|
# B& Q. Z# ^ `& a6 p! y
最近在搞国外网站发现一个存在本地包含漏洞的网站目标为：http://caricaturesbylori.com/index.php?page=index.php
) ~ H( T& l$ _+ c- M8 Y4 o
- ~ B$ w' t$ _9 b0 L2 w8 V \& B
+ U0 C6 x5 k. y! N" m; w* v 
6 c: w# T; S5 W7 O
: q& E$ V q' x& ]- L% V2 f( s1 l" @1 i
幺嚯!page参数后面直接包含一个网页，那我们是不是可以尝试看看存在不存在包含漏洞
/ m( ^* v# v% W9 v2 b$ ~ ! F- y& A: q# ?4 o6 l- x, ^" p
1 M: X, i( g, i$ ^
 - P6 n4 T" H2 F* W& S1 ]
- [6 L8 L% |4 J( D6 T* g$ |; D6 g7 n! f% N6 \# E, Y; H
没能直接包含成功，试试报错
/ B/ Q# ^; x* @6 J
. \9 \% }& N+ \7 I+ c: W
3 c1 g0 O' }2 s+ @7 O( F/ U; f , r) Q. A$ [1 ]" e
& x7 ^ W& ~" ?$ K( s* Q
. \: s% Y' r# w" q' B O) a: b , ~; [: X! d. U6 D
" b8 ?+ h$ a, G
: _' m4 t: s( ^ - ], }8 y: i6 r/ t4 Y3 {
, r/ |- P Y! I* q* C* Z1 I6 n8 N( P H
2 ^8 u2 ^/ h: L7 _: B5 _/ e7 t & A3 S* ?2 Q4 o5 Q' Z" }+ k
2 ^; L" i9 s! w6 W: ^, D+ c# P
, J0 l, c3 Z; H6 b }! K3 u 4 p( h: t( ^7 ^! _% _5 j
+ ]1 P8 q" y9 _% n+ _; l: d ! J+ A) Y- C3 Q$ K/ z
' @6 J3 J, T& I8 e( k6 R: i
* ^: q) M1 N6 u, D% N
9 `8 B- _9 O3 T+ h( d$ N
$ t5 s0 O+ n! ?; [0 [( w$ f
* w0 Q0 v! m8 q 
3 h- @7 _$ x# n7 f) {$ d [
/ O: B* N' U# N* s. e) c M9 [
' U1 f) g3 x/ X8 i5 P4 [, Y3 z 哈哈，爆出物理路径，然后接着../../../../etc/passwd，直接包含成功了
- M+ t; R. {) @4 y
0 h: ?' f6 e- }% d# p& v) _( ~
( a6 ^: H! _. S4 E7 i 
/ z* {2 z1 L/ h; }& `2 A ' V; y. V" [0 Q3 x
! f- U8 ~ {* b# m5 Y
哈哈，看来是真的存在包含漏洞，那么我们包含一下环境变量文件试试，http://caricaturesbylori.com/ind ... ./proc/self/environ0 l4 S r7 z' a3 ^7 x' R
% Y X X* T# f1 `
8 n$ d/ @! D; \3 H& Q 
" [0 P X8 i" H5 t1 V 6 o" e5 _. S& ] O, l
4 u( q( I# v: R2 P: D+ H
' u0 Q$ L: ?, `7 o 4 ], f: B6 C; y% ~$ }* l9 f: b
6 @ M/ D$ _5 ~
7 `' _: B( B2 c% @7 L 6 D- U3 R$ |; |, S1 h' S
' T8 F P( i; o" q$ c 没有权限，看来包含环境变量写webshell方法是失败了，那我们该怎么办呢，答案是乱搞
~' `) D5 v/ [9 g! Z( Y # @+ ~9 @. X8 b! ?& ~- z& H
# b$ _6 a. P8 s, u! i; X/ f 我的思路是查询一下旁站网站看看有没有上传，但是经过用旁注查询工具查询，就一个旁站，且无法上传，并且也爆不了物理路径，这时候我就想到用burpsuite来暴力破解一下LFI的字典，看看到底可以包含哪些文件，我们来开启burpsuite
1 L1 M# x, o" s- q' f! m2 |* n
4 N' \8 g9 j6 G& ]( ]3 }; I( S! ^4 X0 P( `
1 f! ]! r5 U% [$ L+ y
( X9 d5 S$ a) N4 a% ?( a3 b) r# t, a, o/ G% d
然后发送到intruder，' J9 f$ |- ]" b( x: j" K! s
2 ]3 z1 }( E0 h- {& h
3 o0 k. {1 q0 r- M% z  ; q7 G3 k% G) S
$ ?% @ w0 J, \$ e. G+ Z7 z3 {4 Z; r; Q, o8 e0 T1 ?
Clears（清除变量）重新设置变量
' |9 f4 {- Y4 W; h3 v8 W/ w! A3 O 4 [. D R% e4 N: ~2 i
# {" X7 p- u1 M$ J* ~# N9 s
 # G% _% Z, t' a' j
1 g, r, V) L* g. D
/ x0 X4 _& n/ t: v
& X' n$ Q* B) H4 j
# @# l: ?1 l8 {. J
" i: V% f. X! _ J0 K 破解到这里卡住了，哈哈说明包含到真正的log文件呢，我们终止掉，burp之前我测试在高带宽起码50MB的速度下可以显示出正确的结果，否则的话会导致网站卡，下面我们介绍另一种方法，用迅雷下载的方式来下载log文件并且查看，我们首先来制作一个迅雷要下载的url链接，需要批量处理一下，. E8 F; L( o; w) Y& r/ \
4 a$ |, h: |: k% O8 U% d- j6 b5 z: @4 v) W2 Z+ n/ `
) S2 x6 Q+ g& i( z3 e+ d$ y 1 _- b/ Z2 X. }: S, o2 J
8 ]4 {* [1 B5 O* U2 j
- Z" P7 g: M& f: Y
y4 f+ O8 f7 S( B* s; w! Z) x' r9 c' i5 h# d) ]9 S; j
8 f4 ^4 L9 Y/ n, d O
 1 c* l, A8 ]2 J3 C; J
' q) `6 `/ \4 v. x6 f4 Y& c& D
; X$ e6 b' b0 N0 M; Y# |
使用正则批量替换，替换%00为
. x; H: H+ w7 D( Y; `. S7 } + _4 M# ] x3 |3 y8 @5 y3 z
3 \. J u( E# m) H
 5 o# d5 l2 Q' K& w$ m3 w0 S! K
7 D, Q* I# a. S% E, o
9 c3 ]" x( b" c- p7 W. a- w
下面用迅雷开始下载$ l# g' ^& s9 f5 V
* C$ _/ a# i8 d1 V) X2 A- c3 ~
2 I: Z8 X/ b0 O& s6 R$ X 
0 G7 Q3 d" P: y$ u: u) G- J9 R
; L8 T( I# i6 q1 l0 M/ k1 s, _ v. k5 u0 U+ l& l- @6 [/ \4 O
把下载同样KB的都删除掉，最后剩下几十兆的，我们丢进编辑工具里看看，如图：
6 i" K+ z9 M) _0 Y6 [- P
9 ?' C" A- S3 P |( @; l/ B- `( S; z
& E2 N; ]4 s& \# m1 y7 g$ T3 S# \9 N 
' f& D2 i% d( R; `9 V# h* k9 W g
1 q/ ^0 H0 d E; f X5 a' V
7 {" c0 {0 K9 ^5 m3 U 读到一个报错log文件，目测像是同服上的网站，正好扫描一下，找一个上传地址如图:
1 D; ]/ v/ R; _2 ` # i$ O. W: \4 @4 {7 \+ s
7 W% N. B+ K2 z7 S; p' ?1 G 
3 y) E" x4 J) F( R% ~$ n4 h* | F
( W2 z4 O' W1 q, x* [2 ]$ ^
0 Y/ C& n- T7 T9 M" K+ a5 N i; c 
/ E! D T: i' {: K + K7 i @4 l( D0 w; ~! `
9 u8 S7 V; H5 a. \$ }* ^ 然后上传图片一句话木马如图+ K A" F' r( |9 \1 b
( v7 ~5 P5 Q. P9 K# m9 i
* g. T! D& _8 w# c; d8 q& H6 s4 d5 K
( P- I1 p0 G' p% ]3 U: j# D4 W/ N
$ ~4 V+ g2 r5 d, h
* ~+ G% p( K+ G. q3 _ 下面我们来构造一下包含url
0 D' j1 g$ V) g: o k3 S
5 r! ~+ I+ d) p4 u3 V8 [$ M9 Z8 a$ w: w% y: k
http://caricaturesbylori.com/index.php?page=../../../../home/creative/public_html/xml/upfiles/zxh/new_name.jpeg (home/creative/public_html/目录即为log文件里的物理路径） ( ] g" P# u! [- m- @" {, q& q
. ?7 a# L7 R5 W0 e b9 x, w/ k
9 c, Z. V" m# t5 z1 P8 Q& Q 下面我们用菜刀连接一下，( y8 D6 N" b0 _# R9 B4 @6 T* K3 g
4 A2 p4 o* u0 ^5 u7 h# ?$ J+ U
( h3 N2 M' g. F+ u; h& K% B: F
9 [( K* `& p5 l& `5 [
* E: W. c/ B I
! y* g8 P0 ?1 O+ I OK，文章就到这里了，谢谢大家观看，原创作者:酷帥王子
) G2 b- x. e% ` | 
发表于 2018-10-20 20:17:57
收藏
支持
反对