[原创文章] 拿XP网站程序

程序

出处：B.H.S.T) }' o' W1 g/ D& @1 U, M) |
作者：by:khjl1 / C" U: w2 e* J5 L% b/ c, [

群里有位兄弟发了个站" m7 ~; n) v- m  K
说那站程序不错~想要个源码% J  ?- ^3 k0 p0 u9 K
http://www.sucsjz.cn/xp/
打开站点看下' `7 D, Y& Z  P. \3 ^" A0 l" j
$ [5 v3 m2 r! b# B3 }: y5 ^
' E0 [8 U. |- V
确实蛮不错的~
随便看了下  没发现有什么可以利用的4 [/ w4 Y! e' _$ n3 V0 S6 y
打开G.cn site:www.sucsjz.cn
找到了这个http://www.sucsjz.cn/qzone/- c- q* ?5 W: ]. z; `

嘿嘿加了下admin 不存在 ) R3 i8 r/ [# }4 o* x/ }: w( Z# a
admin_login.asp2 J9 c; a/ T2 {% G$ u
admin admin0 a: q$ k8 P: ^' b9 Z) U
进后台了
粗略看了下  没上传
有数据库压缩。
看到数据库地址~. [! c6 b- s4 Y7 i
访问之.7 f1 j7 ?* g/ I* ]' F

%>没闭合  汗...
于是找了下源码
搜索数据库名就找到了% S# X2 n4 x/ Z8 H
本地搭建了下访问数据库; _" I. Q$ c. q' f6 M9 A% w! `
  G' b0 M0 k# G1 v; J8 w
! d" c- ?4 U; g2 X7 c6 f
用记事本打开了数据库
搜索<%

呵呵可以在表情的地址那里插入%>来闭合他~
本地试了下" Y* Z. h+ h. O( U# {
再次访问数据库5 }6 H! X2 s$ u
还是出错6 v- t; m/ }  T# Z( p# J4 A

%无效字节% e4 K9 k* x) o- ^4 m, o
搜索%1 A' h! M) I9 [" U. i, E

看了下3 ~' ]6 ~( ^& V) n  P8 u
发现%应该是在用户信息
所以把所有的用户信息都X了...$ Y! @9 T) A7 N* c2 m: Y9 k
再次访问
一片乱码  哈哈

OK了 3 q+ F' x' Z4 S" x( L: f+ r
到网站那按本地那样闭合%>以及删掉%
访问之
插入一句话
连接
就这样拿下SHELL了: E1 v# `! n; b% g  V' h
打包XP程序..
闪人.

下到本地一看
发现那个XP程序本身就可以容易的拿下SHELL了: K, e. ?* }% H2 O$ s, L. s
只是最开始没有想到...呵呵
太大了  传不上算了~

附件: 您需要登录才可以下载或查看附件。没有帐号？注册

1 评分人数