一次服务商广告检测到控制某APP

本人在学校使用移动宽带，这段时间在上网时老弹出广告，有的时候优酷会因为广告导致页面变成一半大小。某日在网上看文章时广告又弹出来了：
直接访问广告地址发现直接列目录了： - 低调求发展7 J; `7 w/ W0 H" F) p0 l7 C
XXX.XXX.XXX.XXX/AD
PHP文件又没法下载，其他东西没发现什么有用的信息。最后发挥了下想象力，管理员会不会压缩备份?于是乎在URL上加AD.压缩格式。 - 低调求发展, ]3 h2 L/ Q. T# N/ E4 p
XXX.XXX.XXX.XXX/AD.zip
XXX.XXX.XXX.XXX/AD.rar
XXX.XXX.XXX.XXX/AD.7z
XXX.XXX.XXX.XXX/AD.tar
.....

然后还真下载到了备份文件:

把PHP文件翻了一边发现了.svn文件夹，和一个神奇的文件：

之后通过C段发现了几台一样的服务器，使用同样的方法拿下。是有人来过了，还是这管理员喜欢用菜刀管理网站？
然后把文件都翻了一般，发现没有什么后台可以使用，配置文件里的数据库地址都ping不通。这些服务器似乎只是用来存放广告素材。 - 专注网络安全, T6 V6 U8 D4 z6 s# p2 $ d; o V

回过头看SVN里的信息

发现一个陌生的IP，以及一个人名拼音。
用nmap扫了下这个IP： - 专注网络安全0 U, a. T# P v) {9 N2 l: O& f: P

访问端口，看到了这些登陆地址:T00ls.Net - 低调求发展 - 技术无止境 - Focus On Network Security ^& g, F6 B1 _8 S7 h6 x. K* X. B

这个服务器有搭建SVN服务，于是乎用收集到的那个人名拼音尝试同步SVN，成功了。 - 专注网络安全# F4 ?9 _. @5 f8 I

再翻文件，找到数据库信息：
之前扫了端口，并且发现了phpMyAdmin。

登陆之

www.t00ls.net( i. R' Z @* P+ c
然后就是翻用户解密，不一一叙述了。 - 专注网络安全+ K% G7 w( H" s2 X o; y* T
先是投放广告的后台：

有很多局点，不单单是移动，但量并不多。
后面就是一个APP的后台，管理员有点机智:P。
无论我怎么换账号，密码输入对或错。只要我输入了验证码就会这样： - 低调求发展( `7 S4 f) Q5 j4 g8 F2 a+ S
这里Chrome救了我一下，因为输入的太快。顺便就点了一下Chrome弹出的记住密码。8 2 q$ S% C0 }- ^) ^6 @
当我坐在那纳闷的时候，随便点了下登陆。此时Chrome记住了密码，我也没输入验证码。然后就神奇的进了后台。。。。 - 专注网络安全0 C1 P5 r% { u6 g2 J
简单试了几个上传点，最后在“表情管理”停住了，它可以上传ZIP文件，并且还有一个功能： - 专注网络安全) |; V7 j4 N) O# M
于是乎，我把一句话打包，上传，解压。通过“插入图片”，选择图片时找到路径，成功拿下Shell。

完。

原帖地址：https://www.t00ls.net/thread-30477-1-1.html

本文始发于微信公众号（T00ls）：一次服务商广告检测到控制某APP