【护网】某站群通杀getshell 审计过程

luozhenni

【护网】某站群通杀getshell 审计过程   

原文链接：【护网】某站群通杀getshell 审计过程
暗月大徒弟                  moonsec       2023-06-04 09:55 发表于广东  

免责声明：本公众号所提供的文字和信息仅供学习和研究使用，不得用于任何非法用途。我们强烈谴责任何非法活动，并严格遵守法律法规。读者应该自觉遵守法律法规，不得利用本公众号所提供的信息从事任何违法活动。本公众号不对读者的任何违法行为承担任何责任。
第一步 明确需求 再进行漏洞挖掘

明确要挖的漏洞类型：必须getshell，那就只有任意命令执行、任意代码执行等其他漏洞在ConfigController.class.php有个任意文件上传漏洞：

1. public function avatar(){
   
2. 
   
3.        $user = session('user_auth');
   
4. 
   
5.        if ( IS_POST ) {
   
6. 
   
7.            $result = array();
   
8. 
   
9.            $result['success'] = false;
   
10. 
    
11.            $success_num = 0;
    
12. 
    
13.            $msg = '上传失败';
    
14. 
    
15.            //上传目录
    
16. 
    
17.            $dir = "./Uploads/Avatar/".setavatardir($user['uid']);
    
18. 
    
19.            // 处理原始图片开始------------------------------------------------------------------------>
    
20. 
    
21.            //默认的 file 域名称是__source，可在插件配置参数中自定义。参数名：src_field_name
    
22. 
    
23.            $source_pic = $_FILES["__source"];
    
24. 
    
25.            $filename = 'avatar_';
    
26. 
    
27.            //如果在插件中定义可以上传原始图片的话，可在此处理，否则可以忽略。
    
28. 
    
29. if ($source_pic){
    
30. 
    
31.                if ( $source_pic['error'] > 0 ){
    
32. 
    
33.                    $msg .= $source_pic['error'];
    
34. 
    
35.                }else{
    
36. 
    
37.                    //原始图片的文件名，如果是本地或网络图片为原始文件名、如果是摄像头拍照则为 *FromWebcam.jpg
    
38. 
    
39.                    $sourceFileName = $source_pic["name"];
    
40. 
    
41.                    //原始文件的扩展名(不包含“.”)
    
42. 
    
43.                    $sourceExtendName = substr($sourceFileName, strripos($sourceFileName, "."));
    
44. 
    
45.                    //保存路径
    
46. 
    
47.                    $savePath = $dir."/".$filename."real".$sourceExtendName;
    
48. 
    
49.                    //当前头像基于原图的初始化参数（只有上传原图时才会发送该数据，且发送的方式为POST），用于修改头像时保证界面的视图跟保存头像时一致，提升用户体验度。
    
50. 
    
51.                    //修改头像时设置默认加载的原图url为当前原图url+该参数即可，可直接附加到原图url中储存，不影响图片呈现。
    
52. 
    
53.                    $init_params = $_POST["__initParams"];
    
54. 
    
55.                    $result['sourceUrl'] = $savePath.$init_params;
    
56. 
    
57.                    move_uploaded_file($source_pic["tmp_name"], $savePath);
    
58. 
    
59.                    $success_num++;
    
60. 
    
61.                }
    
62. 
    
63.            }
    
64. 
    
65.            //处理原始图片结束处理头像图片开始
    
66. 
    
67.            //头像图片(file 域的名称：__avatar1,2,3...)。
    
68. 
    
69.            $avatars = array("__avatar1", "__avatar2", "__avatar3");
    
70. 
    
71.            $avatars_length = count($avatars);
    
72. 
    
73.            for ( $i = 0; $i < $avatars_length; $i++ ){
    
74. 
    
75.                $avatar = $_FILES[$avatars[$i]];
    
76. 
    
77.                $avatar_number = $i + 1;
    
78. 
    
79.                $avatar_name = array(
    
80. 
    
81.                    '1' => 'big',
    
82. 
    
83.                    '2' => 'middle',
    
84. 
    
85.                    '3' => 'small',
    
86. 
    
87.                );
    
88. 
    
89.                if ( $avatar['error'] > 0 ){
    
90. 
    
91.                    $msg .= $avatar['error'];
    
92. 
    
93.                }else{
    
94. 
    
95.   $savePath = "$dir" .$filename.$avatar_name[$avatar_number]. ".jpg";
    
96. 
    
97.                    $result['avatarUrls'][$i] = $savePath;
    
98. 
    
99.                    move_uploaded_file($avatar["tmp_name"], $savePath);
    
100. 
     
101.                    $success_num++;
     
102. 
     
103.                }
     
104. 
     
105.            }
     
106. 
     
107. 
     
108.            $result['msg'] = $msg;
     
109. 
     
110.            if ($success_num > 0){
     
111. 
     
112.                $result['success'] = true;
     
113. 
     
114.            }           //返回图片的保存结果（返回内容为json字符串）
     
115. 
     
116.            echo json_encode($result);
     
117. 
     
118.        }else{
     
119. 
     
120.            $avatar = avatar($user['uid'],'real');
     
121. 
     
122.            $data = array(
     
123. 
     
124.                'avatar' => $avatar,
     
125. 
     
126.            );
     
127. 
     
128.            $this->assign($data);
     
129. 
     
130.            $this->display();
     
131. 
     
132.        }
     
133. 
     
134. }

复制代码

可以看到下面那个是不行的因为不管你上传什么都会给你拼接.jpg后缀，但是通过上面那一串可以看到他在执行下面这行代码的时候就已经把原文件上传了。然后要找到这个控制器路由：

​

这个控制器属于User的，User前台已经删了，但是后端代码还能访问：http://xxxx.com.cn/index.php/User/Config/avatar当你直接访问这个控制器会报错，让你登录，因为这个功能是需要登录才可以访问的：

​

所以我们的思路是先注册或者想个其他办法弄个前台用户，然后请求登录接口获取cookie，然后替换cookie在访问这个文件上传功能，但是这里前台页面已经删除了，而且前台的控制器已经关闭了注册，我们可以看看：

​
继续跟进：

​
继续跟进：

​
到这里就结束退出了。所以我们要么寻找其他漏洞，要么找个前台用户，要么找找越权等。这里我们看看有文件上传的那个控制器：

​
他是继承UserController，跟进看看这个控制器：

​
这里可以看到如果uid不存在的话就会登录失败，只要uid存在就可以绕过身份认证，我们继续跟进看看FrontController控制器的_initialize()方法：

​
只是做了一个检查，不影响总体功能。所以我们只要在请求里加一个uid就可以绕过，达到任意文件上传了：

​