Dle 9 + web shell

[Brett Hagen]

Пролез все таки в админку Dle Engine 9 (цель заливка web shell) , разрешил загрузку php , файл принимает но не разрешает загрузку скрин ниже:



Пошел значит копать дальше, нашел редактирование шаблона, имеет не понятное мне расширение .tpl возможно ли внедрение shell кода в данный шаблон? (по логике выбрал main.tpl кажется туда надо вносить код если что и вносить)



p.s.
может имеются другие способы заливки шелла через админку dle ?

 

[Pernat1y]

возможно ли внедрение shell кода в данный шаблон?

Судя по тому, что внутри есть html, то да, можно попробовать.

 

[Brett Hagen]

Судя по тому, что внутри есть html, то да, можно попробовать.

Интересно, а каким образом ? Что то я перелазил весь гугл, подставил через {php}{/php} в код шелл как пишут на хабре не работает Пробовал через {include file="shell"} как в старой статье на antichat тоже не работает . Если кто то знает как внедрить в tpl web shell plz откликнитесь.

 

[polunochnik]

А может попробовать другим путем пойти?
Например сплойтом:

Ссылка скрыта от гостей

 

[Brett Hagen]

А может попробовать другим путем пойти?
Например сплойтом:

Ссылка скрыта от гостей

К стати да , че то совсем забыл про сплойт этот. Как только пробился в админку озадачился тупо заливкой shell.

спустя 20 минут .....

[*] Exploit completed, but no session was created.

 

[polunochnik]

К стати да , че то совсем забыл про сплойт этот. Как только пробился в админку озадачился тупо заливкой shell.

спустя 20 минут .....

[*] Exploit completed, but no session was created.

А ОС какая? Если винда, то надо с eval поиграться, можно попробовать на system или passthru заменить, также может быть проблема с путями (в виндах нужно полный путь указывать).
А так надо на запросы и ответы пристально посмотреть, через бурп например.

 

[polunochnik]

Перехватил ответ сервера [Burp do intercept] при загрузке фотки , типо successful итд :

Посмотреть вложение 45429

Сохранил и поменял расширения на php файла который webshell и при загрузке которого ответ сервера возвращал ошибку, отправил обратно серверу уже с successful кодом выше и вуаля:

Посмотреть вложение 45430

Думаю кто крутой хакер ? Я крутой хакер .... думал я так ровно одну минуту, так как при обновлении сайта файлик на php пропал

[PS]

Редактирование ответа сервера не гарантирует его выполнения на его стороне ? это просто пустая болванка то что мы рисуем в ответе ? или я что то не доделал?

"Редактирование ответа сервера" наверное редактирование запроса. Это правельное направление, по пути к шелу, который вернулся в ответе сервера файл должен лежать, возможно там присутствует пост обработка, натыкался в Drupal на такое, посмотри исходники DLE. Можно также попробовать добавить в имя шелла (в intercept) "../".
Можно кстати ещё попробовать rce на php 2019 года, номер не помню.

 

[Brett Hagen]

"Редактирование ответа сервера" наверное редактирование запроса. Это правельное направление, по пути к шелу, который вернулся в ответе сервера файл должен лежать, возможно там присутствует пост обработка, натыкался в Drupal на такое, посмотри исходники DLE. Можно также попробовать добавить в имя шелла (в intercept) "../".
Можно кстати ещё попробовать rce на php 2019 года, номер не помню.

Именно редактирование ответа сервера, есть вкладка do intercept которое позволяет редактировать то что сервер отвечает в моем случае при загрузке файла которое я заменил с негативного на успешное и файл отобразился как залитое но потом исчез( в связи с чем возник вопрос do intercept это пустая болванка как редактирование кода в браузере или я что то не учел и не доделал?)


Do intercept:



Негативный ответ сервера на залитый php (который впоследствии будет заменен на позитивный ответ от загрузки png естественно с заменой всех шильдиков от png на php):





И фигак файл на борту:



Казалось бы но при обновлении страницы он пропадает

Можно также попробовать добавить в имя шелла (в intercept) "../".
Можно кстати ещё попробовать rce на php 2019 года, номер не помню.

Расскажи подробнее два этих момента plz

 

[polunochnik]

Расскажи подробнее два этих момента plz

При отправки файлов ставим имя что то типо "../img.xxx", если нет защиты, то файл например запишет я не в "www/htdoc/upload", а в "www/htdoc".

GitHub - theMiddleBlue/CVE-2019-11043: (PoC) Python version of CVE-2019-11043 exploit by neex

(PoC) Python version of CVE-2019-11043 exploit by neex - theMiddleBlue/CVE-2019-11043

github.com

 

[Brett Hagen]

При отправки файлов ставим имя что то типо "../img.xxx", если нет защиты, то файл например запишет я не в "www/htdoc/upload", а в "www/htdoc".

GitHub - theMiddleBlue/CVE-2019-11043: (PoC) Python version of CVE-2019-11043 exploit by neex

(PoC) Python version of CVE-2019-11043 exploit by neex - theMiddleBlue/CVE-2019-11043

github.com

С гита скрипт не работает ну не пробивает короче жертву.
Интересно , а в бюрп можно подменой заголовка залить файл в другую папку ?

 

[polunochnik]

С гита скрипт не работает ну не пробивает короче жертву.
Интересно , а в бюрп можно подменой заголовка залить файл в другую папку ?

Если нет доп защиты, то да.

 

[Brett Hagen]

Шелл на базе

Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips mod_fcgid/2.3.9 PHP/7.1.33

Если по dle возникнут вопросы обращайтесь ))))

 

[sw1tch]

Шелл на базе

Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips mod_fcgid/2.3.9 PHP/7.1.33

Если по dle возникнут вопросы обращайтесь )

Поделись какое решение нашел то?!