WooYun.org

1、信息搜集：
bbs.imbatv.cn(Discuz! X3.1)
http://bbs.imbatv.cn/test.php
http://bbs.imbatv.cn/.git/config
http://bbs.imbatv.cn/robots.txt
http://bbs.imbatv.cn/admin.php
http://i.imbatv.cn/phpinfo.php
http://i.imbatv.cn/admin.php
http://i.imbatv.cn/.svn/entries
http://imbatv.cn/admin/
http://imbatv.cn/i.php
http://imbatv.cn/search?keywords=1 注入
http://webdev.imbatv.cn/admin/
一个一个进行测试，我们逐一进行分析:)
1、BBS的dzx3.1 本身貌似大概没什么卵洞，但是上天给了我一丝希望，让我找到了个phpinfo,我们查看下phpinfo的后半部分。

发现账号密码木有，uc的，bbs的，db的，但是试试证明.....全都不好使。。。。
我们可以留作一个信息搜集库继续向下看。。。。
突然见，发现了个.git的玩意，没尽兴测试前给我高兴蒙B了，之后发现只有一张logo.....
BBS暂时跳过，继续看下面的字域名:)
2、i.imbatv.cn
phpinfo，发现的东西基本和上面的形式差不多，甚至也出现了ucenter的东西，并且让我看到了

之后我感觉这个网站应该有很多目录是挂载过来的。
网站后台admin.php先放着，上天又让我激动了一下子，发现了svn泄漏:)
http://i.imbatv.cn/.svn/entries
之后我进行文件查看（公司网打开svn的文件有的看不鸟。。我以为没戏了，结果回家一看。。诶？粗来了卧槽。。。）
首先admin.php文件：
最上面写的：

<?php
  include 'auth.php';
  $login = false;
  session_start();
  if (isset($_SESSION['user_name']) && $_SESSION['user_name'] == $AUTH['user_name'])
    $login = true;
?>

ok，我们看到了如果等于$AUTH[‘user_name’]的时候就$login=true,那我们看看auth在哪，翻翻svn...结果发现了auth.php的代码:

<?php
  define("AUTH_SUFFIX", ".imbatv");
  $AUTH = array();
  $AUTH['user_name'] = 'ileague';
  //imbatv9090!@#$
  $AUTH['passwd'] = '276051cbeda009552cb68436b60d9c44';
?>

用户名密码。。都有了，登录吧：）看看后台有啥好玩的(例如说上传之类的可以利用的)。

看到第一个名字我笑了.....老带劲了。。。第三个我也留着吧。。。。
翻了一圈，没什么有用的，我就继续看了下svn..
hs_match目录下有个login.php:

<?php
$verify = md5('Just4HsBp2015');
$admin_pwd = md5('Just4AdminHsBp2015');
if(!empty($_POST)){
   if(empty($_POST['user']) || $_POST['user'] == ""){
        echo '<script type="text/javascript">
                alert("用户名不能为空");
                </script>’;

发现了admin_pwd的明文密码，然后不知道用户名是啥。。瞎猜的admin进去的。
关于重置数据的，就一个按钮你整了一个页面。。。。哎。。。心碎了。。。

继续看其他的svn没什么卵收获。
3、应该先测试主站的，其实最开始发现也有个phpinfo(http://imbatv.cn/i.php)，挺激动，没啥用。。。。然后发现了注入点(http://imbatv.cn/search?keywords=1)有waf，开始测试xss来着无意间发现了可能有waf了，双引号闭合mysql爆错。

用tamper放sqlmap里面跑，跑出了数据；

跑出了后台的用户名密码:
admin：imba*********#$
成功登陆了后台:)

权限还是不小的。
在浏览后台过程中，发现了，存在上传点，但是服务器对content-type有严格的限制，目测白名单，该上传啥上传啥，弄了好几个小时没搞定，期间也搞了一下http://webdev.imbatv.cn/admin/同样存在注入，后台口令和那个主站的一样。。。
晚上突然发现是否能够换个方式在后台上传php格式的文件呢？
浏览页面:
抓包:(路径信息phpinfo里面有，跨目录吧)

之后成功上传了卧槽。。。(/mnt/web/*********/dota***/upfiles.php)

可以执行cmd命令，可以msf或者ssock等进行内网代理。可进一步进行内网渗透。
还有个svn的用户名密码成功登陆，各种key，各种config，各种源代码:)