本来没准备通宵的，在t00ls看了会文章，然后准备睡觉，就在准备睡觉的时候，无意中发现了以前看过的某站（我属于看干劲做事的那种，当时没干劲，没搞下，然后最近干劲十足，在一看发现遍地是漏洞。。。）然后，我的通宵之mysql注入艰难拿shell就此开始......
发现SQL注入漏洞
跑了下二级，然后打开一个个随手测试，因为当时准备睡觉了，所以也就没想过认真搞。。。 加个admin，后台出来，输入admin admin 成功登陆。。。 网站全部是htm后缀，后端是php,环境是Linux+mysql+Apache 后台尝试拿shell无果，就一个kindeditor编辑器上传，别的地方全是统计查询， 后台手工找SQL无果，于是丢wvs，设置登陆状态，然后在手工看了下前台，
发现前台上图中页面，burp抓包手工检测sql，并没有发现，然而习惯性的把包丢sqlmap跑（手工无报错并不代表就不是注入，记得看文章看到某牛说的，一切输入的地方均有危害），结果居然真跑出注入来了，mobile存在注入，好吧，无报错注入，is-dba看了下，是dba权限，这就有搞头了。。
直接os-shell，结果windows版的sqlmap虽然能直接出现shell交互，然而执行无回显，Kali的sqlmap执行os-shell or os-pwn均需要路径，于是花费了大量的时间寻找路径无果，无错注入，各种尝试和其他页面各种寻找均没找到路径。。。
passwords下user，root密码为null，应该是没跑出来，另外跑出几个账号：
[*] activity [1]:
password hash: *7A1CACBE8DFDF8C425B7F6477C931D2E0CF481FE
[*] stockcrash [1]:
password hash: *47063C4B61E623D581B3E6FD24DA59D98FB49248
[*] sumi [1]:
password hash: *3AA5D0588A7F30E12F73F485168F8A7F87F83ED3
[*] video [1]:
password hash: *4A9F271A0E1D7DDF78C299D9174BC543F06C0423
发现绝对路径
思路暂时断了，那么就继续看下别的子站吧，连续打开了六七个，发现都是一个程序，有的后台admin可以进入有的不能，我也没兴趣一个个数据库去翻密码了，一万匹草拟马飞过。。。不过幸运的是，发现有的站的后台的菜单不一样，在点开某后台版本详情处时，终于看到了路径。。。。哇塞。。。
然后在这个站尝试之前发现的sql漏洞页面，然而页面不存在。。。。坑爹！
于是乎，构造路径：/data/http/子站名/ 尝试，结果os-shell还是不行。。。纳尼？？？？
sql-shell 执行select @@version发现可以正常执行并且有回显，能执行sql总算让我草泥马的心暂时不奔放了，
有了路径，能执行sql，直接outfile shell吧，本以为我可以马上睡觉了。。。然而故事才刚开始。。。
尝试outfile shell到绝对路径失败，返回null，访问发现页面不存在。。。偶买噶。。。
这时候只想说一句，我拿这绝对路径和dba有何用？
峰回路转之mysql外链
outfile shell失败让我心中一片死灰，刚刚燃起的希望就那么么有了。。。 好吧，咱继续看子站，然而看来看去都是那套程序。。难道有干劲的本屌还是不能fuck掉它吗？ 突然想起之前扫的端口，打开阿D看了下：
端口很多，似乎我的希望又回来了！！！
一个个端口的手工检测判断，终于发生奇迹了，让我找到了mysql的端口： 6612 卧槽卧槽卧槽，快点膜拜我。。。。
开头就说了stockcrash解密成功，果断连接上了，然而。。。就一个数据库。。。
看到就一个数据库，心里就悬哒哒滴，感觉应该没权限outfile shell了。。不死心的我还是尝试一番：
建表插表都没问题，在outfile shell的时候就大姨妈了，果然呀。。。
然后就想着去吧其他几个账号给解出来。。。
很多收集的hash在线解密都尝试了，无果。。。想着去t00ls发布悬赏找密码帝解密的，发布帖子的页面都打开了，然而看到那个TB>=10我心中就在滴血....穷淫啊，干嘛要这样喃。。。之前发了个mysql解密的悬赏到现在都没人解出来，账号就10来个tb了，难道最后的10TB也要入坑？心中飞过一句草泥马，直接把页面关了（各位大表哥，小弟穷死了，有么有土豪打赏几个TB呀~）
继续思考继续搞，思路决定出路，不能放弃。。。
load_file大杀器
突然想到，这是mysql，且注入点是DBA，路径也有了，我特么干嘛不load_file读文件呢？fuck，短路了，现在才想起。。。 于是乎，果断尝试load_file('/etc/passwd');能读取，那么果断读取配置文件，那么多个站都是同一个程序，只要找到配置文件的路径，一个个站的读，我特么不信找不到个别的账号。。。
从index.php一路跟着代码读下去，终于读到了配置文件，看到配置文件就来气。。。为嘛我不早点想到load_file？早想到能省太多弯路和时间了。。。
video用户正是注入点当前用户，DBA权限啊DBA权限，啦啦啦啦
果断outfile shell，
然而我的通宵是注定了，
[Err] 1 - Can't create/write to file '/data/http/xxx/xxx/plugin/6.php' (Errcode: 13)
就在我边松气边访问地址的时候。。。
不存在？what?你特么在逗我？
果断load_file下，发现是存在的，写入成功了的，那为嘛提示这个？
这时候想到了在找配置文件的时候读到的某个文件的代码：
仔细看了下代码，也没发现个所以然。。。
难道是因为图片目录，没有解析权限？好嘛，换目录，然后各种寻找目录，
全部错误13。。。在看看wvs里面找目录，结果也全部不行，
能成功的目录没找到，不过倒是让我看到了这个，当时那个心情。。。我花了那么久时间找路径。。。哎，不想多说了。。。从来没看到有人在mysql爆路径和php爆路径上提到过Fatal error的方法。。。
既然找不到，那么继续回到图片目录把。。。
奇葩的解析拿下shell
尝试各种后缀，也尝试了Apache的解析漏洞。。。。 txt、htm、php、php5、这些都不行，不过doc和jpg却没有提示不存在。。。 突然尝试到rar的时候，让我眼前一亮！！！
rar不是应该下载吗？
304状态，这是为什么呢？不解，不过好不容易没显示不存在了，我就不能放过rar！！
尝试1.php;.rar1.php.rar.xxxx等很多能想到的方式，最后：1.php.rar特么的居然神奇的解析了，Apache有这个解析漏洞？
至此终于成功拿下shell。。。。俺没啥文采，文章写不出多生动，我只是想说，当我拿下shell的时候，已经快中午了。。。。其实很多时间都是白花的，本不应该浪费那么久时间，然，渗透就是这样，思路很重要，你若想到，分分钟的事，你若想不到，或许就不是一天两天一月两月的事了。