别致的上传思路导致getshell的案例

左手的ㄟ右手 2022-10-16 15:28 183阅读 0赞

## **0x01 前言** ##

在某次授权的项目中，客户只要getshell漏洞，经过一番折腾，最后成功拿下shell，完成项目交付，本文将过程和遇到的问题和一些小tips分享给大家。

## **0x02 SQL注入** ##

经过资产收集，在资产中，找到某个子域名，打开就是个登录框

![图片][8b28a574551e5b3ddb7cd65fbdcf2b2f.png]

输入手机号和密码，验证码进行登录，结果数据包中并没有验证码，2333

随手加上' 居然报错了，存在mysql的注入，还报错了物理路径，还有密码列名为usepwd(后面有用到)

![图片][47f50dbeb3cc9f52e0867154dc23bb2a.png]

要是root权限是不是就美滋滋了，结果多想了，不是root权限.

尝试了用or '1'='1也没成功登录，只能老老实实去注入查账号密码，然后登录进去看看有没有其他点可以拿shell。

手工看后没有过滤，可以使用select from,那跑数据还是交给sqlmap吧。

按照步骤，跑库，跑表。

![图片][dae686980d26177475ec6797c54b285b.png]

可是这个数据库是通用的，表名就有400多个，带User关键字的都有20多个。

尝试了表名locus\_user

![图片][91eb69a0bec156b1407e65d3cfe8e7a1.png]

跑出来的账号密码，账号不是手机号，密码也登陆不上。

就跑第二个，第三个，都不对。

想了想，登录后还不知道有没有其他点能用，注入

一直这么跑，有些表也很大，也很敏感，就不敢跑了，关机睡觉，第二天换其他子域名去看

但是第二天下午还是想看看能不能搞下来，就继续看这个站

回过头来想到`userpwd`的字段，mysql也有存储了表和列结构  
想到直接查那些表名有userpwd的字段

select * from information_schema.columns where column_name = 'userpwd'

直接----sql-shell去执行，这次只得到三个表名

![图片][214c564f2f063dcc393129d9228382b1.png]

最终在coupon\_user获得账号密码

133xxxx3333/xxxx

## **0x02文件上传** ##

使用账号密码直接登录

在后台一堆找，都是查询，有个活动编辑的功能，里面有上传图片

![图片][bebe007fc847bd9e0d6e0f1766984424.png]

直觉告诉我这里可以shell，兴高采烈的上传抓包:

![图片][90930043bf105aa45a9fd3b3593cf303.png]

结果上传接口为uploader/uploadTencentCloud,文件保存到TencentCloud，没保存在本地，这也没办法shell啊

不甘心找其他上传的地方，如下:

![图片][dfe266bf9675990037e60dba85354040.png]

还是上传在腾讯云，整个站都使用的uploadTencentCloud的接口上传。

陷入僵局，冷静思考了一下理一理思路，

上传腾讯云，上传名字也叫uploadTencentCloud,会不会是开发新开发的接口，怕服务器保存图片太多了，专门开发的接口。

会不会存在upload的方法。

直接尝试一下

![图片][52cb9571df4946ed33d2d354eb3040be.png]

真被我猜中了，存在`upload`的上传接口

为了验证自己的想法，尝试了其他站，有些站也有这个小问题，开发不删除原接口，根据业务要求直接写了新接口，修改了前端。

尝试将uploader/uploadTencentCloud改成uploader/upload

![图片][e4e063ebfc010401f0c01e735f812af2.png]

成功上传到本地，喜出望外，盲猜一手文件存在了upload目录

![图片][2f8b8f9d9896b419f7176eb1fecb097f.png]

成功getshell

## **技术总结** ##

**1.当mysql注入数据库里表名很多，找不到列名时，可根据报错的列名或者参数值去查询表名;**

**2.遇到二次开发的上传接口，如uploadTX、uploadOSS、uploadS3时，可尝试uploa接口是否存在。**

[8b28a574551e5b3ddb7cd65fbdcf2b2f.png]: /images/20221014/9e7b23b8b3c04286b32129b6fb57870a.png
[47f50dbeb3cc9f52e0867154dc23bb2a.png]: /images/20221014/3944df6146e446ee9ee655cf948be4d5.png
[dae686980d26177475ec6797c54b285b.png]: /images/20221014/40545bf83fd44cc68031c0298cdbe26e.png
[91eb69a0bec156b1407e65d3cfe8e7a1.png]: /images/20221014/50057f3aa07b4a64b6d4f6fd904af967.png
[214c564f2f063dcc393129d9228382b1.png]: /images/20221014/0039e53f25d8485ba6da2ca148ab1fe8.png
[bebe007fc847bd9e0d6e0f1766984424.png]: /images/20221014/fffa7f3f26554dd1b8d15d8491edb27b.png
[90930043bf105aa45a9fd3b3593cf303.png]: /images/20221014/bd5aa7df377c4b9896ec76fcd3a93d51.png
[dfe266bf9675990037e60dba85354040.png]: /images/20221014/0c3f95b8dc654630ab2f810383ef467e.png
[52cb9571df4946ed33d2d354eb3040be.png]: /images/20221014/c967b8d04699474da7901412e4a6b940.png
[e4e063ebfc010401f0c01e735f812af2.png]: /images/20221014/bdfdcfb0e4984025bfab08b39bd53a60.png
[2f8b8f9d9896b419f7176eb1fecb097f.png]: /images/20221014/f50f318f0c674fc8bccc3496e917c3db.png