[原创文章] 拿XP网站程序

程序

出处：B.H.S.T
作者：by:khjl1 ) Z9 C; B6 |1 ^% R2 M& S7 B- ]

群里有位兄弟发了个站3 e% u! ^# |6 v$ e& Q5 w
说那站程序不错~想要个源码2 Y8 s" V: ]0 u% |. K
http://www.sucsjz.cn/xp/
打开站点看下& }  D8 P% g3 K8 T3 |( L0 k- H
. J8 v, o- _: s  ]3 U

确实蛮不错的~2 |9 y4 \6 A) t1 ^( m; c
随便看了下  没发现有什么可以利用的
打开G.cn site:www.sucsjz.cn
找到了这个http://www.sucsjz.cn/qzone/
6 ]+ Q: a0 S" E0 |0 L* {& Y

嘿嘿加了下admin 不存在 4 b8 Z9 G- W9 [; x2 ^0 O1 N
admin_login.asp
admin admin
进后台了
粗略看了下  没上传6 j0 w, s# L% ?# w( P6 Y$ q
有数据库压缩。, o# B: S6 ]& l5 G% t! i
看到数据库地址~
访问之.; Z& w, P6 G4 K" A) i5 X$ Z. k
$ A2 J0 g$ _7 l' g
%>没闭合  汗...
于是找了下源码9 U: Y& ]$ |# I$ {
搜索数据库名就找到了
本地搭建了下访问数据库

用记事本打开了数据库
搜索<%

呵呵可以在表情的地址那里插入%>来闭合他~0 R# R, ^3 n- L4 o2 P# e
本地试了下) K0 l! s8 u$ ]1 F
再次访问数据库8 S' p7 W/ P7 ?
还是出错

%无效字节4 r$ d) _0 [9 X& v, W
搜索%: v( K' {! X$ P+ S5 O: x

看了下
发现%应该是在用户信息
所以把所有的用户信息都X了...' b. \- }; [* e* Y9 @
再次访问
一片乱码  哈哈- {0 _- b% M  w0 o  ]6 F
. P$ ^3 x/ b! j+ L- ]& Q4 d
OK了
到网站那按本地那样闭合%>以及删掉%. Z& @" F1 R/ [2 L5 U/ g1 |2 w
访问之
插入一句话& _+ \8 B* \$ _4 |+ @# H! u6 f+ V
连接. p$ q% {7 E& u  ?& t1 }, k
就这样拿下SHELL了) t9 R! b# [$ E( o
打包XP程序... |$ W  }% l7 L7 ~
闪人.& C1 R0 K  g3 t1 L( H( x# g

下到本地一看4 S2 I3 {  w- X$ B8 E2 k& {/ `5 S
发现那个XP程序本身就可以容易的拿下SHELL了! m0 G- s/ b' |9 f2 O
只是最开始没有想到...呵呵7 [7 ?5 K* q9 {! q% s
太大了  传不上算了~

附件: 您需要登录才可以下载或查看附件。没有帐号？注册

1 评分人数