[原创文章] 拿XP网站程序

程序

出处：B.H.S.T: C3 z8 C! R2 K) m
作者：by:khjl1 $ {6 G/ v  H# ~6 A7 K
  \" Y) S, g" L. o) |' b
群里有位兄弟发了个站: _# t$ e3 ^6 Z; a+ X4 H$ n  w0 `
说那站程序不错~想要个源码9 p  R# l0 H6 B& L) C( H- N
http://www.sucsjz.cn/xp/
打开站点看下/ K* Z. Z7 j# r- H- k+ x, h

确实蛮不错的~
随便看了下  没发现有什么可以利用的; `2 h5 E8 X" z; W/ K) G! j$ d+ l
打开G.cn site:www.sucsjz.cn- c, c2 L8 R  ~! m4 s
找到了这个http://www.sucsjz.cn/qzone/6 N' Q8 \7 K6 J5 J5 M
  `: x4 \3 C2 A# c2 D) T

嘿嘿加了下admin 不存在
admin_login.asp% J$ i* S* a) @# h5 Y  Q
admin admin; \/ ~/ v3 [+ D: Y' Y" l
进后台了+ h; u' s, }3 T; O
粗略看了下  没上传
有数据库压缩。
看到数据库地址~
访问之.3 q* p  J! w1 B, c

%>没闭合  汗...
于是找了下源码0 G1 D  s8 H! Q% M/ W7 v
搜索数据库名就找到了
本地搭建了下访问数据库- _6 V) b  i; X8 n1 ~

9 G4 g' L8 I+ E8 q" t
用记事本打开了数据库7 q6 Z5 L3 A( |
搜索<%
, g2 m0 |0 v0 J5 f9 \
呵呵可以在表情的地址那里插入%>来闭合他~9 ]/ i% T) c( }8 g
本地试了下2 m" q6 G7 z+ t( `" ?
再次访问数据库
还是出错

%无效字节: x8 A; `3 \1 f) q) E9 ]. b
搜索%6 e; j& j' K; C  f8 t- A5 Z
9 M$ M6 Y* ?3 j  \
看了下
发现%应该是在用户信息
所以把所有的用户信息都X了...$ u0 Z* g5 P2 J  Z
再次访问) s: T6 G7 A& D$ j& `- h
一片乱码  哈哈
( I' _- F% e8 {% Z% U' ~
OK了 2 E) ]8 Y+ z$ H
到网站那按本地那样闭合%>以及删掉%
访问之" a" e6 o' L- `% w  A2 [, b+ y
插入一句话- D# p8 E: Q, D/ _. D" J
连接
就这样拿下SHELL了( M! L7 {1 P* N. I- b8 i# s
打包XP程序..& d& R5 v  f' e9 `6 U
闪人.  H0 Q+ ]' F  v. J/ \, q2 I0 \

下到本地一看( F7 t8 |& N* O& z  T$ d) v  n7 P
发现那个XP程序本身就可以容易的拿下SHELL了
只是最开始没有想到...呵呵
太大了  传不上算了~

附件: 您需要登录才可以下载或查看附件。没有帐号？注册

1 评分人数