建立在ThinkPHP的两个CMS体系后台的GetShell运用

ThinkPHP是为了简化企业级使用拓荒和敏捷WEB使用拓荒而诞生的,由于其简略易用,许多cms都根据该结构改写。可是 Thinkphp在缓存使用却存在缺陷,天然生成缓存时,Thinkphp会将数据序列化存进一...

ThinkPHP是为了简化企业级使用拓荒和敏捷WEB使用拓荒而诞生的,由于其简略易用,许多cms都根据该结构改写。可是 Thinkphp在缓存使用却存在缺陷,天然生成缓存时,Thinkphp会将数据序列化存进一个php文件,这就产生了很大的网安效果。
0×01 状况建立
目标
phpstudy
http://www.phpstudy.net/phpstudy/phpStudy20191103.zip
Jymusic cms
http://www.jyuu.cn/topic/t/41
xyhcms
https://pan.baidu.com/s/1qYhTKc8
建立
设备好phpstudy,把jymusic目次下的全部文件及文件夹拷贝到phpstudy的www目次下,浏览器访问http://localhost/install.php,然后设置配备铺排一下数据库信息便可。


其他xyhcms设备类似,这儿不赘述。
0×02当地后台getshell
Jymusic cms
先看一下管理员登录页面的源代码,看到焦点进口为ThinkPHP.php,找到并关上查看

创造使用缓存目次为Temp文件夹

关上Temp文件夹会创造有许多缓存文件,我们随意关上便可看看,可以创造里边的内容有点像网站设置配备铺排信息,只不过是序列化后的效果


所以我们在后台的网站设置处拔出一句话,就会被ThinkPHP写入缓存文件。而且这个缓存文件的文件名都是固定不变的,这也是引起getshell的原因原由。



成功拔出后,我们来运转一下phpinfo()函数看看,菜刀也能成功联接




xyhcms
xyhcms和Jymusic cms相同使用了ThinkPHP结构,这儿不赘述,直接给出缓存文件的位置


xyhcms真实还有一个缝隙漏洞bug,在模板管理处可以添加一个php后缀的模板,文件内容也未做任何检测过滤。上面是成功getshell进程


0×03总结
真实现在许多小型网站都是根据ThinkPHP结构拓荒的,许多都存在这类效果。当你找不到上传点的时间,可以尝尝这类方法。当然,确认有人会说,这个要后台登录才能使用,你仅仅在当地复现,都没实战过,说个锤子。真实,我还真的实战过,仅仅不方便贴图,使用弱口令做暗码照样挺多的,所以锤子未必不可用。还有,有的网站,当然说你用很简略的方法getshell,然则真实可以研讨的器械还有许多,比方你getshell今后创造权限不足,那就可以尝尝提权,例如用udf提权、使用mysql远程联接联合sqlmap提权等等,当然有些方法很早就有了,然则并非每个人都邑,而且一些老的思绪还有或许启迪你新的思虑,承继加油吧!

  • 发表于 2021-04-08 11:43
  • 阅读 ( 311 )
  • 分类:互联网

0 条评论

请先 登录 后评论
小周豪
小周豪

674 篇文章

你可能感兴趣的文章

相关问题