对常读和星标的公众号才展示大图推送，建议大家把李白你好“设为星标”，否则可能就看不到了啦！

工具地址，不然兄弟们又得说没附地址

https://github.com/maurosoria/dirsearch

.project文件 sql目录遍历 uploads目录遍历 phpmyadmin泄露 superadmin 目录phpmywind泄露 include目录遍历

首先看sql目录

下载后发现是sql的导出文件，有php版本 phpstudy 查看一些信息发现

somd5解出来密码是rock1980

尝试admin rock1980登陆phpwind phpmyadmin未果，用root rock1980登陆phpmyadmin，成功登陆

secure_file_priv设置为NULL，写日志文件又不知道web绝对路径写不了shell，陷入沉思

沉思的时候翻数据库
找了一下发现另一个admin表，怀疑是phpmywind的管理员表，md5解不出，自己加了一个用户进去test/testtesttestaaa，登陆成功

发现是低版本phpmywind 5.3 可以后台任意文件读取 结合之前的include路径遍历，可以读取一些敏感信息。

看了一下功能，发现后台可以改允许上传文件后缀,修改php上传php发现貌似被waf拦了，改为phtml上传成功

连上马

然后发现有disable_function无法执行系统命令，但是没有禁用putenv和mail

于是用LD_PRELOAD + putenv绕过

https://github.com/yangyangwithgnu/bypass_disablefunc_via_LD_PRELOAD

phpinfo发现是centos 64位
于是上传64 位的so文件，配合php，成功执行系统命令
下面执行了ifconfig

centos系统内核比较老，可能可以提权，但怕搞坏机器就没继续了，内网也很大，可能可以漫游，不过还是要先提权，就止步于此了。

文章作者：evoA

原文链接：https://xz.aliyun.com/t/6018

福利一枚：对钓鱼盗号站渗透

对自己学校公众号的一次渗透