巧妙渗透:从注射点直接到root

韩国网站美观确实做得不错，这个网站就吸引了我。网站性质为在线招聘，类似于国内的中华英才网和51job，在熟悉网站架构和应用逻辑的同时，我粗略浏览了一下网站内容。发现韩元真是不值钱 ：）
点着点着，不一会儿就发现了一个注射点，字符型的，用order by猜出字段数为43后开始尝试获取内容
    发现“3”和“4”两处可以显示内容，那么把“3”替换为user()，把“4”替换为version()后回车

        MYSQL的版本为4.0.22，那就有点繁琐了，没有information_schema这个库，无法直接跑数据，只能手工猜解了。
在把“4”替换为database()后看到了当前数据库为jobcruit
非root用户并不代表一定不能load_file或者导出一个webshell呀，我们来看看当前用户是否具有file权限
        很遗憾，没有file权限，同时还发现magic_quotes_gpc为on。
那么目前的处境只能猜解数据进后台然后想办法得webshell了。先来看看是否存在admin表

    不存在，我又试了几个常见的比如admin_info,admin_user等等表，但却都不存在。此刻有些郁闷了，于是又回到网站上浏览目录，也没什么发现。转向google，搜索site:jobcruit.co.kr后返回400多项结果，不多。很快便发现一个有趣的目录：rankup_module，很可能是某个名为rankup的系统，那表名的前缀也极有可能就是rankup，于是我再次猜测

啊哈，存在，很好 ：）那么看看admin

太棒了，管理员表果真就是rankup_admin，那么我们继续猜列名
字段名id存在，至于用户名和密码字段，先不急猜解，我们先找到后台再说。根据站点的应用逻辑，我很快找到了后台，可是，却出现了意想不到的情况
尝试login.php
   后台无法登陆，难道是必须要前台登陆后才能进后台吗？
首页有普通会员登陆框，通常来说按照程序员的逻辑惯性，管理登陆的字段名往往和普通会员相同。我们看一下首页的源码：

   看到了吗？密码字段名为passwd，呵呵，先猜出一个用户再说  使用这个用户成功登陆前台
   发现有上传的地方，试试直接上传一个shell看

很遗憾，对文件扩展名做了限制，只能上传jgp,bmp,gif和png的附件 ：（ 不管它，现在既然已经有了一个普通用户的cookies，那直接访问后台看看，然而，结果跟前面一样，还是不行……
回到前台上传的地方，修改文件头后再次上传还是不行，不停修改文件扩展名，超长等方式都尝试了，仍然不行，看来这个地方没得搞。
这下有点郁闷了，后台是摆设？还是做了什么奇怪的限制？
转念一想，站点通过ftp管理，而我现在可以获得后台的管理员用户数据，即使不能登录后台，但也可以用来试试ftp。因为按照我的经验，很多站长的后台密码都跟FTP密码相同 ：）
说干就干，开始猜解管理员数据

很顺利的拿到了管理员的用户名和密码。而之前已经知道当前数据库用户为jobcruit，因此很有可能FTP用户名也为jobcruit，确认一下后发现确实如此
   接下来先不急登录，ping一下域名后发现服务器或外围防火墙没有过滤ICMP包，能够ping通，那么用nmap扫描一下端口先：

nmap -v -sV -O 211.*.*.105
PORT     STATE SERVICE        VERSION
21/tcp open     ftp          ProFTPD
22/tcp open     ssh          OpenSSH 3.9p1 (protocol 2.0)
23/tcp open     telnet       Linux telnetd
25/tcp open     smtp            qmail smtpd
80/tcp open     http           Apache httpd
110/tcp   open     pop3           qmail pop3d
443/tcp   open     http           Apache httpd
873/tcp   open     rsync           (protocol version 30)
1311/tcp open     ssl/http    Dell OpenManage httpd
3306/tcp open     mysql       MySQL (unauthorized)