.png.c9b8f3e9eda461da3c0e9ca5ff8c6888.png)
私は誤ってThinkPhpのほうれん草のサイトを発見しました。最近TPに抜け穴はありませんでしたか？
それから私はそれをさりげなくテストしましたが、プロセスはそれほどスムーズではありませんでしたが、ついに勝ちましたので、私は自分のアイデアを共有するためにこの記事を投稿しました。
0x00ワンクリックゲッシェル
短い見方の後、多くの人がプレイするはずですよね？
数日前、私はテストツールを書き、最初にテストするためにそれを取り出しました。
このツールは脆弱性を示しています
ワンクリックゲッシェル、非常に滑らかに見えます、ハハ。
しかし. Xiao Mingは髪を振って、物事が単純ではないことを発見しました。
包丁が接続されている場合、500のエラーが返されます。
FirefoxのHackbarを使用して確認しました。それには何の問題もないので、なぜ包丁をつなげることができないのですか？
ケチな人として、私は深い考えに陥らざるを得ませんでした.
0x01開始分析
私はこのツールを自分で書いたので、上記の写真から3番目の経験が呼ばれていることを発見したので、それを分析して見てみましょう。
次のようにPOC
/？s=index/\ think \ app/invokefunctionfunction=call_user_func_arrayvars [0]=systemvars [1] []=dir
POCの後にWhoamiを入力して、権限を確認しましょう。
/？s=index/\ think \ app/invokeFunctionFunction=call_user_func_arrayvars [0]=systemvars [1] []=whoami
IIS許可
ただし、Echo Dirなど、一部のコマンドを実行できます。
0x02シェルを突破してみてください
エコーを実行できるので、ポニーを書くことができます。それが成功した場合、私たちはポニーを使用してポニーをアップロードしてそれを行い、それを言うとすぐにそれを行います。大変な作業が来たら、列に並んで書かなければなりません。
注：コードのシンボルは^^で逃げる必要があります。たとえば、PHPは^^？phpに逃げました
行ごとの執筆が完了した後、アクセスするときに正常に実行できないことがわかりました。ここでスクリーンショットを撮るのを忘れました。
次に、次の方法を使用してファイルをサーバーにダウンロードしようとしましたが、失敗しました。
私があきらめようとしていたとき、私はまだ役に立たないダウンロードコマンドがあったことを思い出しました。
それはcertutil.exeです
それを行うだけで、マレーシアをサーバーに置き、HFSを有効にしてください。
次に、次のコマンドを実行します。
はマレーシアに成功しましたが、あまりにも早く幸せにならないでください。
Xiao Mingは再び髪を振って、物事がさらに難しいことを発見しました.
マレーシアはファイルのアップロードを操作して名前を変更するなどしますが、ファイルを編集できず、ファイルソースコードなどを表示できません。クリックして空白スペースを表示します。
そうなので、データベースに行き、見てみましょう。
TPのデータベース構成ファイルが次の場所にあることは誰もが知っています
/application/database.php
マレーシアを開くことができないため、TPコマンドを使用して脆弱性を実行し、Typeコマンドを使用してこのファイルを読み取ることができます。
/？s=index/think\app/invokefunctionfunction=call_user_func_arrayvars [0]=systemvars [1]
読み取りの試みは失敗し、コピーコマンドが頭に浮かぶようになりました。
database.phpをWebルートディレクトリにコピーし、名前を1.txtに変更します
/？s=index/think\app/invokefunctionfunction=call_user_func_arrayvars [0]=systemvars [1]]
コピーした後、URL/1.TXTにアクセスして、それが空であることがわかります。
0x03成功したブレークスルー
一連の障害を経験した後、私は落ち着いて考えました。また、File_Pathを使用してソースコードを読み取ることもできます。
DAMAを使用して、このファイルをルートディレクトリにアップロードしてからアクセスし、データベース構成情報を正常に取得します。
次に、構成情報を入力してデータベースを入力します。
この記事が書かれた夜遅くすでにありました。私はテーブルの上でインスタント麺の半分を食べたインスタント麺を見て、最後に2杯のスープを飲み、電話をオフにして寝ました.
元のリンクから転載：https://www.jiansshu.com/p/1f9b02780f1c