开发者社区> cnbird> 正文
阿里云
为了无法计算的价值
打开APP
阿里云APP内打开

Php脚本注射检测后的再次提权

简介: 方法一:爆破法.      最显眼的要属用户名和密码了,关键是如何破密码呢?到网上搜了一个专门破SERV-U密码的工具(Serv-UPassCrack1.
+关注继续查看
方法一:爆破法.
     最显眼的要属用户名和密码了,关键是如何破密码呢?到网上搜了一个专门破SERV-U密码的工具(Serv-UPassCrack1.0a.rar),太慢了,这要等到何年何月啊!干脆用记事本打开它的脚本crack.vbs.看看解密原理:假设原来明文密码用"password_mingwen"表示,密文密码也就是 我们在ServUDaemon.ini中看到的密码(34位),用"password_miwen"表示,密文的前两位合并上明文,然后经MD5加密后正 好等于密文的后三十二位!】

     即:md5(password_mingwen+left(password_miwen,2)=right (password_miwen,32)俗话说的好啊,"工欲善其事,必先利其器"在网上找了两上绝配的工具!一个是MD5CrackSpV2.3(速度 增强版,一个非常好用的MD5爆破工具),另一个是字典专家.BBSt,利用它我们可以生成前两位为我们指定字母的字典!!MD5CrackSpV2.3 速度奇快,我们可以指定开的线程数,我在P4,256M内存环境下做了一个测试,利用字典专家.BBSt生成一个含3亿条记录,1.2G左右的字典, 用MD5CrackSpV2.3开8线程跑,总共用了30分钟!一个线程一秒钟跑大约2万条记录,8个线程一秒钟,就是16万条记录!!照此计算一台机器 一天就能跑约138亿条记录!假如有十台P4连合作业,威力无穷啊!同时在网上看到消息说山东大学已经研究出来了破解MD5的算法!但是没有找到具体的程序,程序一旦出世,密而不密,恐怕很多网站又要遭殃了!!

     方法二:程序法.

     不要在一棵树上吊死,一边挂着字典爆破,一边看看还有没有别的途径,双 管齐下吗,要不闲着也是闲着(哈哈)!在c:/Program Files/Serv-U/ServUDaemon.ini文件中共有十多位用户,其中有一个的用户目录:"d:/s***n/a***lover/ photo/gallery" 吸引了我。立即在浏览器中打上http://www.*****.net/ a***lover/photo/gallery 出现如下提示:"This Virtual Directory does not allow contents to be listed",在试试它的上一级目录看看:http://www.*****.net/ a***lover/photo/真是山重水复疑无路,柳暗花明又一村啊!原来在机子里还藏着个某某网络相册.

    首先注册个用户进去看看,有图片上传功能 啊,抓包看看是否存在有类似动网UPFILE的漏洞,用NC提交后失败了,上传类型还是图片文件,又是那句话:"此路不通"。利用CASI查看http: //www.*****.net/ a***lover/photo/index.php的文件内容得知:程序中文名称:文本图片管理程序 程序英文名称:NEATPIC 版本:2.0.13 BETA,老规矩先到网上下个研究研究在说。经过分析目录结构发现在:database/user.php文件用于存放用户名密码等注册信息!用CASI 打开:http://www.*****.net/ a***lover/photo/database/user.php显示无文件内容!难道是默认目录不对?!管理员把目录改了!!看配置文件: http://www.*****.net/ a***lover/photo/inc/config.inc.php发现:

// 参数设置
//*********************************
$DataDir = "database678"; //杂项数据存放目录
$CatDir = "second"; //二级分类数据存放目录
$SortDir = "main"; //分类数据文件存放目录
$PicRecordDir = "picdata"; //图片数据总目录
$PicDir = "pic"; //图片文件存放目录
$SPicDir = "spic"; //缩略图存放目录
$CommentDir = "comment"; //图片评论目录
$UserDat = "user.php"; //用户数据文件
$Dat = "dat.php"; //相册数据文件

果然管理员把默认的database目录改成了database678了!现在可以用CASI查看user.php的内容了如下图:

 

 


   面的哪一行即ID=1的为管理员的注册信息,第一个为用户名,第二个为密码。发现该用户名与ServUDaemon.ini中的相同,密码会不会也相同呢? (很多人都有使用同一密码的习惯!!)打开DOS窗口-->登录FTP-->输入用户名和密码,成功了,终于成功了!揪出这个密码可真不容易 啊!!这时字典还在哪挂着来,要跑出这个8位纯字母的密码也要费一段时间啊!!

一、 上传PHPSHELL,控制MYSQL数据库

    通过 ServUDaemon.ini文件中的Access1=D:/s***n/ a***lover/photo/gallery |RWAMLCDP知道该用户具有:读取(R),写入(W),追加(A)等功能,唯独缺少了"执行(E)"功能!利用PUT命令上传一个一句话的 WebShell上去.在浏览器中运行http://www.*****.net/ a***lover/photo/gallery/webshell.php?cmd=dir,出现:
Warning: passthru(): Unable to fork [dir] in D:/s***n/a***lover/photo/gallery/webshell.php on line 1
看 来外部命令不能执行,管理员一定作了相应设置.再上传一个phpinfo.php文件 在浏览器中运行:http://www.*****.net/ a***lover/photo/gallery/phpinfo.php,这时在php.ini变量的设置都显示出来了(当然也你可以利用CASI看 c:/windows/php.ini 的内容)!外部命令不能执行的原因在此:
以下是引用片段:
safe_mode
Off
Off

safe_mode_exec_dir
no value
no value

safe_mode_gid
Off
Off

safe_mode_include_dir
no value
no value
 


    接下来上传一个自己编的仅带有浏览,拷贝,重命名,删除文件和上传文件五个功能的PHPSHELL:CMD.PHP

    注: 由于时间仓促代码界面没优化好,在dir文本框中输入要浏览的目录名称;copy文本框中,上面输入源文件如d:/web/cmd.php,下面输入目标 文件如d:/web/cmdbak.php;del文本框中输入要删除的文件名如:d:/web/cmdbak.php;ren命令与copy命令相似; 点浏览按钮,选择你要上传的文件,然后点upload按钮,就上传到与本SHELL相同的目录下了.

    运行: http://www.*****.net/ a***lover/photo/gallery/cmd.php,利用dir命令,可以看D盘,C:/windows,以及C:/Program Files下的内容,而且对D盘还有写权限!在通过copy命令把想下载的软件考到WEB目录下下载下来了^_^

    如何才能把文件写到只读的C盘上呢?这就要通过MYSQL了!但是MYSQL没有远程连接啊!没有条件创造条件,看文章系统的配置文件config.inc.php的内容了吗?
$dbhost="localhost";//数据库主机名
$dbuser="root";//数据库用户名
$dbpass="******";//数据库密码
$dbname="article";//数据库名

    数据库用户名和密码都知道了,可惜的是本地用户,然而我们能不能通过本地有最高权限用户root来添加个远程用户呢?答案是肯定的。

    为此专门写了个程序adduser.php利用已知的有ROOT权限的帐号添写加远程ROOT权限的帐号,内容如下:

以下是代码片段:
$dbh=mysql_connect('localhost:3306','root','*****');//
echo mysql_errno().": ".mysql_error()."
";
mysql_select_db('mysql');
echo mysql_errno().": ".mysql_error()."
";
$query="GRANT ALL PRIVILEGES ON *.* TO username@'%'IDENTIFIED BY 'password' WITH GRANT OPTION";
$res=mysql_query($query, $dbh);
echo mysql_errno().": ".mysql_error()."
";
$err=mysql_error();
if($err){
echo "ERROR!";
}
else{
echo "ADD USER OK!";
}
?>
 


    利用cmd.php上传adduser.php执行后,就在库中添加了一个远程ROOT帐号,就可以用CASI带的MYSQL连接器连上了!!它可以把MYSQL库关了!!用牛族可方便的浏览表中的记录!!如下图:带%号的用户为添加的远程用户。

 

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

相关文章
PHP连接MySQL 8.0报错的解决办法
PHP连接MySQL 8.0报错的解决办法
193 0
PHP+Mysql实现协同办公OA系统源码演示下载
演示可以参考下这里:http://www.erdangjiade.com/source/259.html 跨平台的系统,支持APP,pc网页版,pc客户端等。
3513 0
centos下 Apache、php、mysql默认安装路径
apache: 如果采用RPM包安装,安装路径应在 /etc/httpd目录下 apache配置文件:/etc/httpd/conf/httpd.conf Apache模块路径:/usr/sbin/apachectl web目录:/var/www/html 如果采用源代码安装,一般默认安装在/usr/local/apache2目录下 php: 如果采用RPM包安装,安装路
3025 0
+关注
cnbird
阿里云安全专家,主要负责阿里云云产品安全。
4032
文章
3
问答
文章排行榜
最热
最新
相关电子书
更多
低代码开发师(初级)实战教程
立即下载
阿里巴巴DevOps 最佳实践手册
立即下载
冬季实战营第三期:MySQL数据库进阶实战
立即下载