<"<br>请输入需要下载的文件名";
}
else
{  
$filename = $_GET['filename'];  
$fileinfo = pathinfo($filename); 
header('Content-type: application/x-'.$fileinfo['extension']); 
header('Content-Disposition: attachment; filename='.$fileinfo[' name']);  
header('Content-Length: '.filesize($filename));  
readfile($filename); 
exit(); }
?>

<"Content-type: text/html; 
charset=utf-8"); 
InitGP(array("action","do","gid","id")); 
$smarty->assign("pagetag","about"); 
$smarty->assign("page ","index");
$lng=isset($_GET['lng']) && $_GET['lng']=='en'"select * from $table_article where channel='1' and cat_id in(38,39)
order by show_style desc,art_addtime desc limit 6 ";
if($array=$DB->GetAll($sql)){ 
//print_r($row);  $smarty->assign("article_index",$array); }//print_r($GLOBALS);/*seo*/$seo_    
=""; $seo_keywords  
=""; $seo_de ion 
=""; seo_print();//print_r($_COOKIE);
$smarty->assign("action",$action);
$tpl="cn/index.html";
$smarty->display($tpl);//print_r($GLOBALS);
?>

<"htmlcode">

<"mysqli";
// data host$db_host = "xx.xx.xx.com";
// data name$db_name = "dxxxm";
// data username$db_user = "dxxxm";
// data password$db_pass = 'cxxxp1xxx6'; 
$dsn1 = "$db_type://$db_user:$db_pass@$db_host/$db_name"; ...?>


  站库分离，百度site:xx.com“厦xxx有限公司”  

  再访问下http://www.xxx.com/这个域名，通过扫描微信后基本确认“xx集团”主站的数据库是放在“xxx有限公司”的服务器上  

  继续，用navacat连接找到后台用户帐号密码：
用户名     密文         解密明文
axxxn        5xxx0
gxxxn        2xxxc        1xxxv 

0x04 虚拟主机getshell  
接着用gxxxn/1xxxv成功登录某集团官网后台：http://www.xxx.com/manage.php  

  在已发布文章里找了一处可以上传图片的，简单测试了下phtml、php、php%20、php%00之类的后缀均不能绕过，只好只好下载相关文件看代码。


<"name"])
{     
$dir_file=$uploaddir;  
if(!file_exists($dir_file)){   
mkdir($dir_file , 0777);    
chmod($dir_file,0777);   
}   
$filename=explode(".",$_FILES[$uploadname]['name']);   
do{    
$filename[0] = date('YmdHis').$uploadtype;   
$uploadfile = $dir_file.implode(".",$filename);  
} while(file_exists($uploadfile)); 
if(strpos($uploadfile,"php")>0)
{  
return 'no php';  
}   
copy($_FILES[$uploadname]['tmp_name'], $uploadfile); 
} 
return str_replace($config['siteRoot'], "", $uploadfile); } ...?>


  strpos($uploadfile,"php")只过滤了php文件，陷入困境又去官网翻了翻突然注意到一处404仔细一看” 2.0.9 Perl”还支持perl脚本？于是在后台找了一处上传图片的地方直接上传perl脚本，结果还真成功getshell地址：http://www.xxx.com/AxxxT/axxxe/2xxxo.pl 支持perl的站，又涨姿势了~   

查看日志文件发现大量网站记录：cat /var/www/73scan.log也可以直接看web命令：ls /var/www/vhosts    

100+的网站，无意间getshell某公司的虚拟主机  

  任意读取一网站目录下的文件：cat /var/www/vhosts/0xxcom/httpdocs/index.php  

  虽然当前权限不能修改和写入，但是可跨目录读文件而这些网站的数据库又支持外联，你懂的；
  本想试试脏牛提权，但怕给打死了就草草提交了
 0x05 总结
① 精简下整个过程：任意文件下载-连接数据获得帐号密码-后台上传；
② 代码这块有点php基础都能看懂，学个十天半个月就成；
③ 细心吧，看到错误信息才想到支持perl脚本，不过一般也只有linux才会有；
以上所述是小编给大家介绍的某集团任意文件下载到虚拟主机getshell的方法，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对网站的支持！