说明：来这里潜水也有些日子了，看大家都很热情，就把自己的几篇拙文发来献丑了，还希望大家多多指教呀 ：）对了，本文好像投给了黑防9月，现在发出来应该没关系了。

    韩国网站美观确实做得不错，这个网站就吸引了我。网站性质为在线招聘，类似于国内的中华英才网和51job，在熟悉网站架构和应用逻辑的同时，我粗略浏览了一下网站内容。发现韩元真是不值钱 ：）

    点着点着，不一会儿就发现了一个注射点，字符型的，用order by猜出字段数为43后开始尝试获取内容，见下图：

 发现“3”和“4”两处可以显示内容，那么把“3”替换为user()，把“4”替换为version()后回车，如图：

 MYSQL的版本为4.0.22，那就有点繁琐了，没有information_schema这个库，无法直接跑数据，只能手工猜解了。

    在把“4”替换为database()后看到了当前数据库为jobcruit，见下图：

 非root用户并不代表一定不能load_file或者导出一个webshell呀，我们来看看当前用户是否具有file权限：

 很遗憾，没有file权限，同时还发现magic_quotes_gpc为on。

    那么目前的处境只能猜解数据进后台然后想办法得webshell了。先来看看是否存在admin表：

 不存在，我又试了几个常见的比如admin_info,admin_user等等表，但却都不存在。此刻有些郁闷了，于是又回到网站上浏览目录，也没什么发现。转向google，搜索site:jobcruit.co.kr后返回400多项结果，不多。很快便发现一个有趣的目录：rankup_module，很可能是某个名为rankup的系统，那表名的前缀也极有可能就是rankup，于是我再次猜测：

 啊哈，存在，很好 ：）那么看看admin：

 太棒了，管理员表果真就是rankup_admin，那么我们继续猜列名：

 字段名id存在，至于用户名和密码字段，先不急猜解，我们先找到后台再说。根据站点的应用逻辑，我很快找到了后台，可是，却出现了意想不到的情况，如图：

 尝试login.php结果如下：

 下载 (25.04 KB)

    后台无法登陆，难道是必须要前台登陆后才能进后台吗？

    首页有普通会员登陆框，通常来说按照程序员的逻辑惯性，管理登陆的字段名往往和普通会员相同。我们看一下首页的源码：

 看到了吗？密码字段名为passwd，呵呵，先猜出一个用户再说：

 使用这个用户成功登陆前台：

 发现有上传的地方，试试直接上传一个shell看：

 很遗憾，对文件扩展名做了限制，只能上传jgp,bmp,gif和png的附件 ：（ 不管它，现在既然已经有了一个普通用户的cookies，那直接访问后台看看，然而，结果跟前面一样，还是不行……

    回到前台上传的地方，修改文件头后再次上传还是不行，不停修改文件扩展名，超长等方式都尝试了，仍然不行，看来这个地方没得搞。

    这下有点郁闷了，后台是摆设？还是做了什么奇怪的限制？

    转念一想，站点通过ftp管理，而我现在可以获得后台的管理员用户数据，即使不能登录后台，但也可以用来试试ftp。因为按照我的经验，很多站长的后台密码都跟FTP密码相同 ：）

    说干就干，开始猜解管理员数据：

 很顺利的拿到了管理员的用户名和密码。而之前已经知道当前数据库用户为jobcruit，因此很有可能FTP用户名也为jobcruit，确认一下后发现确实如此：

 接下来先不急登录，ping一下域名后发现服务器或外围防火墙没有过滤ICMP包，能够ping通，那么用nmap扫描一下端口先：

 怀着忐忑不安的心情连上VPN后开启putty进行连接：

 2.6.24的内核，脑中反应出几个exp：vmsplice, kmod2以及近期才爆出来的几个。

 服务器已经连续开启104天了，很不错 ：）

 来看看/etc/passwd的内容，以免数据太多造成刷屏，只取前100行：

 查看该用户曾经执行过的命令：

 很好，获得了当前用户mysql的密码 ：）并且知道该用户喜欢777，不好的习惯喔！

    再来看看他在mysql里面都做过些什么：

 回到网站，来看看网站都有哪些子目录：

 drwxr-xr-x 3 jobcruit jobcruit 4096 Feb 19 20:49 馆措府累诀

 接下来找找jobcruit这个用户在/etc/passwd中的情况：

 为了保险起见，先写个php一句话后门上去：

 出于好奇心，进他数据库看看：

 来看看管理表的结构：

 再看看是否有其他管理员：

 来看看有多少会员：

 才621个，不多嘛，有些失望，不过这些会员的数据可以拿来做韩国的字典？了解韩国人的某某习惯？呵呵，利用价值就请各位看官开动脑筋了。

    好奇心也不是无限度的，下面准备提权：

 权限很有限啊 ：（

    看看内核相关的包都装了哪些：

    [jobcruit@wa64-054 new]$ rpm -qa | grep kernel

    kernel-2.6.9-42.EL

    kernel-devel-2.6.9-42.0.3.EL

    kernel-smp-2.6.9-67.0.15.EL

    kernel-largesmp-devel-2.6.9-67.0.22.EL

    kernel-largesmp-devel-2.6.9-67.0.15.EL

    kernel-devel-2.6.9-67.0.22.EL

    kernel-utils-2.4-13.1.105

    kernel-smp-2.6.9-42.EL

    kernel-devel-2.6.9-42.EL

    kernel-2.6.9-42.0.3.EL

    kernel-smp-2.6.9-42.0.3.EL

    kernel-devel-2.6.9-67.0.15.EL

    kernel-smp-devel-2.6.9-67.0.15.EL

    kernel-smp-devel-2.6.9-67.0.22.EL

    kernel-smp-2.6.9-67.0.22.EL

    前面已经知道内核版本为2.6.24，在ping某韩国网站后发现可以外连，随即用wget下载了针对2.6.24内核以及2.6.x的所有exploit进行提权，但是均告失败 ：（

    最后在多次尝试之下终于用某个非内核local root exploit提权成功（读者可自行上去练习，注意安全），我成为了root ：） 至于下一步该做什么，比如破解root密码，安装rootkit，或是继续进行内网渗透，那就视目的而定了。

--转自

此文当成小说看还凑合，实用价值不高。