|
2 Z2 ^5 H' P! f c
最近在搞国外网站发现一个存在本地包含漏洞的网站目标为：http://caricaturesbylori.com/index.php?page=index.php
2 Q" R1 |* H( B3 O" i1 O
7 c* {. ]3 D. R) Y% D
6 b1 h" F2 d2 y! A  0 d" O) f) s' C% V
i) @) W# v/ c
6 E- R* w5 o7 ^( H3 a( q- } 幺嚯!page参数后面直接包含一个网页，那我们是不是可以尝试看看存在不存在包含漏洞
. ~ N3 k+ E# l
! s/ R% ?# [/ R% R8 n/ m! b0 q( S! V5 i3 P0 @ W
) h- N# P7 L, l) ^, I$ m1 i
. t% `* w$ c- W9 h; ^/ b2 V9 H5 H4 t
; B! L5 v1 W1 o3 t; l* L 没能直接包含成功，试试报错% e! H- }5 J; I. ~% L. i
" C5 A" @0 i& X1 v8 B1 D: z
/ N1 x: [, p0 l9 k6 Y, _; d
. {# `3 [8 \/ |& F3 O: A0 i+ y9 L
: {) a( X- m4 E, m9 o# \
7 w( E2 Y( y6 w: P# M 9 N' y. a9 t: a: k
! x. ~) g, o. G. W; p
, b& X7 e$ \6 H- ] ^" L% J
8 H. ^( l( g2 } o 3 Z# I& Q4 f/ Q' ?$ F/ L! T) A. g
/ \$ c9 D9 S) K( @. g
* ]+ b% X1 q) J+ n2 Y 1 {! R# K) ]: ]% I% a( N! U
+ V" b$ x$ V& N0 @" Q+ s9 Z 7 |% t1 C u5 B, z6 @" P
: C j; y- j% _, y
' e& y1 V% E i0 ?" B' Y0 p2 I # u" {: M! Y3 v6 j/ L/ \2 {2 v
, K( k/ @- E5 |# m0 y% P. t
4 h) {) e" a7 p8 j - m% @, U$ q3 b* n! ]) B* \
! N& @0 i4 y) q5 W! }4 p: Y5 u: g9 |8 k* m8 z$ }$ o+ Q5 W- h. V3 @# U& a
 " ]/ P& G s. X4 k( h* o$ G
u7 n0 a1 _% s! Y% j
3 A/ Z5 H& s+ a6 l% n6 w 哈哈，爆出物理路径，然后接着../../../../etc/passwd，直接包含成功了
0 W+ _+ e4 Y1 z2 L7 g7 E* a( r 4 s( X6 {* Y3 _5 q& |" F& r
1 z# S4 t4 h ?- G3 ~) t) H
0 t1 C* ], _" [2 ]( G) ^- [# ?$ P
. b1 e! d1 k) S X4 G0 ~
' e8 n7 L' y z2 }$ |" w' j8 ? 哈哈，看来是真的存在包含漏洞，那么我们包含一下环境变量文件试试，http://caricaturesbylori.com/ind ... ./proc/self/environ
9 Q) t6 O1 c3 [, S. Z/ c( U; t # T x$ P% \; ^3 E( \ ]
3 a* p- |0 z+ X- G  * y8 i& [7 P' @5 Q8 J
! E% o& `3 X2 O# p) |; j3 F# g2 G
& N( ?6 M0 J2 A1 z
8 [7 l T+ @9 n( |: c7 |+ n U
, I! x, Y( V9 S) i% Q
/ j5 Y; s0 s* P' N+ j" X 9 Q0 E/ M# D- I7 S6 x0 t
! m% B. n: M& e& J3 S* b! N% |3 V7 m+ B" s7 a6 W d, x% u
没有权限，看来包含环境变量写webshell方法是失败了，那我们该怎么办呢，答案是乱搞5 h1 e1 H9 _) i. h- H: `6 t
1 e& ~- g" [5 @3 m
; U1 ?3 G l2 X6 Y `# ^& }
我的思路是查询一下旁站网站看看有没有上传，但是经过用旁注查询工具查询，就一个旁站，且无法上传，并且也爆不了物理路径，这时候我就想到用burpsuite来暴力破解一下LFI的字典，看看到底可以包含哪些文件，我们来开启burpsuite. a- C9 @' e' M' C
/ S3 x# r: p. X
4 q- y# ]5 N1 R8 C! K  $ E9 R* ]+ b' L! E
0 j) V( J9 g+ v9 o# m
/ T1 y; a& E7 W+ v) D9 P 然后发送到intruder，
+ [* G7 K& D5 M2 c# Q
/ C6 n" a4 R, t& a4 S4 b0 w# b# i. ^$ N4 {
+ U' S- w8 M4 C8 l4 h 9 P3 D; N0 C7 Y( y8 Y. f
8 H) V% x1 ]" o' J' C/ I
Clears（清除变量）重新设置变量9 f4 I+ ]8 y; x, G# j( y3 R
$ F4 B6 K) z. e% ~3 o# L' v c6 l; `5 F* i$ L" D
% X2 f: X# @2 F$ x/ t4 q' ?" G
- H7 S9 W, E: k0 g$ t& y O! B/ [- S/ H9 V
 : H; G; s1 h& M$ s' ^7 h: x, b* F" p% {
) L ~8 R5 Q/ i0 S
' s, b0 @ v% C a7 q) v5 l
破解到这里卡住了，哈哈说明包含到真正的log文件呢，我们终止掉，burp之前我测试在高带宽起码50MB的速度下可以显示出正确的结果，否则的话会导致网站卡，下面我们介绍另一种方法，用迅雷下载的方式来下载log文件并且查看，我们首先来制作一个迅雷要下载的url链接，需要批量处理一下，/ l% w4 @4 a0 ]
8 E. q1 @7 {/ m
) S$ e9 B5 ~+ @' v % O' q( }, X4 W5 _% C
. o0 v* v, j0 k1 q" S F
8 x1 z5 Z R! I
! }4 o+ _0 [, e C; ~# D9 ~ , d1 R4 ~4 _6 f; a+ a/ z% |1 A
2 }/ o. ]- Y1 I: M# G; [) D. c
' S7 A# L7 s$ h1 i
3 A" i: y$ [8 A1 @, [7 g5 s
, G' w3 M7 z" B: k1 N/ H. w2 ~/ g" O1 `9 S: V; k7 I
使用正则批量替换，替换%00为
7 D( h6 ^: @6 g: x" r* g$ m& M ( c& o$ B; m& L/ o
3 G' U- \6 c1 I. t1 H) N9 ` 
8 a- s7 U- U$ c0 ?
0 B( R/ h" l, n& e& g9 a' Z! Q. Y' N0 o( n$ l- Q- I
下面用迅雷开始下载; `( C: Y$ g8 h
5 _( h" Z1 N* ]7 i% d. q3 j
g% o9 v7 O) v. [! r" w j. m) _ 
/ _" Q+ v# m& ]. w% X3 T7 K7 `2 ] * X4 }6 e3 Q) x
- o5 c* t6 D! D3 w5 C- v2 e% |* ^ 把下载同样KB的都删除掉，最后剩下几十兆的，我们丢进编辑工具里看看，如图：
" }2 p% \) M" ~2 X + I& d+ s( s6 q* g6 T0 W0 }
& R( `3 B( b6 m; C( g! G
4 i6 ^$ a0 v+ s) g $ |/ V0 ]& o- s
) B1 W. m5 k- h: X
读到一个报错log文件，目测像是同服上的网站，正好扫描一下，找一个上传地址如图:- Y; r* a! a8 K& m# D2 A8 l. [: T
3 a! }8 {7 K& h) Y2 ~# B% F9 D) Q2 e, U8 @: S9 @. p" |. Y
 3 \% t1 |# v$ C. B# X* n; S6 T" ?
% ?" H$ b7 t+ |( s7 ~
/ A4 g. s% x9 I/ ^. Z( N3 W% j" }+ j9 y  . L# s) K. }4 _# ?2 `
# q& D/ D7 |) Y9 q& }
8 H& s1 R1 n; q" Y& k6 q0 T& [& i4 ] 然后上传图片一句话木马如图( m4 ? b8 R% p
+ d, B( e0 W/ j- f2 P
# c; w2 g- Q( {" [- i* U2 J0 }; B 
( A. K, l: n/ ?( F4 t) r# |0 J # j6 q8 _8 a& c+ S/ K9 R k
& Q0 Z$ [$ n5 ~* s2 J
下面我们来构造一下包含url
) q" T" |% q/ A+ E
- K" C( N# b' x# X* d. i
5 m- a# ?2 o6 j) G http://caricaturesbylori.com/index.php?page=../../../../home/creative/public_html/xml/upfiles/zxh/new_name.jpeg (home/creative/public_html/目录即为log文件里的物理路径） " P( a4 ~1 Z( W( \" Y4 Y
$ K2 n/ W! M7 t' o; o/ ^" H9 f; [. w) C5 N1 y- H1 u, J
下面我们用菜刀连接一下，8 a/ R( J. c, K+ C% a# t
0 ?1 C" ^! M2 B* B. D
' H" r% j1 C X' w/ |3 k/ o 
* f3 o* J( \% C* P
; b+ E. U- G4 l. K2 K5 h$ a
& h# e8 z5 f. v' H N5 z9 m; n OK，文章就到这里了，谢谢大家观看，原创作者:酷帥王子
$ l! b: Y9 K9 ?5 B | 
发表于 2018-10-20 20:17:57
收藏
支持
反对