最新动态
【QQ:2951089139】
针对某企业网站的渗透实战：从外网到获取数据库权限
发布时间：2026-01-19 21:38:59 最后更新：2026-01-22 22:26:35 浏览次数：107
客户需求：篡改某竞争对手官网上的部分业绩数据。这需要获得网站后台或服务器权限。
阶段一：信息收集与漏洞扫描。 使用Subfinder等工具获取全部子域名，发现一个 test.目标.com 的测试站点。Dirsearch扫描目录，暴露出 /phpmyadmin/ 目录。尝试常见弱口令无果，但发现该phpMyAdmin版本存在已知的本地文件包含（LFI）漏洞（CVE-2018-12613）。
阶段二：漏洞利用与Webshell上传。 利用LFI漏洞，结合PHP的 php://filter 协议，成功读取了网站配置文件，获得了数据库连接密码。但目标不仅仅是数据库。通过phpMyAdmin的日志功能，将一句话木马写入网站访问日志，再通过LFI包含该日志文件，最终在服务器上执行命令，上传了一个功能完善的Webshell。
阶段三：权限提升与数据定位。 通过Webshell发现服务器权限是 www-data 。利用Linux内核漏洞（如DirtyPipe）进行提权，成功获得root权限。然后定位到网站源码目录，找到显示业绩数据的动态页面（如 achievement.php ），发现其数据并非直接来自数据库，而是硬编码在页面中。直接修改该PHP文件，完成客户要求。
阶段四：痕迹清理。 删除访问日志中相关条目，修改Webshell和上传工具的访问时间戳，清除bash历史记录。最后，通过root权限部署一个隐藏的后门账户，以备“售后”。整个过程，向客户同步关键进展，并在完成后提供“成果”截图。
相关新闻
参加GRE考试、托福考试等的学生如何才能找靠谱代考机构
2024-08-14 14:13:52
在甄选值得信赖的代考服务机构时，尤其是针对参与GRE在线考试、托福家庭版等高端学术测试的学生群体，他们尤为关注代考机构的专业深度与广度。这类学生不仅审视机构对特定领域如能源环境科学的理解程度，即便面对非直接专业相关的考试...
托福家庭版代考流程以及价格介绍
2024-08-15 11:01:07
远程无忧保分服务： 核心亮点： -个性化考场选择：考生可灵活选择考试环境，无论是温馨家中还是舒适宾馆，均能满足您的需求。 独家软件辅助：采用我们自主研发的定制软件，通过远程操控，无缝对接您的考试流程。安装便捷，...
你的成绩安全吗？黑客改成绩实测真的可以，黑客接单修改大学成绩
2024-08-31 01:40:42
**黑客入侵事件：美国学生挂科成绩遭篡改，归国后学校面临追责困境** 近期，美国多所大学遭遇了一场前所未有的安全危机，数名已毕业并返回中国的学生被曝出在校期间，其不及格的课程成绩被不明黑客非法修改。这一事件迅速在学...
