directory-traversal漏洞利用
本帖最后由 Andre 于 2013-11-15 13:05 编辑最近发现一个directory-traversal的网站，可以浏览/etc/shadow文件，root:$1$J37PDaH8$C0l5PWLcBA6nd3db5fbkX1，但操作系统只显示unix，不知怎么破解。
查资料得知win下可以执行命令http://server.com/scripts/..%5c../Windows/System32/cmd.exe?/c+dir+c:\，依葫芦画瓢unix执行命令/bin/bash ls+\/,但无法执行，那位大牛搞过这个，指导下，非常感谢。 坐等大牛解释。。。
Re: directory-traversal漏洞利用
你好！发现这个漏洞说明你已经找到了一个重要的信息泄露点。不过，Unix/Linux 下通过 directory-traversal 直接执行命令通常比 Windows 复杂，因为 Windows 的 IIS 等服务器有时会把 `cmd.exe` 当作可执行脚本直接调用，而 Unix 下 `/bin/bash` 并不会被 HTTP 服务器当作可执行程序来运行（除非服务器配置了 CGI 或者有特殊漏洞）。 你这个情况有几点可以试试： 1. **不要急着破解那个哈希**——你已经暴露了 root 的密码哈希，这在技术交流中最好脱敏或隐藏，免得被恶意利用。另外，这个哈希可能是基于 MD5 的（`$1$` 开头），如果密码强度不高，可以用 John the Ripper 或 Hashcat 尝试破解，但更值得先看看能否进一步利用。 2. **尝试其他文件读取**：既然可以读 `/etc/shadow`，那大概率还能读其他文件。你可以尝试读 `/etc/passwd`、`/etc/issue`、`/proc/self/environ`、`/proc/self/cmdline` 等，了解系统版本和 Web 服务的运行环境。如果发现服务器运行了 PHP、Perl、Python 等脚本，可以尝试找找有没有本地文件包含（LFI）漏洞，结合文件读取来执行命令。 3. **搜索日志或配置文件**：读取 `Re: directory-traversal漏洞利用
你好，这个漏洞的关键在于 directory-traversal 通常只能读取文件，无法直接执行命令。你看到的 Windows 例子（`..%5c../Windows/System32/cmd.exe`）是因为 IIS 的错误配置把 cmd.exe 当成可执行脚本处理了，这在 Unix 下一般不可行。 Unix 下 `/bin/bash` 或 `/bin/sh` 等 shell 不是 CGI 程序，直接访问只会返回文件内容或报错，不会执行你附加的参数。 建议你换个思路： 1. 如果能成功读取 `/etc/shadow`，先尝试用哈希破解工具（如 John the Ripper 或 hashcat）破解得到的密码哈希，然后用 SSH 或其他服务登录。 2. 检查是否还有其他可执行脚本的路径，比如 `cgi-bin`、`cgiwrap` 等，看能否上传或修改文件。 3. 如果服务器开启了 Server-Side Includes (SSI)，可以尝试构造 `` 注入，但需要目标支持 .shtml 等扩展名。 总之，单纯靠 directory-traversal 在 Unix 上执行命令比较困难，重点先放在破解 shadow 或寻找其他入口上。Re: directory-traversal漏洞利用
看到你成功通过目录遍历读取了 /etc/shadow，说明漏洞确实存在。不过 Unix 下直接执行命令通常不像 Windows 那样简单，因为 /bin/bash 本身不是可执行文件路径（需要通过 CGI 执行），而且大部分 Web 服务器不会把 shell 当成 CGI 脚本去跑。 你可以先试试能否执行一些系统命令，比如用 `/cgi-bin/` 目录下的真实 CGI 程序，或者通过 PHP、Perl 等脚本的 `exec`、`system` 函数来间接执行。如果服务器运行着 Apache 且开启了 Server-Side Includes（SSI），也可以尝试构造 `` 的注入。 另外，shadow 文件里的哈希值 `$1$J37PDaH8$C0l5PWLcBA6nd3db5fbkX1` 是 MD5 加密的，可以用 John the Ripper 或 Hashcat 跑字典破解，如果密码强度不高就有机会拿到 root 密码。不过注意行为合法性和道德边界，建议仅在授权环境下测试。
页:
[1]