$ M& v1 W 3 a, f, r0 p* A; p, W
) _ w: ?8 _7 ]0 \7 E; r
# W) {9 T) s' s, p n- e( b/ W. X! H$ O) d 
$ C+ G+ Y: Q, l4 H+ }; r
% ^$ O( N3 u+ K2 W; d5 ?! a9 L3 y* u3 E' Z' t
哈哈，爆出物理路径，然后接着../../../../etc/passwd，直接包含成功了
$ } Y6 v6 m: x2 {- y- ~
% ]4 w6 W& w7 P3 K
5 F% w% ]+ H) p9 N& Z# q) ^  ' Z6 D& ~9 ]5 r- O: q' x& b* S
2 k% E0 Y4 H+ A5 r' j) D5 F5 v
4 V' @7 |2 v$ [! w5 F 哈哈，看来是真的存在包含漏洞，那么我们包含一下环境变量文件试试，http://caricaturesbylori.com/ind ... ./proc/self/environ
" R/ x1 `3 J# ?. o) O / l. `' q; f+ ?+ F' v
7 n4 o1 Y. V/ \ T/ d0 Z0 c
 - _+ w4 Q% l4 {
6 k- O5 [- M$ K0 F
% I, z) l9 u, e v& I8 R
/ S4 s* `% M* f2 i% _' O9 Q' m - e+ k) I% P5 O: ]) n
+ M1 R$ z# L9 B. V+ A1 r, ]
/ U$ |3 a* r1 R) [- n" y) L
0 Q9 o0 f1 }) w. S3 {( T
/ K; x! f3 @4 N; y 没有权限，看来包含环境变量写webshell方法是失败了，那我们该怎么办呢，答案是乱搞
# E# l( M- g8 Z, U% M \0 x$ H$ m+ ]$ k8 Z4 q& g- p2 K
( U* @8 `# `4 ]6 }% p
我的思路是查询一下旁站网站看看有没有上传，但是经过用旁注查询工具查询，就一个旁站，且无法上传，并且也爆不了物理路径，这时候我就想到用burpsuite来暴力破解一下LFI的字典，看看到底可以包含哪些文件，我们来开启burpsuite" Q4 C: F8 q; I& l/ a9 r* Q2 F% O
. j8 u1 x2 W+ B+ b
# r1 p& w n2 r* h9 q0 a  * Q: B- t4 A8 W: H! u4 S
) E' d4 w! E w: B( m
2 r) `# w: I# V0 P. t 然后发送到intruder，
( t( V7 p( C! y+ t9 F& N0 V 6 ~" [3 x" {4 V( z: i6 Z
0 L/ b. z) ]) m0 \. g
6 c6 p1 T. }6 X' x! F1 ^
6 h( |7 |) o; S! R4 q: q
. e4 h" z/ O" t5 o; m$ z; R Z Clears（清除变量）重新设置变量
6 H8 L+ c5 E5 T) D
) \ R' h" H. W. U1 u% T
( f& y8 }( r. V+ h: y s  ' z) C5 G: C1 C& {6 S9 q+ |
. F& K0 e# F; Q4 [. k: S* t% Y9 i4 N9 U; P2 P" ?4 a
 + }/ W0 N; ]9 [2 l0 ?! Z
5 e. l9 t' y. B- ]; C& g+ g* J9 ^) A6 Z: }8 c4 o1 k% g0 S* `6 c
破解到这里卡住了，哈哈说明包含到真正的log文件呢，我们终止掉，burp之前我测试在高带宽起码50MB的速度下可以显示出正确的结果，否则的话会导致网站卡，下面我们介绍另一种方法，用迅雷下载的方式来下载log文件并且查看，我们首先来制作一个迅雷要下载的url链接，需要批量处理一下，% r: K* u5 {' V" p
' I& L. b; w! b8 k9 D3 U
5 t9 y+ y* U# U" G
/ N+ E ~- X, x, n1 h! G * @& v3 e1 Y0 g
" u3 y' X7 c% W$ p6 f0 a9 Y
6 A) ~# @) I4 _; C8 \0 L
0 K" Z/ F; {+ G' }6 t1 E' U- N
" v: M& D& m/ [$ h) l. \. Y- S5 z( g
/ Y) ]7 c# s1 e- v* @9 L: X$ _
5 d1 w1 U A+ v: @, } 7 U1 ?+ @* x8 F6 I$ t
# [" e& G+ t; d, F 使用正则批量替换，替换%00为
0 p" P) d, K- \) P, o+ a0 V7 R : C: y0 c3 \, Q0 k
# ~; m2 ]! B% V* ?& `
 1 W& G7 g/ z9 L2 v" Z
$ a1 k+ n6 H; @0 ]: w7 _9 Y( c2 r: M# b
下面用迅雷开始下载- s% q8 q9 k0 H! X# t) _. N
( ~: t8 U: j# {1 M) J# G2 q; Q$ {- g
2 w5 s0 E' v' A! l( s 0 o7 @+ l/ R: ?/ h6 j2 B& a- a" W! x
1 L) q1 h% V9 A9 R( I. {) }9 ` 把下载同样KB的都删除掉，最后剩下几十兆的，我们丢进编辑工具里看看，如图：
' O* t% E8 F# U: G& i , r6 j0 e4 B6 e6 d" |, X4 C
) C. B% Z8 w w8 C3 I 
( u4 ?! J- x7 K A' e/ o
9 w9 V R5 O( j" _& E
0 {# J9 b2 b/ W. m/ n. b+ u! b2 ` 读到一个报错log文件，目测像是同服上的网站，正好扫描一下，找一个上传地址如图:
6 O, i8 [* L' Y ; S, F' H3 j: U b6 s9 F# s$ O( K$ T9 M
8 k- B; @) w" B4 Q8 q! H. z
, e( o# l: B8 A" I1 |8 ^. p9 U + |" w7 n7 e; o; }+ {8 P" B
1 D1 b8 o- v, U8 f
 * w4 @7 i3 w l5 C
- v2 j! {) U0 |) A9 Q: o
" R( X' ^' @8 J5 v0 J$ P8 v 然后上传图片一句话木马如图
- l: G& g3 a& U/ v% g& ~ ! E" `$ X+ S9 P" d* ^
! B3 t; m- P$ l8 b
. c. z' H. b" m : i- [' B" {' Y& N% ~ ^
) b( N( ~4 E7 r+ V9 o. p
下面我们来构造一下包含url! _+ V" S7 r" e! k4 p
* g- |$ y! \" p: C, m+ S% p. a( f8 e% e. \. {" {& y* u/ J4 d' L
http://caricaturesbylori.com/index.php?page=../../../../home/creative/public_html/xml/upfiles/zxh/new_name.jpeg (home/creative/public_html/目录即为log文件里的物理路径） 9 L1 @5 Q+ z# D% t" V; g9 o
; ]; \7 o7 r0 r. U0 t/ D- A
0 l7 n8 ]% c5 ^; ^* c 下面我们用菜刀连接一下，1 R6 m6 \ y/ @
- t% J7 o% ^9 o+ I
/ P. H+ j7 ^+ k7 [8 K, K
 4 f2 b* E# h* U4 O: t+ B, {
. t( p- \2 @; u4 W$ z4 c2 f( O: O* N5 o
9 ]+ V- s; H# w
OK，文章就到这里了，谢谢大家观看，原创作者:酷帥王子
# j. m" I3 B1 G. L# l4 I. ~5 d9 N: J | 
发表于 2018-10-20 20:17:57
收藏
支持
反对