Yahoo SQL注入到远程命令执行到root权限

2014-09-22 7,886

 

 

yahoo_building_3

 

 

 

 

 

 

 

 

 

来自埃及的问候

今天我将发篇博文,述说我是如何从一个雅虎的SQL注入漏洞升级到远程代码执行,再升级到雅虎某台服务器的root权限的。
故事得从在下面的域名里搜索开始:
http://innovationjockeys.yahoo.net/

拦截到POST请求后,下面的请求映入眼帘,我觉得有SQL注入的可能性.

http://innovationjockeys.net/tictac_chk_req.php
POST:
f_id=9631

我尝试了一些常规测试,这似乎看起来有个SQL注入滑翔而过!
果断操起SQLMap,分分钟射下它来,获得如下POC作为漏洞证明:

http://innovationjockeys.net/tictac_chk_req.php
POST:
f_id=-9631′ OR (2777=2777)#

Available Databases:
[*] information_schema
[*] innovation******* #Hiding dbnames for Yahoo privacy.
[*] web****

赞,现在我有了SQL注入了,而且我还可以读数据.
现在的问题就是如何找后台管理面板,提取SQL注入中的管理员用户名和密码,登录到管理员面板中,然后拿shell获取控制权。

1- 后台管理面板在: http://innovationjockeys.yahoo.net/admin/

2- 存在数据库里的管理员是Base64加密 。

Screenshot-1024x138

这不是相当于明文麽 分分钟破了密码,登进后台。

Screenshot-admin-1024x559

下一步就是找个地方上传文件,然后就能命令执行了~

好吧,我如愿找到了个上传页面,但是我上传了个内容是phpinfo();的php文件发现我上传的文件被重命名了: page_d03b042780c5071521366edc01e52d3d.xrds+xml

而不是 page_d03b042780c5071521366edc01e52d3d.php ?!

嗯, 我然后又Burp抓包拦截了上传请求看看是啥问题,然后有了以下发现:

Screenshot-from-2014-09-05-055933

 

 

 

赞,原因很明显!就是“Content-Type”头作祟!

这回我放聪明了,把“Content-Type” 头内容改称了“application/php”,这回成功了:

Screenshot-phpinfo

 

 

 

 

 

 

 

 

 

这回我已经触发了SQLI和RCE,最后一部分就是提权成root了。
然而,服务器内核是2012年更新的,嗯,我用一个本地提权exp搞定了,获取了root权限。
时间线:

2014-09-05 初始报告发给yahoo

2014-09-06 Yahoo确认漏洞存在

2014-09-07 Yahoo修复了漏洞

2014-09-19 Yahoo告知我这个漏洞不在奖金范围内。

 

小编注:很萌很逗的埃及安全爱好者,最终也没拿到yahoo的奖金。文章基本没啥技术性,无非是找注入登后台绕过上传exp提权,而且最后root的图片也没放,老外很少用菜刀的。因为涉及yahoo,所以发上来,可以当成新闻来观摩。

 

 

    

   源地址:http://www.sec-down.com/wordpress/?p=494
          翻译和整理:SP小编
          SP地址:http://www.secpulse.com/archives/560.html

本文作者:SP小编

本文为安全脉搏专栏作者发布,转载请注明:https://www.secpulse.com/archives/560.html

Tags:
评论  (2)
快来写下你的想法吧!

SP小编

文章数:209 积分: 25

交流和分享以及愉快的玩耍

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号