PHPBB 2.0.22 MOD版最新注入漏洞
您當(dāng)前位置：首頁(yè) > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-17
然后在前臺(tái)發(fā)帖或編輯帖子來(lái)上傳附件，上傳擴(kuò)展名為inc的PHP后門，再在預(yù)覽里找到Webshell的訪問(wèn)路徑即可得到Webshell（在預(yù)覽里直接點(diǎn)擊附件名即可打開Webshell）。當(dāng)然了，要是空間支持其它腳本，大可以添加上傳jsp后門哦。如果要添加asp后門也是有辦法的，雖然“禁止擴(kuò)展名”里禁止了上傳asp。但是我們可以先把禁止了的asp刪除掉，然后再參照添加inc擴(kuò)展名的方法添加即可。
除了這個(gè)方法可以拿到Webshell外，還有一個(gè)稍為復(fù)雜點(diǎn)的方法。這個(gè)方法同樣局限性也很大，因?yàn)橐笳搲褂镁哂衦oot權(quán)限的MySQL用戶名和密碼才可以成功！
具體操作步驟如下（以本機(jī)架設(shè)的測(cè)試論壇舉例說(shuō)明）：
1、先使用管理員用戶名和密碼登錄后臺(tái)；
2、在瀏覽器中訪問(wèn)http://127.0.0.1/admin/admin_disallow.php?setmodules=00（會(huì)看到空白頁(yè)面）；
3、在后臺(tái)找到“總體管理”—“備份數(shù)據(jù)庫(kù)”，執(zhí)行備份數(shù)據(jù)庫(kù)操作（備份完畢會(huì)自動(dòng)彈出下載窗口，下載保存本地即可）；
4、復(fù)制備份文件另存一份（用于導(dǎo)出Webshell后恢復(fù)論壇），使用記事本打開下載回來(lái)的數(shù)據(jù)庫(kù)文件phpbb_db_backup.sql，查找關(guān)鍵字 ●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES●，一共有兩處！●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES●后面的內(nèi)容會(huì)根據(jù)情況而有所不同。比如我這里是●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES('1'， '測(cè)試分區(qū)'， '10');●；
5、把 ●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES('1'， '測(cè)試分區(qū)'， '10');●改為●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES('1'， ''， '10');SELECT cat_title INTO OUTFILE 'D://Program Files//VertrigoServ//www//shell.php' FROM phpbb_categories where cat_id=1;●，保存即可。簡(jiǎn)單的解釋一下，“D://Program Files//VertrigoServ//www//shell.php”是導(dǎo)出Webshell的絕對(duì)路徑（即為我本機(jī)的論壇安裝目錄），這個(gè)方法是利用數(shù)據(jù)庫(kù)操作實(shí)現(xiàn)的，先往一個(gè)已存在的表段里插入PHP一句話后門，然后再使用“SELECT 表段名 INTO OUTFILE”導(dǎo)出到論壇目錄，從而得到Webshell（要注意的是里面的絕對(duì)路徑一定要把/替換成//，否則不可以成功，而*nix類系統(tǒng)使用/連結(jié)路徑）；
6、在后臺(tái)找到“總體管理”—“恢復(fù)數(shù)據(jù)庫(kù)”，瀏覽選中剛才改好的備份文件phpbb_db_backup.sql，然后點(diǎn)擊“開始恢復(fù)”，恢復(fù)完畢后一般會(huì)看到一些錯(cuò)誤，不必理會(huì)，過(guò)會(huì)兒會(huì)恢復(fù)就是了；
7、使用一句話客戶端連接http://127.0.0.1/shell.php，得到簡(jiǎn)易的Webshell；
8、參照第6步，使用未修改過(guò)的phpbb_db_backup.sql恢復(fù)論壇數(shù)據(jù)（要是不恢復(fù)，論壇會(huì)出錯(cuò)）！
至此就順利得到了Webshell，就是操作上有點(diǎn)繁瑣。接下來(lái)怎么玩就是你自己的事了，嘿嘿……喜歡的話就上傳大馬什么的，然后提權(quán)……由于我本機(jī)架設(shè)的 PHP環(huán)境沒有做權(quán)限設(shè)置，是可以直接執(zhí)行系統(tǒng)命令的。這種辦法麻煩了點(diǎn)，而且要求的權(quán)限的也非常特殊，倘若論壇使用的并不是root權(quán)限的用戶，不可以調(diào)用“SELECT 表段名 INTO OUTFILE”，將無(wú)法成功導(dǎo)出Webshell。還有一個(gè)就是要得到絕對(duì)路徑，這個(gè)倒是好辦，直接在論壇訪問(wèn)地址后面加上 db/oracle.php，回車即可暴出論壇的絕對(duì)路徑。
這是利用了PHPBB的另一個(gè)暴絕對(duì)路徑的漏洞。至于其它更完美的在后臺(tái)得到Webshell的辦法，由于本人技術(shù)十分有限，研究數(shù)天也沒有找到太通用的拿Webshell方法，實(shí)在是美中不足！如有任何問(wèn)題請(qǐng)到X官方論壇發(fā)帖共同探討。
來(lái)源：紅訊頻道