检测魔鬼作坊。

ilx · 发表于 2012-9-4 18:49:41

本帖最后由 ilx 于 2013-8-28 11:38 编辑

很早之前的文章了，思路不是很清楚，表达的意思也不是很清晰大家见谅

======================================
某天发现个论坛：魔鬼作坊（ www.moguizuofang.com）

  I ：

主站是 Discuz! 7.0 或者 7.2的（不记得具体的了  应该也没什么漏洞。

先查了旁站  好像有几个记得旁站没希望  一个都搞不下

  于是查了查 whois 信息（搜集了一些网站站长的信息）
发现了个126 或（163）的邮箱  不知道密码咋办啊。 www.bamaba.com  这里面去查了查有记录  （相信现在黑阔都有自己的社工库了吧）
  于是拿着这个密码可惜登陆不上然后看了看找回密码验证问题是
（我也忘了）  但是是几个字母而且我看到过类似的是他那个站长的QQ个人说明那个上面写写着的
于是重置了密码（密码问题和站长个人说明上的字母不一样  很类似）
登陆上了邮箱发现域名是 IDC.Admin5.com  是这买的。  翻到了一封他在其他网站注册的信息连同账号密码都显示在上面
于是拿着这个密码登陆了 IDC.Admin5.com  发现空间并不是在那购买的

找了台服务器域名劫持之

过了一夜  网站已经恢复了  163（126）邮箱密码被改加了手机验证无法重置密码

II：
不知道是旁站还是魔鬼作坊那个站点开了个链接就蹦出来个空间商注册的二级域名  （这个是真忘了。上面也是）
  开搞吧 www.ebadu.net 八度网络
  那个时候的八度网络网站用的是

华众虚拟主机管理系统

主站可能是不行的。（旁站查了查就他自己的网站）
从分站入手吧。
查询分站网上也有好多工具的。
我谷歌了一下。
查到个论坛
bbs.ebadu.net 论坛采用的是Discuz 7.2
看了几个管理复制用户名  www.bamaba.com 直接查询
获取密码后台UCenter拿webshell
进去数据库拖了。获得会员数据。
论坛admin 的密码www.ebadu.net密码并不是一样的。
找到了一个用户 ebaduyang 带ebadu 很有可能是他的工作人员
md5+salt 带到cmd5里进行破解密码出来了。
用这个密码登陆了126邮箱。

//////////////////////////////////////
汪冕，您好！
您在八度网络的会员帐号密码已被修改!
欢迎您使用我们的服务，以下是您的帐号信息：
用户名:  admin
密　码:  zhangtingtingwangmian727
/////////////////////////////////////
发现并不能登陆www.ebadu.net
肿么办？

此时想到了 ebaduyang这个账号
不知道密码肿么办？
数据库信息和 163提示的信息发现此人叫汪洋
密码就用这个wangyang试试吧（现在密码改了）
果然的登陆上去了。上面写着代理商
翻看了他的空间产品列表
发现了个与魔鬼作坊 www.moguizuofang.com 同IP 的空间拿着FTP密码上去了。
发现权限非常BT啊。只支持ASP+php脚本如果支持aspx 提权几率是不是更大？
现在怎么搞？。发现空间产品列表上面可以升级产品  选了一个 .net类型的花了一点钱。反正又不是我的钱。他钱有很多。
过了一会发现怎么还不支持 aspx脚本啊。唉有问题找客服把。  把问题和客服说了，客服叫我等待，过了一会空间就支持aspx了。
唉唉 aspx也不行啊。不过找到了mysql的目录权限没设置好{:soso__14422195364794118538_4:}  下载了user数据。唉唉、用户全部解不出来。仔细想想一般产品的密码
都是高强度随机密码。
唉唉。肿么办、？

此时手在网站后面加了个 admin
http://www.ebadu.net/admin
{:soso__11824716995429377336_2:}
管理后台登陆的。拿着这个账号密码登陆上去。。。。。。。。。。。。
竟然是管理。。。一看日志发现有好几个用户是管理
  拿着 whois 信息搜索到了他购买的产品

拿到了 mysql密码 FTP  密码也都是那样随机高强度的
打开了www.moguizuofang.com  。发现一件很蛋疼的事。他此时的空间已经转移了换到其他空间去了  还有个公告说什么在转移数据的。。
唉。。还是拿着IP登陆上去了。（因为他产品并没有过期）发现他的数据还在里面  如果提前几天的话说不定可以记录他的登陆密码。
上了旁站上传个拖裤脚本把库拖了。（估计是前几天的域名劫持打草惊蛇了。）

算了算了。。。

III：又过了几天发现那个http://www.ebadu.net/adminwww.ebadu.net有个xss 其实一开始就发现了只是没利用。
  http://www.ebadu.net/errer.asp
  利用这个xss 盗取了一个客服的cookie
  发现这个客服账号权限不是很大。

就这样结束了吧。。。不想写了。。没图实在不好。。

浪子 · 发表于 2012-9-4 19:02:51

支持原创作品

Pony · 发表于 2012-9-4 19:03:16

支持原创，重在思路。

xiaocainiaodj · 发表于 2012-9-4 19:22:15

提示: 作者被禁止或删除内容自动屏蔽

显示全部楼层 · 发表于 2012-9-4 19:30:10

提示: 作者被禁止或删除内容自动屏蔽

xiaoshuai · 发表于 2012-9-4 19:37:00

学习啦~~~谢谢楼主

mrquan · 发表于 2012-9-4 19:44:53

学习下苦于修炼中

mrquan · 发表于 2012-9-4 19:46:13

看不懂啊太复杂了

0807 · 发表于 2012-9-4 19:59:05

许多网站都要vip要是都能破了，呵呵

显示全部楼层 · 发表于 2012-9-4 20:08:24

提示: 作者被禁止或删除内容自动屏蔽

xiaolingluan 该用户已被删除	发表于 2012-9-4 19:30:10 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
xiaolingluan 该用户已被删除
	回复支持反对使用道具举报

xiaolingluan 该用户已被删除	发表于 2012-9-4 20:08:24 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽
xiaolingluan 该用户已被删除
	回复支持反对使用道具举报

检测魔鬼作坊。

评分

相关帖子

指导单位

旗下站点

联系我们

xiaocainiaodj xiaocainiaodj 当前离线积分 522 头像被屏蔽该用户从未签到	发表于 2012-9-4 19:22:15 \| 显示全部楼层提示: 作者被禁止或删除内容自动屏蔽

	回复支持反对使用道具举报