|
; w I, e' L. ^1 l: C 最近在搞国外网站发现一个存在本地包含漏洞的网站目标为：http://caricaturesbylori.com/index.php?page=index.php
! k. m' |: \' W' Z5 \! u ; C5 _& U( k% O$ R
- b" W$ V3 t4 X [+ P5 r2 [! z5 w9 m* a6 S
 ! n" M; [, Z( H: z$ _) k: A, t
: ~4 K! _" I8 R& B7 j1 l
/ a. Q3 C) s- V( L" X
幺嚯!page参数后面直接包含一个网页，那我们是不是可以尝试看看存在不存在包含漏洞
, K& J% y+ ^! a* k
2 u9 o, Q# s, u# F4 G7 ?6 i/ O) [
 % H" o- U! |! M( U: w8 a9 n% r
& P8 X0 u1 z- A! K6 l4 O+ Y0 c& T+ @+ C. e, H- }% l2 E
没能直接包含成功，试试报错, }: q, i$ | p: }- z
" k! [; @" |: U5 `' @: m* h: N" n3 o2 N* W @( f2 `# m" W0 x
7 I. g0 r0 |" I1 }4 v. r- M3 g 6 O @& g5 P$ @" F, ~( |& \8 i8 r
9 o( n/ |4 L$ ^
2 \% ^) C) z5 o" |* R" |8 A! d# \
: }, V. z+ `) U( O) H
0 |( `$ }) X' F! `) g* F8 q) B
3 j+ J8 f4 R- X7 f& G
' c7 w- L/ \# x. V! |5 G, P
, l/ z$ ^! s; G3 C$ e7 J/ _! `' H
/ \$ W# N$ @8 G- k: a" ?% m " E- s, J) j4 f% f2 M
6 E* v8 {8 X) T/ V5 z6 r3 v
% \* R# Q2 H' q, w8 q
1 j2 B4 D: m0 @9 n6 W/ H( x z; E+ g
7 \% d3 O% {3 z* u# `( d0 M5 Y& G; E
7 N. X4 w* Y' v5 }0 m- Q
' |2 L! |! R3 S( K( z" u
0 L( A; }6 E$ V2 X5 o* _$ z
( B) J* Z% V' l# i7 i * k* U) |; r2 Q( S4 k
9 i$ a- n# W* W: U1 d }
 3 E7 Q; {4 |( Q. A( Q; j/ T3 ]5 Q
' o6 L% U9 _% e& v
% z2 p. Y4 v% m9 [/ O: U
哈哈，爆出物理路径，然后接着../../../../etc/passwd，直接包含成功了
7 j" |+ h0 E$ h5 l% } m ( O- h# R& W( E1 I
# X& ]( ?* |8 q: R
" a! t7 y C8 d5 p" x
& b8 F; s7 { J# q+ @
* J" ~( D0 B% A6 x) F 哈哈，看来是真的存在包含漏洞，那么我们包含一下环境变量文件试试，http://caricaturesbylori.com/ind ... ./proc/self/environ
( Z3 c: S0 w6 ?: A/ ~
- w- i1 W" l- v0 d; s7 u
8 g h$ h& b; M C# B1 ]3 B$ o$ j  ! u9 Q! K3 y: P2 G7 k* K4 b' l5 }5 P
# X, P& a3 R: j( w9 {2 S
9 I- q: f8 G$ y1 J7 C$ P
; F- W, r* n G& A " C0 i/ i+ I7 p! c8 f# n4 Z1 l
- d# A9 R9 z8 ^- R- V3 c + A! ]+ w0 j D
( O( v1 B& h( A% x! E; ]
$ ]! C& G- e. h7 Z- M' f9 _ 没有权限，看来包含环境变量写webshell方法是失败了，那我们该怎么办呢，答案是乱搞; n, a' T Z& n7 r2 e5 Z/ P
' U. M* i' M* u+ i2 [5 n: E: h' Z' G/ {" k1 X, t9 n! Q" Z
我的思路是查询一下旁站网站看看有没有上传，但是经过用旁注查询工具查询，就一个旁站，且无法上传，并且也爆不了物理路径，这时候我就想到用burpsuite来暴力破解一下LFI的字典，看看到底可以包含哪些文件，我们来开启burpsuite& j; {$ O0 f9 y2 a* I7 H
* q, B' l6 _+ e3 ?6 l" T
7 N6 ~$ @6 Y% T  8 U# @6 t( ?" q% ^2 P* W, _0 _
' q+ O' s$ P2 b( T
, L" Q, e3 h5 d& {8 n/ n1 ` 然后发送到intruder，
( _; w# K9 D% N0 @3 | 2 e- V. A3 @7 y4 B
) q# x ^, c! l; f5 h; [
# Q) w5 R1 `1 k2 G% n: x) z' M
5 B2 w/ r; K) W7 m, b& N. u+ p Q; V" h) e, ]/ M, T5 [! Q, @/ H! Q3 ~
Clears（清除变量）重新设置变量
: y# A* k, o) ^$ _1 w3 h, ]3 j
3 R& R# l$ x* F# E+ E$ {% h" j0 }% w
1 d9 c. e# T2 H% G. i 1 M |( x% D2 A
5 |7 S$ |/ ^/ d* B5 | 
- |$ u% h0 B9 k* C L3 N4 T6 {+ h ' q$ t+ v9 j8 Q' H
7 k" t; [" }4 C; _, C 破解到这里卡住了，哈哈说明包含到真正的log文件呢，我们终止掉，burp之前我测试在高带宽起码50MB的速度下可以显示出正确的结果，否则的话会导致网站卡，下面我们介绍另一种方法，用迅雷下载的方式来下载log文件并且查看，我们首先来制作一个迅雷要下载的url链接，需要批量处理一下，
! R. ~& L. i1 W# l) e* I+ I1 Y. M $ d* [7 k, O# \6 n. S3 D
! W1 D0 t* x* b3 r4 B
4 E+ ~) M- l- H; g. B8 r% S% n1 e
3 @, j$ I! }4 A* C6 j: `! d5 w# J$ {" ~6 F* [& N3 ?
- f: r, N- m& D: t9 U' {; l & d$ C/ i5 m: |8 {+ M G# `/ v
9 @* u) }) c4 _( k Z0 C
0 M) B/ H t3 R7 l' ?; Z6 y
 - P$ L5 }7 N' B8 ?: L6 E
8 s" U' E) [4 y$ y+ g- F
2 j5 `/ L# e: E& e* h) k0 M* X: W9 r 使用正则批量替换，替换%00为
Q( N) \1 }! b" s 7 G8 k: L6 T3 N& i4 w! i
O* k* ?! M4 q8 f# t- `1 K7 m 
+ k1 ]' F, U# B
. w. t0 v, I" e8 q; [( i" g* \+ E/ }
1 V1 X) J# p4 K9 I( F* M 下面用迅雷开始下载! H8 o: z# L$ a+ t! f4 |& Q
6 ~1 B7 S& D: C0 M" ]3 ~
/ P1 Q" |) l4 X) g7 `& l
8 C& x( w* F" z3 A$ C2 T3 q
: |2 a; Y5 Y: k, C
7 i9 Y& z2 d: M8 q0 p5 K 把下载同样KB的都删除掉，最后剩下几十兆的，我们丢进编辑工具里看看，如图：# O; `& s' J5 e i/ E) @' z! ?
% a C& I* E, L: x
+ X* i" t) G$ L  7 ^$ u5 i7 x: Y* M/ a
( Q6 a! Y$ Z! J* ~8 }
: O3 s& M) ]# [- I, r 读到一个报错log文件，目测像是同服上的网站，正好扫描一下，找一个上传地址如图:
( K; L. R! U: s& q6 N* X0 ^
$ L% r4 p2 w$ |( e% z& f% [8 B/ e$ @9 i3 N
 $ C9 S, W- P# @9 q2 U6 y- a- ?
. X* O' C+ Q& Y' y' S$ _) u( A+ k, O3 V0 r
4 z/ Z4 j: X6 D, l% i" U5 d- j
8 B4 `: T# h$ j, _- i4 K& d+ ]3 V; Y7 R9 _' \1 l
然后上传图片一句话木马如图8 M; e) Z0 [% ] y6 U0 C- F
* I; p% {8 @+ N; x
( i& R4 c: s9 c& x b& u  + ?$ Q( |1 U$ C; M% X
5 ^" y( |& S5 z) v k; y% a* p/ W- t
( c' `% |9 `8 f' I" Q( F
下面我们来构造一下包含url
4 ?, B) H# E7 ?( n % y9 z0 `% |# U# p( U# x6 P
8 ?0 {; W% u; o: G8 P i$ X y( m( @
http://caricaturesbylori.com/index.php?page=../../../../home/creative/public_html/xml/upfiles/zxh/new_name.jpeg (home/creative/public_html/目录即为log文件里的物理路径）
6 |: r) X" d/ L. y - a# O6 Q; ?3 z) @
. D7 y2 ^& i# G* o# W. {
下面我们用菜刀连接一下，7 I2 p9 k% p& o8 _
: E7 ], _0 P$ u
; R9 p) J6 f& ~0 M# ]" \! y 
) Y# E$ f0 o# V
0 [; K* I1 _- u6 ^+ P3 N9 W3 V
4 R V7 ?: o8 U& d+ h OK，文章就到这里了，谢谢大家观看，原创作者:酷帥王子
% W' W7 @% W k6 i. i& D4 H& ^, j | 
发表于 2018-10-20 20:17:57
收藏
支持
反对