IPB2注入漏洞的深入利用

　　在上一篇《php+mysql注入导出文件的新发现——附带ipb2的漏洞利用》，利用ipb2的注入漏洞获得管理员的资料，修改cookie可以得到前台的管理权限。不少人埋怨没有什么用，其实这个是大多数人不了解ipb2的原因。

　　因为过滤了很多特殊字符，包括单引号，全部转为十进制了。

　　其实充分发挥一下想象力。也是有可能拿到后台管理员或者webshell的，注意，是可能，因为这个并不是通杀的，为什么不是通杀的，往下看就知道了。

　　我也不多说了。对于这个，我看最直接的目的就是看mysql的连接信息。怎么看?读文件呗!

　　我想不管是读文件和上传，这个注入漏洞都给我们提供了最直接的条件，如果了解ipb2的人就应该知道。上传的目录是保存数据库里的，因此。我们根本不需要怎么提交、不需要构造什么变量去报错暴路径，ipb2也没有这个条件去暴这些信息。就算出错也只返回特定的信息。

　　ipb2的上传目录的路径是保存在ibf_conf_settings表里，所以我们可以构造sql语句，把这个路径给直接反馈到眼前。

　　这样是读取id为1的用户的密码散列，同样的，我们如果提交：

　　就会返回上传目录的绝对路径：

　　不过，默认应该是这样可以了的，但是如果管理员把conf_id改变的话，可能就不是59了。这时我们直接提交：

　　因为conf_key为upload_dir的相对应的conf_value就是上传目录的绝对路径，但是因为是字符串，我们不能用单引号，只能转换为10进制或者16进制，char(117, 112, 108, 111, 97, 100, 95, 100, 105, 114)就等于“upload_dir”，所以也会返回绝对路径。

　　有了绝对路径能做什么呢?知道可以允许写的目录在哪了。知道mysql连接文件在哪了，还等什么?读文件吧。假设上面的，我们的目录是“h:/www/ipb2/”，那么连接文件就是“h:/www/ipb2/conf_global.php”，转换为10进制或者16进制，提交：

　　文件就出来了：

　　注意注意!刚才说了，不是通杀的，有两个条件：

　　要读出文件，连接mysql的这个用户，一定要拥有file的权限。这个是最根本的。

　　条件1具备以后，要更进一步操作，mysql必须允许远程连接，这样insert一个后台管理员，还是into outfile都随便你了。

　　本文完全是技巧和思路的文章，没有多大技术含量，都是老技术了，如果你不了解ipb2，也不知道在数据库里放有绝对路径吧?

 

(本文由责任编辑 pasu  整理发布)