中国网络渗透测试联盟

标题: 原创-web渗透测试实战大杂烩 [打印本页]
作者: admin    时间: 2023-11-28 20:23
标题: 原创-web渗透测试实战大杂烩

2 n3 d, p4 J2 t1 W 注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图： , q" k# l4 w9 }/ s

! }% W2 m- t0 f0 T0 e

/ H- t1 d+ v8 ^- G5 m image-1688134638275.png + O) C* w& S0 p, z/ }$ d" Q

* w0 n/ q$ S; M4 X# A

, c* y }! o0 L/ Y 然后点vulnerabilities，如图： 2 @" P- @& d: U( _% J( V8 Y" G

' Z2 ]- s3 m3 g+ N

& U( g: ~: H) J# [; C9 s5 w3 j6 o image-1688134671778.png 6 {4 @# }5 w" P- W# e5 {2 i

+ _# ^' K$ X" L# o

7 n0 u6 ~" y; Z4 z1 _; J2 R 点SQL injection会看到HTTPS REQUESTS，如图： 5 e3 a" e- M7 x* ~2 J' S) `

& Y, [1 C4 R8 O6 a. v

6 G* K1 r8 V! P1 s image-1688134707928.png! p" I! r9 {, \

! U8 s3 h# {* O5 i6 F" Y( h& }( _

$ H- M6 E. U6 l3 c 获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8) Z: r0 ~2 o t A2 @: m# B6 s

) Z1 T; @8 g, E, A, Y3 f8 K

+ }/ ~) x- ^/ p8 e# B% B- u Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图： ! O1 a6 z8 p- {3 x

& l9 f" ?) n& Z( e# w: Z

* _% y. {* v. p* D) Y6 ]& | image-1688134982235.png 7 Z0 r/ O( }; P6 {4 T6 N

2 p' V! L7 O" T H* @, h! K: R

& r/ {6 R3 s9 T; J( B 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果： 8 h" b+ O% V" I3 f& l

* }/ B9 @. S; u. s3 I

], t0 k8 E8 F* e T; {3 \# P) U image-1688135020220.png - ]4 x- X- {% A+ X P

" S5 u+ a" Z1 t+ X

+ Q, q; e: B* h H$ N3 d1 p' @( B* \ image-1688135035822.png& z# Z5 y+ H$ E+ e

' e, {# U# T- ?

" x) F+ a! r, I3 w/ N0 t 得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图： 6 R- l' Y4 v* u5 ?& k5 a6 a

# i6 D+ @) C/ r7 H" T; O) b; N

" O7 x* x B0 n9 u/ g* L2 y image-1688135070691.png; B/ t* n+ |/ h" A

4 S' ]# v7 Z9 D k% ]9 l4 _

) D& o4 S6 Z' S* J* r4 e 解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图： 0 d; a p+ Q( k, U% Y0 ~8 D' i

# }2 {1 i& z5 h/ F ^

% H' {+ [9 d/ e8 s y! l image-1688135098815.png 9 ~. x, g( }7 |- }0 e8 F$ c

+ n6 _/ N5 \* Y" r1 V9 m% ]

0 b+ m3 b0 V/ n2 B 通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：: F' u$ }4 ~' Z0 p" o

$ l- v% j% `3 m/ d8 R

8 k8 ]- P3 n" I; |6 ?" w image-1688135130343.png ; C! }% E) m+ K% r; a

: C0 r1 ^3 ?/ g- N! A

Z7 M2 J. C2 Q/ {; e 解密admin管理员密码如图： & J/ U. y: T1 E0 `8 C

8 X- T. L5 B6 h$ w' q! e5 q# Y

) y$ |* W; X; X, y image-1688135169380.png6 V* \$ w4 p7 [) p

. K/ z$ j( F: t; B% _+ k

2 Z1 Z0 e( C, c. E" d9 ]7 E 然后用自己写了个解密工具，解密结果和在线网站一致 2 b: z! r4 F8 g" g" Y

. _' w1 c+ ?) D' i6 w& u

* ?( E1 {; I% Q4 Q image-1688135205242.png " v$ M2 t: C) ~2 P0 P

n% V% ]5 l) _

9 T3 h& P$ ^$ r/ e: v% o& c. N0 t 解密后的密码为：123mhg,./，登陆如图： - Y$ a% x2 m, g# } t! V

) Y8 T# M/ k* P f2 s; C4 J. t; x

L5 F* F4 k7 K( ]' \0 x image-1688135235466.png" a p9 P! z1 I1 w& N

& @' i7 X" N4 @+ p8 h+ B

5 | {( R+ Z- W6 x 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图： n% B0 s0 t. N/ ~

- A" j$ y) r* t6 y: y* D! X

6 p! W1 m% g, P image-1688135263613.png5 Y$ M9 X: q' l# u9 t" a/ r: Q

, i# ?; K# x$ }% R

6 H: x/ X9 W& m# N* X! j6 B0 M image-1688135280746.png 3 \) f/ o/ t M4 J0 k% Y, M* j! Y) A$ Q

/ }. r$ c" o l9 t# d

% Z( R1 L4 v: f9 y 绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图：1 y" z1 c6 L( m# e) W

) h- f& P" ^. n5 ]( }8 i

) H4 ~5 a0 m* `/ U image-1688135310923.png. u5 c9 c' X+ [, N

; p* C% X2 h4 E

1 A6 ^. ?+ i8 b 访问webshell如下图： 3 h. f5 z ]+ d3 ?7 x0 }% _

1 I, P/ l7 p; i. f6 T

* T0 Y V( M; L/ S$ c image-1688135337823.png ( K' c8 E( g1 f8 c7 ]: V

* O% g( x/ r8 } V0 u/ }2 @

+ S2 v& Z9 |: h! m) A% j 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图：; ?. V. K+ x- c: [

M) ?& K9 q( @' ~

% p& Q G: Q: T4 _2 @ image-1688135378253.png # ?% L) o" x% C) q( N1 j

l7 v* Q. e2 M3 R

' v( y' f, m$ I" Q- Y 在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图： 4 X+ x9 O5 m1 N* e6 ^

4 e4 w5 @0 J7 c, |2 d+ x

@( ^8 \+ U8 V4 B image-1688135422642.png' p O6 G8 b4 b& B

1 f0 U7 e3 L8 C- R# T

' j) N( ^4 h" Y% r. e4 |' o* {6 h 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图：9 I! H% K& ]# Q

& O* V1 f) n" t1 l5 Z+ x% {$ Z$ S6 r

2 j( E4 w% h& Y image-1688135462339.png) _4 U9 y% i r/ \! s$ t

" a7 c- t7 W9 C( f5 R

- Q2 M: @% L: ]7 g! X 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。& ~/ `/ l( p' s. |

' E1 e* C. g4 Y

}/ A2 O( ?) H' u' e# I 总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！! J2 ^/ V# \ I3 o' X% L

1 x( U( L: h$ B5 @" S9 M0 p

7 g# R7 y) t d2 `7 e4 j   & |2 I( L" Z0 s9 H; q, B4 K

3 E6 _5 \ j/ z7 |# O! `3 r; U



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2