Anonymous 发表于 2015-4-21 11:58:24

中国联通某分站SQL注入+GETSHELL等

先从注入说起：
看原来的str2漏洞地址：http://cx.wap.unisk.cn/user/user/login.action，已经直接显示网页源码了，然后各处翻，终于找到了个注入
URL：http://m.unisk.cn/Count2.asp?id=1320356&speid=300
注入参数：speid
其他连接貌似有过滤，这个文件却没过滤，很是奇葩..

注入拿到了帐号密码：

这时想想，貌似还不知道后台，这...
第二天想看看分站有木有别的可利用的地方，无意间又碰到了后台，甚喜
http://123.125.97.162/admin/manage/
然后就去解密，结果md5一个都解不出来，肯定是加盐了..无望，突然发现很多密码的密文都一样，猜想肯定是弱口令，结果尝试成功.哈

得到的密码明文为：
*****a9b96549b0cdc95bd*****
登录进去，发现fck，又是iis6，直接getshell

shell在dlf\upload\37\image\a.asp\目录下、

数据库里号码、短信啥的还是蛮多了，数据库文件68.52 G

平时到这里基本就结束了，今天手贱，看了下开放的端口，发现个6060,就访问了下：
http://123.125.97.162:6060/jcard/demo.php?p=

wo+通行证，通行证一般都很强大.. 就去看源码到底干啥的：

仔细研究下，原来是通向http://i.wo.cn/ wo+通行证的通道，这就有意思了
sso.php
*****?p*****
*****"p*****
*****_decode*****
*****=$pho*****
**********
*****ot;,"****&quo*****
*****$co*****
*****
*****
*****nect: ' *****
*****
*****
**********
*****ot;jcard&q*****
*****ot;.$phone."' ORD*****
*****;
*****ql_quer*****
*****tch_array(*****
*****039;id&*****
*****
*****
*****e{*****
*****39;&#*****
*****
*****
*****se($c*****
**********
*****=$ui*****
*****["u*****
*****'&*****
*****pt' type='tex*****
1.://**.**.**//i.wo.cn&
*****/script&*****
*****
*****
**********
2.://**.**.**//123.125.97.162:6060/jcard/sso/referer.php&
*****='10*****
*****_set ('*****
*****('Ym*****
*****D52949A6A1*****
*****rmID.$key.*****
*****?＿.$auth.'*****
*****r=SHA1(*****
*****＿.$authenticator.*****
**********
*****-----------&l*****
*****;//初始?*****
*****e.'&'.$*****
*****??.$input."*****
*****->encry*****
*****?.$encrypt_card.&q*****
*****t;decrypt($rep-&*****
**********
**********
*****erID.'<*****
*****userID,$key).*****
*****encode($en*****
*****encryp*****
*****64加密＿.$userInfo*****
*****nfo).'<*****
*****rypt($userInfo).&#*****
*****-----------&l*****
**********
3.://**.**.**//i.wo.cn/sso/otherLogin.dosourcePlatformID=&
*****;
*****pt' type='tex*****
*****n.href='*****
*****/script&*****
*****t;*****
*****php*****
**********
*****ypt3D*****
**********
**********
*****{*****
**********
**********
*****t;; //密钥 要与java的?*****
**********
**********
*****   *****
**********
*****?据?*****
**********
**********
*****ncrypt($*****
**********
**********
**********
**********
**********
*****_size(MCRYPT_3DES*****
**********
**********
*****gt;pkcs5_pad(*****
**********
**********
*****is->key,24,*****
**********
**********
*****ES, '', *****
**********
**********
*****crypt_enc_get_iv_s*****
**********
**********
*****c_init($td, *****
**********
**********
*****pt_generic(*****
**********
**********
*****eneric_de*****
**********
**********
*****odule_clo*****
**********
**********
*****se64_encod*****
**********
**********
*****turn $*****
**********
**********
**********
**********
**********
*****?据?*****
**********
**********
*****rypt($enc*****
**********
**********
**********
**********
**********
*****ase64_decode*****
**********
**********
*****is->key,24,*****
**********
**********
*****3DES,'',�*****
**********
**********
*****rypt_enc_get_iv_si*****
**********
**********
*****_enc_get_ke*****
**********
**********
*****c_init($td, *****
**********
**********
*****ypt_generic($t*****
**********
**********
*****eneric_de*****
**********
**********
*****odule_clo*****
**********
**********
*****kcs5_unpad($*****
**********
**********
*****retur*****
**********
**********
**********
**********
**********
**********
**********
**********
*****ad ($text, *****
**********
**********
**********
**********
**********
*****- (strlen($tex*****
**********
**********
*****tr_repeat(chr*****
**********
**********
**********
**********
**********
**********
**********
**********
*****kcs5_unp*****
**********
**********
**********
**********
**********
*****text{strlen*****
**********
**********
***** > str*****
**********
**********
*****   *****
**********
**********
*****turn f*****
**********
**********
*****   *****
**********
**********
*****ad), strlen($text*****
**********
**********
*****   *****
**********
**********
*****return *****
**********
**********
*****   *****
**********
**********
*****r($text, 0,*****
**********
**********
**********
**********
**********
*****}*****
**********
*****t;*****
上面的代码意思是，先到数据库查询是否存在，然后加密直接进入wo+，无需密码啥的，那sourcePlatformID、key就是非常重要的东西了。
分析后得知，查数据库也只是差id，而id和手机号码有一样，所以可以直接修改一下，把查询数据库部分去掉，直接用号码就可以了，这样全国联通的号码我都可以直接登入wo+通行证，并且不需要密码
用我改的sso2.php访问：
http://**.**.**/jcard/sso/sso2.phpp=186****8948
访问直接跳转到i.wo.cn

点击邮箱，无需密码直接登录进去


理论可登录全国联通用户，over!

conosc 发表于 2015-5-6 16:48:51

貌似没人回答，，，，{:soso_e103:}

＠lover 发表于 2015-5-6 18:45:04

顶一个，，，，虽然没看懂，很强大的样子

csadsl 发表于 2015-5-7 10:07:07

很嗨的感觉啊:P

javalang 发表于 2015-5-11 22:57:02

厉害。。。

H.U.C-麦麦 发表于 2015-6-29 14:08:45

还是不错的哦，顶了

wilist 发表于 2015-6-29 18:36:54

fireworld 发表于 2015-7-1 02:30:45

感谢楼主的分享~

r00tc4 发表于 2015-7-1 10:01:05

支持，看起来不错呢！

Micah 发表于 2015-7-2 17:00:07

学习学习技术，加油！
页: [1]
查看完整版本: 中国联通某分站SQL注入+GETSHELL等