在上一篇《PHP+MySQL注入導(dǎo)出文件的新發(fā)現(xiàn)——附帶IPB2的漏洞利用》，利用IPB2的注入漏洞獲得管理員的資料，修改COOKIE可以得到前臺(tái)的管理權(quán)限。不少人埋怨沒有什么用，其實(shí)這個(gè)是大多數(shù)人不了解IPB2的原因。

　　因?yàn)檫^濾了很多特殊字符，包括單引號(hào)，全部轉(zhuǎn)為十進(jìn)制了。

　　其實(shí)充分發(fā)揮一下想象力。也是有可能拿到后臺(tái)管理員或者webshell的，注意，是可能，因?yàn)檫@個(gè)并不是通殺的，為什么不是通殺的，往下看就知道了。

　　我也不多說了。對(duì)于這個(gè)，我看最直接的目的就是看MYSQL的連接信息。怎么看?讀文件唄!

　　我想不管是讀文件和上傳，這個(gè)注入漏洞都給我們提供了最直接的條件，如果了解IPB2的人就應(yīng)該知道。上傳的目錄是保存數(shù)據(jù)庫里的，因此。我們根本不需要怎么提交、不需要構(gòu)造什么變量去報(bào)錯(cuò)暴路徑，IPB2也沒有這個(gè)條件去暴這些信息。就算出錯(cuò)也只返回特定的信息。

　　IPB2的上傳目錄的路徑是保存在ibf_conf_settings表里，所以我們可以構(gòu)造SQL語句，把這個(gè)路徑給直接反饋到眼前。

　　這樣是讀取id為1的用戶的密碼散列，同樣的，我們?nèi)绻峤唬?/p>

　　就會(huì)返回上傳目錄的絕對(duì)路徑：

　　不過，默認(rèn)應(yīng)該是這樣可以了的，但是如果管理員把conf_id改變的話，可能就不是59了。這時(shí)我們直接提交：

　　因?yàn)閏onf_key為upload_dir的相對(duì)應(yīng)的conf_value就是上傳目錄的絕對(duì)路徑，但是因?yàn)槭亲址?，我們不能用單引?hào)，只能轉(zhuǎn)換為10進(jìn)制或者16進(jìn)制，char(117, 112, 108, 111, 97, 100, 95, 100, 105, 114)就等于“upload_dir”，所以也會(huì)返回絕對(duì)路徑。

　　有了絕對(duì)路徑能做什么呢?知道可以允許寫的目錄在哪了。知道MYSQL連接文件在哪了，還等什么?讀文件吧。假設(shè)上面的，我們的目錄是“h:/www/ipb2/”，那么連接文件就是“h:/www/ipb2/conf_global.php”，轉(zhuǎn)換為10進(jìn)制或者16進(jìn)制，提交：

　　文件就出來了：

　　注意注意!剛才說了，不是通殺的，有兩個(gè)條件：

　　要讀出文件，連接MYSQL的這個(gè)用戶，一定要擁有FILE的權(quán)限。這個(gè)是最根本的。

　　條件1具備以后，要更進(jìn)一步操作，MYSQL必須允許遠(yuǎn)程連接，這樣insert一個(gè)后臺(tái)管理員，還是into outfile都隨便你了。

　　本文完全是技巧和思路的文章，沒有多大技術(shù)含量，都是老技術(shù)了，如果你不了解IPB2，也不知道在數(shù)據(jù)庫里放有絕對(duì)路徑吧?

(本文由責(zé)任編輯 pasu  整理發(fā)布)

最新評(píng)論