用户
搜索

该用户从未签到

i春秋签约作家

Rank: 7Rank: 7Rank: 7

4

主题

81

帖子

181

魔法币
收听
0
粉丝
1
注册时间
2017-4-15

i春秋签约作者

发表于 2017-8-5 11:37:13 466815
本帖最后由 jasonx 于 2017-8-5 12:25 编辑

前言:前两天发现一个BBS社区有解析漏洞,但是注册账号以后发现普通会员没有上传图片权限,只有头像处可以传,但抓不到路径就放弃了,今天想起来就继续研究了下。



0x00:解析漏洞的验证方法

找到一张图片的url地址,然后在后面加上/.php看看是否乱码,如果出现乱码就是存在解析漏洞。
简单来说,就是通过在jpg图片的后面加上/.php以后,jpg图片会被解析成php程序。(如下图)


解析报错.jpg


0x01:尝试突破

首先在头像上传处上传图片,但是没抓到图片的url地址。
然后找各种地方能传图片的都试过了,没权限发帖、传图片、写日志,这就尴尬了,难道就这样放弃啦?


头像上传.jpg


0x02:重新整理思路

我点开论坛看能发帖的高级会员账号,并对一些数字和字母的账号尝试弱口令登录,最终还是失败…..
突然灵光一闪,有个想法,既然自己撸不了图片上去,何不让能发帖的人帮我传上去呢。

会员列表.jpg


0x03:前方高能

开始在论坛随机找了一个高级会员,这位妹子发帖,还附上了本尊照片。
抱歉,忍不住对着照片撸了一发。 表情.jpg

虽然你身材脸蛋都不错,但是很抱歉,我今天不是来学车的,本老司机今天是来飙车的。
111.jpg



0x04:套路开始

我添加了妹子的QQ,然后开始套她账号给我发个帖子,但是妹子挺机智的,就是不给。
聊天2.jpg
聊天3.jpg
聊天4.jpg

最终妹子答应帮我发帖,机会来了,老司机今天这车是飙定了。

0x05:生成图片马

通过生成图片马后发送给对方,然后让她帮我上传发帖。
图片和一句话的合并命令如下
[AppleScript] 纯文本查看 复制代码
copy maomi.jpg /b + php.php /b tpm.jpg


找一张正常的图片,然后新建一个一句话的文件。
图片马演示.jpg


图片马生成成功后,通过查看代码的最后,可以看到被插入到图片的一句话。
图片马成功.jpg


0x06:飙车成功

大概等了10多分钟我她告诉我帖子已经发了,还给我发了链接。
ok.jpg


然后我通过拷贝图片url得到shell地址。
在xise里面输入图片地址/.php后,成功拿到webshell。

菜刀.jpg

站长查询.jpg

总结:一些常规的方法撸不下的时候,可以尝试下野路子。


评分

参与人数 2魔法币 +5 收起 理由
a包子 + 3 鼓励转贴优秀软件安全工具和文档!.
z7788520 + 2 我今天不是来学车的,老司机今天是来飙车的.

查看全部评分

本帖被以下淘专辑推荐:

阿甫哥哥 管理员 i春秋最帅男神-阿甫大哥哥 楚 核心白帽 i春秋签约作者 白帽传说 春秋游侠 秦 燕 魏
来自 47#
发表于 昨天 22:22
文章奖励介绍及评分标准:http://bbs.ichunqiu.com/thread-7869-1-1.html,如有疑问请加QQ:286894635!
奖金
点评
100
思路奇特,路子野,不错


Time will give me the answer
使用道具 举报 回复

一开始多找几个目录下的图片测试下能不能解析就知道了,我这个在发帖的内容区测试过其他人的图片了,可以解析成php的。
使用道具 举报 回复
楼主有妹子应该要共享你说呢,另外楼主你的论坛地址到底是多少啊哈哈哈哈我表示疑惑..不得不说楼主的打码技术就是高明 397.jpeg
使用道具 举报 回复
中国之利刃 发表于 2017-8-8 12:25
完全不靠谱
看看这个就是 按照方法,结果没用,试过很多论坛 都不行 ...

求介绍,这个妹子是,微信多少
使用道具 举报 回复
发表于 2017-8-6 08:55:35
网络攻防黄皮子 发表于 2017-8-6 01:57
为何头像url抓不到?右击查看图片啊,兄弟

dz的头像,你右键能看到地址?
还有这种操作?
使用道具 举报 回复
by天天 发表于 2017-8-8 11:25
要毛线shell,要妹子啊。 有了妹子还害怕没有shell???

微信都加上了,妹子辣么单纯,当然是约一波咯。
使用道具 举报 回复
发表于 2017-8-5 11:39:32
黑客。
使用道具 举报 回复
漏点~~
使用道具 举报 回复
发表于 2017-8-5 11:52:14
前排围观
静静的看你们装逼
使用道具 举报 回复
发表于 2017-8-5 11:55:39
一看你就是个飙车老司机      哈哈
xss  交流群602221356  接收XSS爱好者
使用道具 举报 回复
发表于 2017-8-5 13:32:01
黑客
来啊~快活啊~
使用道具 举报 回复
发表于 2017-8-5 17:08:36
你这样对得起那个美女吗
使用道具 举报 回复
发表于 2017-8-5 19:13:56

前排围观
使用道具 举报 回复
发表于 2017-8-5 21:12:35
你这样对得起那个美女吗
使用道具 举报 回复
发表于 2017-8-6 01:57:58
为何头像url抓不到?右击查看图片啊,兄弟
使用道具 举报 回复
学到了老司机。
使用道具 举报 回复
发表于 2017-8-7 15:22:19
本帖最后由 GXNET_1 于 2017-8-7 07:27 编辑

可以
../.-../---/...-/./-.--/---/..-至死不渝  [ I春秋首席文艺范儿 ]
使用道具 举报 回复
发表于 2017-8-7 15:56:42
动不动就飙车,稳
使用道具 举报 回复
发表于 2017-8-7 16:12:53
违规了,这是撩妹技能,不算日站技能
反正比你帅~
使用道具 举报 回复
1234下一页
发新帖
您需要登录后才可以回帖 登录 | 立即注册