PHPBB 2.0.22 MOD版最新注入漏洞
您當(dāng)前位置：首頁 > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-01-17
然后在前臺發(fā)帖或編輯帖子來上傳附件，上傳擴展名為inc的PHP后門，再在預(yù)覽里找到Webshell的訪問路徑即可得到Webshell（在預(yù)覽里直接點擊附件名即可打開Webshell）。當(dāng)然了，要是空間支持其它腳本，大可以添加上傳jsp后門哦。如果要添加asp后門也是有辦法的，雖然“禁止擴展名”里禁止了上傳asp。但是我們可以先把禁止了的asp刪除掉，然后再參照添加inc擴展名的方法添加即可。
除了這個方法可以拿到Webshell外，還有一個稍為復(fù)雜點的方法。這個方法同樣局限性也很大，因為要求論壇要使用具有root權(quán)限的MySQL用戶名和密碼才可以成功！
具體操作步驟如下（以本機架設(shè)的測試論壇舉例說明）：
1、先使用管理員用戶名和密碼登錄后臺；
2、在瀏覽器中訪問http://127.0.0.1/admin/admin_disallow.php?setmodules=00（會看到空白頁面）；
3、在后臺找到“總體管理”—“備份數(shù)據(jù)庫”，執(zhí)行備份數(shù)據(jù)庫操作（備份完畢會自動彈出下載窗口，下載保存本地即可）；
4、復(fù)制備份文件另存一份（用于導(dǎo)出Webshell后恢復(fù)論壇），使用記事本打開下載回來的數(shù)據(jù)庫文件phpbb_db_backup.sql，查找關(guān)鍵字 ●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES●，一共有兩處！●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES●后面的內(nèi)容會根據(jù)情況而有所不同。比如我這里是●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES('1'， '測試分區(qū)'， '10');●；
5、把 ●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES('1'， '測試分區(qū)'， '10');●改為●INSERT INTO phpbb_categories (cat_id， cat_title， cat_order) VALUES('1'， ''， '10');SELECT cat_title INTO OUTFILE 'D://Program Files//VertrigoServ//www//shell.php' FROM phpbb_categories where cat_id=1;●，保存即可。簡單的解釋一下，“D://Program Files//VertrigoServ//www//shell.php”是導(dǎo)出Webshell的絕對路徑（即為我本機的論壇安裝目錄），這個方法是利用數(shù)據(jù)庫操作實現(xiàn)的，先往一個已存在的表段里插入PHP一句話后門，然后再使用“SELECT 表段名 INTO OUTFILE”導(dǎo)出到論壇目錄，從而得到Webshell（要注意的是里面的絕對路徑一定要把/替換成//，否則不可以成功，而*nix類系統(tǒng)使用/連結(jié)路徑）；
6、在后臺找到“總體管理”—“恢復(fù)數(shù)據(jù)庫”，瀏覽選中剛才改好的備份文件phpbb_db_backup.sql，然后點擊“開始恢復(fù)”，恢復(fù)完畢后一般會看到一些錯誤，不必理會，過會兒會恢復(fù)就是了；
7、使用一句話客戶端連接http://127.0.0.1/shell.php，得到簡易的Webshell；
8、參照第6步，使用未修改過的phpbb_db_backup.sql恢復(fù)論壇數(shù)據(jù)（要是不恢復(fù)，論壇會出錯）！
至此就順利得到了Webshell，就是操作上有點繁瑣。接下來怎么玩就是你自己的事了，嘿嘿……喜歡的話就上傳大馬什么的，然后提權(quán)……由于我本機架設(shè)的 PHP環(huán)境沒有做權(quán)限設(shè)置，是可以直接執(zhí)行系統(tǒng)命令的。這種辦法麻煩了點，而且要求的權(quán)限的也非常特殊，倘若論壇使用的并不是root權(quán)限的用戶，不可以調(diào)用“SELECT 表段名 INTO OUTFILE”，將無法成功導(dǎo)出Webshell。還有一個就是要得到絕對路徑，這個倒是好辦，直接在論壇訪問地址后面加上 db/oracle.php，回車即可暴出論壇的絕對路徑。
這是利用了PHPBB的另一個暴絕對路徑的漏洞。至于其它更完美的在后臺得到Webshell的辦法，由于本人技術(shù)十分有限，研究數(shù)天也沒有找到太通用的拿Webshell方法，實在是美中不足！如有任何問題請到X官方論壇發(fā)帖共同探討。
來源：紅訊頻道