中国网络渗透测试联盟

标题: 原创-web渗透测试实战大杂烩 [打印本页]
作者: admin    时间: 2023-11-28 20:23
标题: 原创-web渗透测试实战大杂烩

! B; _0 r6 P& b9 L9 p- K: W$ s 注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图：/ b0 E7 ]- G/ C% k

- }/ \2 l: B8 \- k& u

) D# R* M! \: l1 V+ z image-1688134638275.png5 h7 j3 t$ [5 e9 O2 j6 L

2 N) \! K' |& U" T& p6 o& ~1 A

( W7 j! j5 w+ ~- ^2 t 然后点vulnerabilities，如图：8 y% h) J" Z* h% z9 N" w( W3 [! V" D

, A. F& d# X7 @6 ~ R

$ P+ {5 X+ `# |1 W7 n6 A. z% r image-1688134671778.png. X$ {$ o q4 j8 B

. b i& }7 e) L& w( d

3 y* A% S7 F7 h7 S 点SQL injection会看到HTTPS REQUESTS，如图： z* ]6 j$ d p$ l/ U

\7 [8 ~2 C S/ N( s5 r

3 Y# v9 Y8 S: D3 `) u9 K, H image-1688134707928.png 9 B. ?) o% o# r9 _) W7 b: H% M6 N0 S

+ N: e8 c& L# Q o3 k" l

' d4 U% g4 v$ ~: n! u5 H; B* P 获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8, g' p& R: F8 u5 C" X

: K8 Q5 j% u z- v3 l6 N

3 [9 g$ M" S# h* O% C9 p- r Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图： . N# j2 X2 p2 e2 R1 G* I

! b+ ?/ U7 M. ^+ R* c5 q; ~9 n

% m7 s' |& e1 t, ], n' p K& p image-1688134982235.png + X1 r+ ^" y" V1 G) h+ Y

% H, _9 }$ ]# [: F3 s- `

2 l7 D$ z2 l1 u2 z. X 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果： 3 K: r: L* Y; H4 Y

" J2 r+ y. R1 F, s q1 ~

: w6 |& R5 x& G! R image-1688135020220.png 9 V0 c) O5 _1 f. L" b% i/ F1 c

" b9 K% S3 y$ T) m

( N& O" r1 _: {1 M image-1688135035822.png 2 J. e4 d2 R; a- t2 @

( c1 D" ^. b# {

; P( K# t" }* P1 w 得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图：8 Q+ |+ X# w- W. Q( X, K

: U" X5 `5 L: f7 Q8 q1 g0 K+ u# l

. b- T2 P5 m$ a; ? image-1688135070691.png * M% A6 {( m1 W0 ]

) \1 `. {1 m( i7 U3 [' |2 G

% U6 L8 ^8 ]& ]- }; k, e- |1 G 解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图：/ z% [0 `& s% K, g! f

* p' Y( }3 v' ]) |9 S2 E$ k

, A- ]$ C" p* D) M" Q5 `' B' C$ A b image-1688135098815.png2 y1 \4 `' G5 m. `

; D2 Q1 ^4 x) c3 {" @" u

- J1 [8 G v# k4 K+ N9 |3 Z 通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：5 w/ p/ O% N' X* `

3 R; ^" c: e/ C, k! |

4 \5 h- x7 W+ L: A image-1688135130343.png* Q5 l: d8 V/ ~/ U6 d6 ~

8 Z" o( N1 S& C3 }0 f

2 i9 Z Z( G- n& \/ H 解密admin管理员密码如图： : n# k$ s Y. d

2 w9 m$ {. H$ B7 o* p+ S# g

, a+ E# T5 ~% m# p image-1688135169380.png% g/ X/ N: c$ I1 ^ ^

# z- B. A. n. M$ W7 ?

5 c7 w0 Z" _( ]# `8 c: A% n 然后用自己写了个解密工具，解密结果和在线网站一致6 }* F) C4 y) B+ {: T

0 {; Z, V8 e" E

4 A4 N. V o# r+ V5 U% l image-1688135205242.png : T/ V. U$ l5 T' ~. K" R, u3 ^- M

: P; U' U1 \5 O2 v- `& P( b

! h2 s4 V: _* B/ y8 g h: o7 | 解密后的密码为：123mhg,./，登陆如图：6 S/ Q* r# P4 U$ d

) @& S A$ m* @# G [' D/ x ^

" k+ s8 k9 C9 V5 Q; @ image-1688135235466.png : `( ^, i6 {2 F% ]+ J% w( d- [

& m* Q6 _/ c! }' H4 E, W& \

$ f+ P& }: x0 i( ?* G 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图： 9 |- N b2 r L3 s

" V1 P0 L c# D) c1 z/ \# @

0 v3 j: n, ? O/ ^5 P" ?7 H1 p( { image-1688135263613.png # D! |8 ^7 Q6 n2 G9 r$ G& n

* m. }2 K% y1 s

# `8 v. G- T+ R+ k- v: h! S image-1688135280746.png , C N) f4 N% w' D) B2 H

. M; \* q' o; e D) r+ r

% L; z8 p4 @0 z- X, x7 h 绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图：" v. ]6 m- C0 X, ]# q: q

( _$ d7 }: Q. U4 u3 ~' Q `

9 |( I% {. t/ j+ @+ b8 c& X image-1688135310923.png6 k! Q+ U, \9 S' ?7 a8 f5 B

5 ]* @$ A$ P( T" p9 M; @

6 `$ d% Y4 B4 b( Z6 W6 h 访问webshell如下图： r" \% J! f5 r4 m9 C0 k8 y

! U- m7 L4 B& O6 R* h" F

/ D( X, B* u9 q image-1688135337823.png9 ~3 X/ y2 ~1 [

# _* U; [/ _, n, |; ]" l b/ k

; j! }4 _2 N, K4 ] q/ P8 ^# l 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图：1 L3 i' {. q' H5 F5 D. q1 ^3 g

, \6 C% O1 e0 M+ p# r* `& |6 ?

2 ?! Q& {" |# A8 \ image-1688135378253.png " ]* P% U! g- A) F; W

( h4 M0 G, ~8 ]( B

- n5 k7 f& ]+ L }& P 在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图：6 H' [- g' \1 J% V7 I

w9 x) Z# {6 T' @* I

9 e, C- d; m( i l. \8 ~ image-1688135422642.png- B2 g" f; ^/ m8 N

" N2 N. F3 ?) J2 H( }8 k

9 r, M. K- m# w& O, t( H% L 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图： 1 s9 y1 a; `/ |0 x) G

0 Y9 p8 ?; Y) r4 F! H. J: i- n# g

: E5 O" j3 q2 l$ v6 T image-1688135462339.png+ M) R4 {7 E; ?# ~% R% x4 B

. G- i& x( F. ? O+ X

$ O. F9 S5 X9 ]# ?# N4 ^9 A( u 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。 ) Q% Y% u! J6 y6 e6 q" g2 X

, F6 Z( L2 Y6 P& a1 k( w, \* k

2 y3 t% b8 F/ A+ y- k6 N 总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！ 6 ?1 C8 R! r2 X9 n* ^1 ?

! E! g' T8 {- j2 N: Y: m' _

/ ]2 C1 t! f# X   # F* o' e2 Q. n. G; D+ u

2 {' ~( V' N5 a' c9 C, g3 F



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2