网络安全-LD_PRELOAD，请求劫持

一、环境

二、开始做题

三、总结原理

四、如何防护

一、环境

我们这里用蚁剑自带的靶场第一关来解释

docker制作一下即可

二、开始做题

首先环境内很明显给我们已经写好了webshell

同样我们也可以访问到

我们使用这个蚁剑把这个webshell连上

我们发现命令不能执行，系统命令被禁用掉了

我们可以写一个phpinfo

看一下禁用函数，基本上它全都禁用了包括system，并且mail函数都禁用了，（正常来说php不能禁用mail【创建新进程调用sedmail，调用系统服务getuid】put_env【环境变量LD_PRELOAD】，error_log）但没禁用error_log这个函数，所以还是有漏网之鱼的

	pcntl_alarm,pcntl_fork,pcntl_waitpid,pcntl_wait,pcntl_wifexited,pcntl_wifstopped,pcntl_wifsignaled,pcntl_wifcontinued,pcntl_wexitstatus,pcntl_wtermsig,pcntl_wstopsig,pcntl_signal,pcntl_signal_get_handler,pcntl_signal_dispatch,pcntl_get_last_error,pcntl_strerror,pcntl_sigprocmask,pcntl_sigwaitinfo,pcntl_sigtimedwait,pcntl_exec,pcntl_getpriority,pcntl_setpriority,pcntl_async_signals,exec,shell_exec,popen,proc_open,passthru,symlink,link,syslog,imap_open,dl,mail,system

去蚁剑插件市场

可以加载系统进程error_log写入进程后执行,但是我们必须依赖sendmail

如果对方没有sendmail，我们用的是__attribute__(__)bypass_disable_function ，这种方法只要能创建新进程就可以劫持

bypass disable_function总结学习 - tr1ple - 博客园 (cnblogs.com)

我们用插件上传脚本，其实就是我之前写的流量转发脚本

创建副本，文件名修改后重新连接

虚拟终端可以执行

它的原理依然是加载.so文件

其实执行的就是这个，意思也就是转发到一个新的php进程上面，-n我不在使用php.ini，-s创建一个新的webserve

最终

三、总结原理

首先disable_function不能禁用mail和error_log这两个函数，因为putenv可以创建环境变量，可以把LD_PRELOAD环境变量创建出来，加载我们创建的一个.so文件，而我们的mail函数在执行的时候会创建一个新进程调用sendmail，sendmail会创建系统服务getuid，而我们创建的恶意的.so文件恰好就劫持了mail调用诸多函数的其中一个比如getuid，会提前执行我们的恶意函数，自然也就执行了