因為返回正常說明存在該表，返回錯誤則不存在。 經(jīng)過半天的猜解解，確定列名為“pas”“us”“id”，把相應的列名對應上面的相應的數(shù)字，數(shù)字部分就會出現(xiàn)我們想要的的東西了。語句是這樣的，上面顯示的數(shù)字為2、3我們這里替換2、3為“pas”和“us”
id=29/**/and/**/1=2/**/union/**/select/**/1,pas,us,4/**/from/**/admin，這樣在2、3部分就會出現(xiàn)帳號和密碼了。

另外PHP注射如果在權(quán)限夠的情況下是可以讀到目標網(wǎng)站的的源文件，可以去讀一些類似CONN的文件取得敏感信息?，F(xiàn)在來判斷下這個注射點有沒有權(quán)限讀文件

http://.ouou.com/newslook.php?id=29【/**/and/**/(select/**/count(*)/**/from/**/mysql.user)>0 /*】如圖6



返回正常說明有權(quán)限讀文件，現(xiàn)在可以調(diào)用load_file的函數(shù)來讀文件了，還記剛才【’】爆出的絕對路徑吧。直接讀就可以了，不過要把路徑轉(zhuǎn)換成hex編碼，為什么呢？因為某些字符在url會被轉(zhuǎn)意比如\會被轉(zhuǎn)意成/，既然試UNIX主機嘗試讀一下/etc/passwd 繼續(xù)http://XX.ouou.com/newslook.php?id=29【/**/and/**/1=2/**/union/**/select/**/1,2,load_file(0x2F6574632F706173737764),4】

load_file(0x2F6574632F706173737764)替換3的位置，如果可以讀3的位置會出現(xiàn)文件內(nèi)容，如圖7



看到了吧，可以讀出來：）?！?x2F6574632F706173737764】是/etc/passwd的hex編碼，接下來就是要去網(wǎng)站源文件然后去頂部找調(diào)用數(shù)據(jù)庫的文件然后再讀數(shù)據(jù)庫文件找到mysql密碼，這個我就不說了，因為我已經(jīng)得到了 admin的密碼 并且知道后臺為http://XXouou.com/admin 直接登陸后臺先拿個WEBSHELL再說 如圖8



登陸后臺發(fā)現(xiàn)權(quán)限非常大，可以直接看到跟目錄的文件，并且我們看到“重命名”“編輯”“刪除”等字樣。 但是這里并不可以利用，因為一編輯就會提示你輸入另一個密碼。 另外我發(fā)現(xiàn)網(wǎng)站后臺使用了FCKeditor編輯器。并且可以成功上傳一個asa的文件。但是我們知道apache 是不解吸ASP文件的。所以就沒有辦法，只能尋找可以上傳PHP的地方。

記的剛登陸后臺后臺的時候看到跟目錄那里有個上傳目錄，嘗試上傳一個PHP發(fā)現(xiàn)提示更新成功，馬上訪問發(fā)現(xiàn)存在那個PHP文件。如圖9





圖10

至此我們已經(jīng)成功的拿到了WEBSHELL 并且也找到了MYSQL密碼。 發(fā)現(xiàn)WEBSHELL的權(quán)限非常大，至于提權(quán)就不需要了。馬上通知朋友修補漏洞咯。

最新評論