【转载】入侵厦大过程
作者：冰sugar[D.R.T]入侵起因
今天没事做来到百度搜搜看有什么好东西的，于是就想起了住在厦门那么多年的用“厦门”做关键字看看有什么好东西的。（如图：1）排行老大的竟是〔厦门大学〕〔Xiamen University〕。看来流量不小啊！于是想起了帮他检测的念头！
[img=458,87]http://www.qq3389.cn/indown/attachments/date_200802/02/image001.jpg[/img]
陷入困境
工具促进生产力。说干就干，于是我拿起了工具想大干一场，打开啊D注入工具。我们先别急着看他的主站！主站应该很强悍，要不然早就被人家XX了，还轮得到我吗?我先打开 [url=http://www.google.com/][color=#0000ff]www.google.com[/color][/url] ，然后利用高级搜索，输入：site:xmu.edu.cn 然后选择 100项结果！GO... 哇，好多哦！进入第一页，看看有没有什么动静。结果没找到注入点！在搜索第二页，我就不信注入漏洞绝种了！但是第二页还是没有，在来看看第三页，倒！还是没有！再第四页，还是没有，直到第六页哗啦哗啦的红色字符跳动出来！哈哈，看来有希望了！猜出了用户名：admin，但是始终都猜不出。
[img=378,360]http://www.qq3389.cn/indown/attachments/date_200802/02/image002.jpg[/img]
（如图：2）
而且google搜索到最后一页了就仅仅有四个注入点！而且还是同一个都是猜解不出来的！不知道今天怎么了，运气真差！过了一会儿，工具又给我找了个注入点，帐户密码都猜解出来了。
[img=304,71]http://www.qq3389.cn/indown/attachments/date_200802/02/image004.jpg[/img]
(如图:3)
但是我用MD5破还是破不出来，难道是不是传说中的人品问题？！我想难道是工具的差异吗？我有拿起了另外的啊D，扫了一下才发现原来工具和工具之间是有差异的！就连同一个工具都不例外！我重新用工具在google搜索，这次的注入点就比较多了！看来我的运气开始好起来了。看到了[url=http://isip.xmu.edu.cn/][color=#0000ff]http://isip.xmu.edu.cn/[/color][/url]有注入点处于好奇进去看看,原来是：信号与信息处理研究所多媒体通信课题组。后台管理还明显的放在最下方，用啊D猜解只能猜出id，其余的什么也猜解不到，进去一看，用弱口令"or"="or" 进，进不了，难怪管理员那么大胆把后台放在首页！接下来又看到了一个厦门大学漳州校区学生会，于是我进去主站看看！又是一个后台管理，
[img=385,278]http://www.qq3389.cn/indown/attachments/date_200802/02/image005.jpg[/img]
如图4
这会的后台有了，管理员帐号也有了，但是密码一直就才不出来。真TMD的！看得着却吃不着！
峰回路转
不过上帝还是公平的，我P颠P颠的走到了厦门大学生命科学学院,我粗劣的看下架构我怀疑是动易系统，拿起工具乱注，看到其他的文章都是html的静态网页，应该是动易2005的内核系统.试了动易的漏洞却让我失望。管理员还是蛮聪明的，还知道打补丁啊！说什么厦大的管理员也不是白当的啊！我逛了逛整体的网站意外的发现了里面又放了一个站，好像是提供给他们内部下载软件方便而开设的吧,叫做：::常春藤:: - 下载天空。拿起工具注注看，抱着失望的心态随便看看。意外的是竟然有低级的注入漏洞，
[img=421,273]http://www.qq3389.cn/indown/attachments/date_200802/02/image007.jpg[/img]
（如图：5）
于是拿下了帐号密码，接着就是后台了，这个任务就交给工具。工具果然不负众望的检测出来，用拿到的账号密码登录成功的拿到了后台。嘿嘿！进入了后台，看看有什么好利用的！看到了天边的一道彩虹！激动ing啊!
雨过天晴
进入后台，直到看到简陋的后台，看来估计这套已经很久了吧！看到了显眼的上传的字眼。
[img=408,264]http://www.qq3389.cn/indown/attachments/date_200802/02/image009.jpg[/img]
(如图:6 )
选择好上传的上传目录，随便找了个图片上传，提示：上传成功！我有顺便抓了只小马传了上去却发生了一件事。
[img=417,48]http://www.qq3389.cn/indown/attachments/date_200802/02/image011.jpg[/img]
（如图：7）
[img=403,42]http://www.qq3389.cn/indown/attachments/date_200802/02/image015.jpg[/img]
他好像过滤了。我该了小马的后缀为lenk.asa 。显示上传成功！后来我发现原来他只过滤了.asp的文件其他的没有过滤，我又上传了.cer 等都可以！访问我的小马，我的小马早就静静的躺在服务器上面了！偷笑啊！拿了批13的马传上去。就这样，顺利了拿下了webshell。
[img=357,236]http://www.qq3389.cn/indown/attachments/date_200802/02/image013.jpg[/img]
进军服务器
用webshell进入后，看看有没有cmd的运行权限，显示拒绝访问！跟我想的一样，后来我又传了cmd到C:\Documents and Settings\All Users\Documents，运行cmd，还是拒绝访问，还好13的马有端口扫描的功能，发现了服务器开了pcanywhere在服务器的硬盘上狂搜了一会儿之后找到了pcanywhere的密码，于是下载下来破解了密码二话不说就拿起pcanywhere连。成功地连了上去！发现管理员administrator的用户锁定了。于是有跑回到webshell看到了熟悉的43958端口，用Goldsun的Serv-U 提升权限 ASP版，创建用户为lenk$ 密码：ice。果真创建了帐户。用PC连，然后重新启动，过一会儿用我的帐户成功登录上去了！到此为止，已经拿到了服务器！
[img=361,155]http://www.qq3389.cn/indown/attachments/date_200802/02/image017.jpg[/img]
（如图：11）
[img=417,297]http://www.qq3389.cn/indown/attachments/date_200802/02/image019.jpg[/img]
接下去就是看看服务器里面放了什么好东西，倒是逛了逛也没有什么有价值的东西,清除了日志，闪人！
入侵总结
这次的入侵算不是很幸运的,也不算很成功！这次能拿到服务器的原因之一也是因为管理员没有修改su的默认密码，让我有机可乘的！因为不知道出了什么问题3389都无法连接！不过也算拿到人家的服务器，我么能做人要厚道，不要搞什么破坏。在入侵的过程中也学到了不少的东西，也认识到不少的朋友。当你们看到这篇文章的时候，我已经把漏洞告诉管理员了，希望你们也不要再次检测它了，毕竟人家也是厦大，中国的名牌大学！ 好好学习，天天向上！ 一个国家的 帮忙检测下漏洞就可以 不要改东西了
页:
[1]