возможно ли внедрение shell кода в данный шаблон?

Судя по тому, что внутри есть html, то да, можно попробовать.

 

Судя по тому, что внутри есть html, то да, можно попробовать.

Интересно, а каким образом ? Что то я перелазил весь гугл, подставил через {php}{/php} в код шелл как пишут на хабре не работает Пробовал через {include file="shell"} как в старой статье на antichat тоже не работает . Если кто то знает как внедрить в tpl web shell plz откликнитесь.

 

А может попробовать другим путем пойти?
Например сплойтом:

DataLife Engine - 'preview.php' PHP Code Injection (Metasploit)

DataLife Engine - 'preview.php' PHP Code Injection (Metasploit). CVE-2013-7387CVE-89662CVE-2013-1412 . remote exploit for PHP platform

www.exploit-db.com

 

А может попробовать другим путем пойти?
Например сплойтом:

DataLife Engine - 'preview.php' PHP Code Injection (Metasploit)

DataLife Engine - 'preview.php' PHP Code Injection (Metasploit). CVE-2013-7387CVE-89662CVE-2013-1412 . remote exploit for PHP platform

www.exploit-db.com

К стати да , че то совсем забыл про сплойт этот. Как только пробился в админку озадачился тупо заливкой shell.

спустя 20 минут .....

[*] Exploit completed, but no session was created.

 

К стати да , че то совсем забыл про сплойт этот. Как только пробился в админку озадачился тупо заливкой shell.

спустя 20 минут .....

[*] Exploit completed, but no session was created.

А ОС какая? Если винда, то надо с eval поиграться, можно попробовать на system или passthru заменить, также может быть проблема с путями (в виндах нужно полный путь указывать).
А так надо на запросы и ответы пристально посмотреть, через бурп например.

 

Перехватил ответ сервера [Burp do intercept] при загрузке фотки , типо successful итд :

Посмотреть вложение 45429

Сохранил и поменял расширения на php файла который webshell и при загрузке которого ответ сервера возвращал ошибку, отправил обратно серверу уже с successful кодом выше и вуаля:

Посмотреть вложение 45430

Думаю кто крутой хакер ? Я крутой хакер .... думал я так ровно одну минуту, так как при обновлении сайта файлик на php пропал

[PS]

Редактирование ответа сервера не гарантирует его выполнения на его стороне ? это просто пустая болванка то что мы рисуем в ответе ? или я что то не доделал?

"Редактирование ответа сервера" наверное редактирование запроса. Это правельное направление, по пути к шелу, который вернулся в ответе сервера файл должен лежать, возможно там присутствует пост обработка, натыкался в Drupal на такое, посмотри исходники DLE. Можно также попробовать добавить в имя шелла (в intercept) "../".
Можно кстати ещё попробовать rce на php 2019 года, номер не помню.

 

"Редактирование ответа сервера" наверное редактирование запроса. Это правельное направление, по пути к шелу, который вернулся в ответе сервера файл должен лежать, возможно там присутствует пост обработка, натыкался в Drupal на такое, посмотри исходники DLE. Можно также попробовать добавить в имя шелла (в intercept) "../".
Можно кстати ещё попробовать rce на php 2019 года, номер не помню.

Именно редактирование ответа сервера, есть вкладка do intercept которое позволяет редактировать то что сервер отвечает в моем случае при загрузке файла которое я заменил с негативного на успешное и файл отобразился как залитое но потом исчез( в связи с чем возник вопрос do intercept это пустая болванка как редактирование кода в браузере или я что то не учел и не доделал?)


Do intercept:



Негативный ответ сервера на залитый php (который впоследствии будет заменен на позитивный ответ от загрузки png естественно с заменой всех шильдиков от png на php):





И фигак файл на борту:



Казалось бы но при обновлении страницы он пропадает

Можно также попробовать добавить в имя шелла (в intercept) "../".
Можно кстати ещё попробовать rce на php 2019 года, номер не помню.

Расскажи подробнее два этих момента plz

 

Расскажи подробнее два этих момента plz

При отправки файлов ставим имя что то типо "../img.xxx", если нет защиты, то файл например запишет я не в "www/htdoc/upload", а в "www/htdoc".

GitHub - theMiddleBlue/CVE-2019-11043: (PoC) Python version of CVE-2019-11043 exploit by neex

(PoC) Python version of CVE-2019-11043 exploit by neex - theMiddleBlue/CVE-2019-11043

github.com

 

При отправки файлов ставим имя что то типо "../img.xxx", если нет защиты, то файл например запишет я не в "www/htdoc/upload", а в "www/htdoc".

GitHub - theMiddleBlue/CVE-2019-11043: (PoC) Python version of CVE-2019-11043 exploit by neex

(PoC) Python version of CVE-2019-11043 exploit by neex - theMiddleBlue/CVE-2019-11043

github.com

С гита скрипт не работает ну не пробивает короче жертву.
Интересно , а в бюрп можно подменой заголовка залить файл в другую папку ?

 

С гита скрипт не работает ну не пробивает короче жертву.
Интересно , а в бюрп можно подменой заголовка залить файл в другую папку ?

Если нет доп защиты, то да.

 

Шелл на базе

Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips mod_fcgid/2.3.9 PHP/7.1.33

Если по dle возникнут вопросы обращайтесь ))))

 

Шелл на базе

Apache/2.4.6 (CentOS) OpenSSL/1.0.2k-fips mod_fcgid/2.3.9 PHP/7.1.33

Если по dle возникнут вопросы обращайтесь )

Поделись какое решение нашел то?!