WooYun.org

起初是SQLMAP -G 在谷歌上找注入。
在http://www.ztekj.com/login.jsp登录页面上发现了一个POST型注入。就是下面的type参数。

POST /login.do HTTP/1.1
Accept: text/html, application/xhtml+xml, */*
Referer: http://www.ztekj.com/login.jsp
Accept-Language: zh-CN
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0)
Content-Type: application/x-www-form-urlencoded
Accept-Encoding: gzip, deflate
Host: www.ztekj.com
Content-Length: 55
Pragma: no-cache
Cookie: JSESSIONID=6C8847F062287455A25EBBE1F6DC99D1
cardnumber=123456789101112131&userpass=1234562&type=term

手动测了下，有注入脆弱性表现。Ms2000，SQLMAP却没跑出来数据。

于是在乌云上翻了下，发现之前这个网站有人进去过。
WooYun: 中兴通讯某站疑似后门导致服务器沦陷
御剑找下敏感路径

那个1.rar居然是源码~！这下方便多了~~
看了下上传文件源码，不知道是自己写的，还是从网上改的，能直接上传任意文件。
地址栏输入http://www.ztekj.com/other/upload.html，权限验证部分直接越过。
有时候可能提示404错误，但其实文件以及上传成功了。

小马

用户有点多

查看了下端口，居然开放了3389。添加个用户上去后，发现还有个用户user在线。几分钟后居然被T下来了！看来是同道中人眼里揉不进砂子~~
索性把user密码改了，直接用user登录。果然一堆利器赫然在运行~~

马上先限制登录IP，然后慢慢看了下服务器。网马倒没发现，不过在windows目录下发现了一个svchsot.exe的小马。
把黑阔的工具打包后，下线走人。
有兴趣的可以下载看看，一套抓鸡工具包。
http://www.ztekj.com/download.rar