|
! i3 Q3 Q1 F D# z. r1 O 注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图：
& {$ k0 c7 r7 {8 V$ q
& c0 D1 D9 L) {+ u
1 E2 G# z- _9 m* b) O4 [; n  4 h/ G$ U& P$ B/ ~4 ^0 D3 N
+ c1 O1 z; f% L) v w# `9 F9 O* c3 x/ a$ N* r* H
然后点vulnerabilities，如图：
8 |: m) q* A, X* H0 F& |; t , B1 U/ Y' k: \0 u1 R
" H4 [' n" s0 `& m* w3 p 
; A0 e+ z7 R4 }* ?
1 j) _: L+ n% j( D R3 P5 Q0 T$ f
, ?3 M6 z( u& B+ { 点SQL injection会看到HTTPS REQUESTS，如图：) @$ e6 ^9 b; o0 E3 U' R% m
( s5 S7 I- R3 @
/ T8 a9 q- F( y* D D1 K8 i 
! O5 B' D6 K! `; _1 f2 C& u) R. n
; K! g& q# O; Y& f
+ @; a K# x' V f- p 获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8: f% d4 C: n. y) t: g( E# q/ f) X
% b6 v6 C4 w$ i6 W9 k t3 k
4 @% e( s1 x# v1 Y( {
Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图：! g" F" }: J. y0 B5 j- l5 h
2 `$ T! D5 e* C
0 b) K4 l$ }9 I4 s! R. F D" s3 w0 [
+ X9 Y1 ?, ?) t6 B/ B% Q
7 n N/ @* e) Z
! s" Q. D4 G5 h* u$ G 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果：
6 Y) l+ M( S) X, r, \+ ^/ q
, M" M1 e I2 C
: o$ W- h1 `9 Z x2 B7 k  . c+ Z# }+ V( ~3 D" |
+ b4 [$ P& ?6 t7 J$ s/ d
9 _+ i1 n; ^7 _3 w. T* T; W  & d8 ?# ~ E' n/ b
2 b q# s$ O. r: ?
9 T- {1 X8 X! `* n 得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图：& U% \0 @' i( o- e1 ~" e- f% p6 n
S/ h3 l" Z! i' I8 \+ N$ x8 ^7 [8 [% O3 F3 c4 n
/ ?, ~/ X' \- e6 f, ` 5 `2 y8 U, i; y3 ~1 J9 h7 {
. b, W1 c8 w/ M5 `# p
解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图：6 r# S+ e3 C0 Q4 h) ]2 G
) J! X* y" i& q0 d7 k& b. ]) n& H
, L8 H4 |$ o |2 K- n" J' w  ; s$ `4 g3 ~. a: ~0 P( f$ D
3 Y& |& z3 F/ K0 p7 F" D
; I$ [, y1 W9 d9 w: ]! R
通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：
7 D$ f- f5 y2 _4 {1 K& _ H 0 ~$ p7 K9 a8 r$ g
3 _& c8 J2 W3 M) e
 ; y r* w% v, s; b
f& A9 g4 l( @$ z: P4 W: p
$ V5 e. y5 x4 r& M 解密admin管理员密码如图：1 s/ ]- e$ g5 c- P/ C) M# i
0 q2 t) `4 j) L- Z; d. x
; _( b3 j: O( J. S' M 
. v! c- k0 u7 B9 o; ^- X
1 W3 j( k7 {( Q* m# c; V( y0 p
然后用自己写了个解密工具，解密结果和在线网站一致: P9 X8 l7 V% }
% O9 p) w- z1 L* i, x6 o7 d- D6 U! ~0 G2 }% J! t8 A g0 Z
 ' |. l* X1 ^1 g- p5 ?" B! l
+ `' \, D4 x: C/ y( F$ P) U6 s0 N* k/ Q9 u; s5 C# U
解密后的密码为：123mhg,./，登陆如图：. O7 G" a J0 |- l% k H
, W* u! n' D8 _5 Y7 e/ ~) S4 r4 X) i
 8 r; X g# j+ g$ A5 J% S3 S" L. }, I
: ^$ r3 p1 ?3 k. V
' J% z5 L$ Q: G' O 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图：
6 _# D* U2 T) b% C% j$ N- g
9 F- N Q3 ~+ ^3 O* |5 H$ W1 m- K1 t5 o/ B, q- e* n% K4 e
% a$ o7 `9 V0 m) s) ~4 _( B2 u7 u 5 a- ?' B4 \; j4 T, x4 j
8 @( ?0 K9 g K/ R4 V; |  ' N* q% ]$ s; _7 Z
! I7 X- P; x) Y6 p; {
) @) k4 ~* A$ ~: p7 O/ ^! r 绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图：
, }' e) {( \5 Z1 [" r" M
$ K1 N) j8 I, D9 c q3 q/ [: K5 S- y8 w4 \: e5 P+ W3 L: t( M
- R! T6 [6 r" R/ U9 z; M 2 A6 {1 N/ e5 d5 Z+ V
5 v2 E2 G2 V% j: _( n 访问webshell如下图：0 n' d, c; A! z2 a
% }5 ?$ M. h- v6 \1 }' b3 a1 w' [
 4 n) l4 z, T( \5 {% y( w6 M7 Q
9 @& _5 O; `1 B; z8 h; F
+ S$ t$ C" |2 S& ]/ m D 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图：5 ?7 {5 J3 }( `! | _- |# N2 i3 j
) ?/ X+ F1 U6 }, y8 e. f @9 ~% x r7 E9 |
 2 }* v2 f2 I8 p3 J: J
$ @- W8 C j- m! C' P9 M5 G/ Z9 \$ S% w1 N( y. c M
在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图：$ t5 b& }4 h" o' \. ?
1 `$ w3 w. R) c! T) T
- X5 ~3 Z8 a* n/ e
 % c! @; J' x7 i: O; r! n
4 {$ P5 I, O$ l C. M" c
; [: N% ~# {9 p1 R; Q6 P
通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图：
) R( \, X8 }9 K6 s0 `- w# n& z 0 Z f4 i# ], t3 g# m) ]3 q. I
9 [ L: q9 T, g. }8 p, {
8 F% u( ]9 o+ K; ]/ e
0 f' D- y8 q# i# @7 e6 j
9 ?7 G" A- _/ E* j( Z8 A 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。
2 z5 [" Q, K7 U6 U, V4 q, A' } ! R V6 D/ L( J0 A8 p' `2 [/ I" V
' k9 k) Q+ |$ y% d. D3 S# j 总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！4 n+ `# T% p, c& |! R3 r2 m
0 X' c+ U8 g/ Q, r; [( i- p7 T. s3 Q8 {* A2 a- z5 X4 `
{& }6 H4 f5 j
1 g- {" b: t" y/ a | 
发表于 2023-11-28 20:23:22
收藏
支持
反对