目标:JP
  类型:某官Game
  服务器 linux
  网络环境:20.*.*.*内网组成.路由映射端口.
  本文只是给思路.难免有错大家谅解 希望大家能耐心看完.本人只是鸟一只.
=============国界===============

  好了废话少说开始.站的URL我就拿www.test.com代替.本来想让大家都体会一下.可惜狐狸窝不能发真实地址.
拿到了站大概看了一下.PHP LINUX APACHE MYSQL组成.貌似还有一处用了一个让我无法决定的数据库.首先我们从整个站的结构开始了解. 拿出WWWSCAN 由于我经常检测国外的站我收集了很多敏感的目录文件等等 当然软件作者也收集了许多有用的.结果返回大概目录有
/admin/
/config/
/news/
/news/newadmin/
/news/newadmin/test.php
/admin/test.php/info.php
省略..
有用的就这些.因为我最想要的就是后台.至少有了管理员的USER&pASS有了能用的地方.
admin目录访问提示403 newadmin出来一个登录页.丫的开心.请出GOOGLE.
site:test.com inurl:php
site:test.com admin
site:test.com login
site:test.com filetype:php | asp | jsp | aspx | jsp | 由于是想看看其他子站有没有WIN系统.这样好插手.结果只有PHP 而且子站大多都是有HTML组成的搜到这些大概得到了些信息.大概看到了网站组成脚本的名称 心里感觉可疑的可以注的点.还有一些比较少见的页面.大家SEACH下会有这样的感觉的打开工具箱.有个FUCKGOOGLE.exe 可以搜集所有GOOGLE搜到的URL 做成一个HTML给你.然后很多链接.大家可以在AD注入工具里打开这个页面让AD扫.
就算AD不是注MYSQL的.至少也分的清楚AND 1=1 和AND 1=2的区别.在AD放了10分钟后看了下结果.没啥好玩的...放弃GOOGLE.{注:这其中大家一定得耐心的观察}
好了没戏了.既然ADMIN目录403就从他那开始下手.随便猜了几个登录页面.RP问题没出来.在WWWSCAN跑了一下 啥都木有..汗. 放弃...
新闻系统啊 新闻系统..你咋就是个新闻系统咧.后台至少可以让我用溯雪跑一下.就算不科学 也碰碰运气... 跑完了没戏 {注:当然在这过程中你可以做其他的)
有了后台我怕 就是认证的问题.到处找点.一直都没找到.有个VOTE.进去看了一下...谁谁谁 %xx. GET了' 出错了.PHP送给我路径. and 1=2 返回结果正常.和1=1没啥区别.汗.再来
/**/and/**/1=2 还是一样 大家当我在放屁吧.放弃 继续找.... 找啊找..突然看到了个这么个URL read4.php?files=include/hellokitty.html 这么个连接. 去掉hellokitty.html PHP提示
Warning: Smarty error: unable to read resource: "include" in in /home/httpd/html/libs/test.php on line 1095
嘿嘿 爽了.接着我随便找了一个他们站的图片 提交 read4.php?files=../img/bar_logo.jpg 嘎嘎. 返回的结果是?JFIF
ddDucky
<Adobed
省略....

好继续.提交read4.php?files=../read4.php 返回
<?
require '../libs/xxxx******(假的).php';
include 'sqlfunc_csm2.inc';
session_start();
.....省略

有进展继续.提交read4.php?files=../sqlfunc_csm2.inc
拿到的当然是MYSQL USER&pASS啦.前提不是ROOT.
好了.虽然没找到点至少找到了一个另类的load_file.不管3721继续攻击!!!
read4.php?files=../../../../../etc/passwd
当然出来咯.找了几个有/BIN/BASH的用户 用MYSQL的密码去尝试SSH结果失败.
不急.再来.我们必须得找到点.花了一个小时的功夫....
还是没找到点.无奈之下用MAXTHON查看源代码.就是表单啦.搜索php 啊.无意中搜到一个很奇怪的页面我在GOOGLE中也没见过 好像是调用的吧.无聊
具体是../dj?msb=908 好家伙打开它...返回让我一滴汗落下来...就出来个3456.最后我才发现这个页面为了统计用户访问的次数.
加了个'出错了. 1=2 1=1. ^_^ 功夫不负有心人. 我注我注我注.我直接注死.
and 1=2/**/union/**/select/**/1,2
好了 返回正常...
and 1=2/**/union/**/select/**/1,user()
返回刚才我暴出来的MYSQL.有些朋友就问了.你都拿到MYSQL密码了.你怎么还不去连人家数据INTO FILE呢?大哥我希望您看清楚.上面我说的结果20.*.*.* 影射..多的废话我不想说.
and 1=2/**/union/**/select/**/1,database()
没错喔.出来的和暴出来的库一样.看你丫的我咋玩你.万事齐全.就是管理员帐号和密码了.

[1] [2] 下一页