钓鱼搞我?玩儿大了吧。。

昨天晚上在游戏里卖东西,有个人M我,截图没有了大概意思是让我便宜点儿,我问她能不能瞬秒,她说钱不够能不能给我充500点卡,我觉得可以,就加了她微信,给了她邮箱(我开始以为要给游戏账号的邮箱)。

过了一会儿说充好了,让我去邮箱里查,我一看:

点“激活订单”:

点“下一步”:

真的,在这种场景下很容易上当的。。。我当时已经把账号密码都输进去了,就差点“登录”了,突然反应过来,看了一眼域名:

阿里的域名服务,感觉不太对啊,再审查元素看一下,然后就!!(╯’ – ‘)╯︵ ┻━┻

当时我微信跟她说她玩儿大了,然后就把她删了。

(以下内容纯属虚构,你懂的。。)

躺床上沉思了5秒钟以后,我开始审视这几个钓鱼页面的请求,发现了一处宽字节注入:

看了一下mysql用户,发现是root,小开心,用sqlmap跑,找到当前的数据库czkzx:

这里有个sqlmap的使用技巧:这个注入能用union并且有回显,所以用–technique U指定下注入的技术,但是sqlmap默认只用order by判断1-10列,这里是13列(手动判断出来的),所以我用–union-cols 12-15指定下判断的列数(指定1-15发现sqlmap居然判断不出来)。

利用报错拿到网站绝对路径:

尝试用select into outfile写webshell,发现失败,原因是网站开了gpc。

看一下拖出来的数据,发现里面用户的密码都是以加盐hash的方式进行存储的:

找了几个破解了一下,都没成功,并且最关键的是我根本找不到后台在哪,于是我打算试下XSS。

在输入账号密码的地方插入XSS Payload,然后去数据库里查看一下:

发现数据在入库前做了HTML实体编码(后来我用sqlmap的–sql-shell去查看的时候发现是没有编码的形式,这是因为sqlmap在显示查询结果的时候做了一下解码,如下图)。

由于没有列目录漏洞,于是我就去读了几个我知道的文件源码,发现确实做了编码处理:

由于用mysql_connect方式连接的mysql不支持堆叠查询,所以也没办法用update修改数据库里的数据,XSS的思路好像也不太行。

接着想到一般这种钓鱼站都会有给fisher发推送邮件的功能,果然在数据库中找到了邮箱和密码:

但是试了一下,密码不对。。。

由于在源码中发现了数据库的root密码,于是我又回到了利用mysql写webshell的思路上,唯一的障碍就是gpc,如果能直接通过3306连接那就没有这个问题了。

尝试ping一下目标域名,发现是阿里的cdn:

试了一些方法,没有找到真实IP(其实也真不一定有公网IP)。

没什么好思路了,于是接着看源码,发现网站根目录下的index.php内容如下:

看到一个新的域名,比较好奇就ping了一下,发现居然不解析,应该是很早就到期了,现在没人注册。

然后我看到了下面的file_get_contents,突然看到了一些希望:

我可以注册这个域名,然后让钓鱼服务器访问我的网站,这样不就能获取到他的公网IP了吗!(前提是它有公网IP而不是内网映射出去的。)

一般mysql默认安装很多是0.0.0.0,但是这不意味着允许root用户远程登录,于是我先通过注入看了下:

看到%了!

抱着一丝希望,我花了45元注册了这个域名,然后把www子域解析到了我的服务器上,然后访问这个index.php,果然!我的服务器上出现了一个IP,百度了一下发现是香港的IP,不是阿里云(当时用Python启的服务,没截图,看下和小伙伴的聊天记录吧):

怀着激动的心情,我用nmap扫了下3306端口,发现端口是开放的:

连接mysql:

可以,很舒服!尝试写个phpinfo:

之后用webshell看了下权限,很低,目标mysql是5.0的,直接上t00ls的udf提权脚本:

成功拿到system权限:

查看下端口信息,发现3264端口是远程桌面的端口:

创建用户,登录:

Game Over.