|
# z j: d b _5 V
注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图：
# b1 M% O0 A$ Q* E 7 ~6 z) ]. O$ y( ]0 e8 }
4 R' _8 g7 A, }( w 
* Z. [, U: y k# V' l8 K; }. K
8 j" P4 |2 P; h4 B9 c* |" b: |' |$ W7 i" o5 A6 J6 n
然后点vulnerabilities，如图：
9 ~; C% O/ y- i8 m" C
' F+ u1 |8 l7 K9 Z2 A9 U+ G( G D: H
' \7 i! y! g- M) c' P7 g 7 s# _0 {9 G! c! X$ x3 v
& F0 F& M& o% O6 x
点SQL injection会看到HTTPS REQUESTS，如图：% K9 F$ x1 u1 ]& a
9 b" f2 o( ]. [* A- b; k& O1 x. Y$ t
& d8 J3 D* [1 F 6 _$ {1 Y/ c! k# C0 [6 N/ V3 g
% y! `% f% l/ N+ ] F( g9 f( X 获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8
" w @; V: c/ n1 v- G
8 i1 u% h' ?# j$ B/ m( i' ?2 a) e
2 a! c8 p! z7 \: O! n: I Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图：2 q2 M2 ^ P! b
1 S) _7 B! C6 ]% \+ s: d+ n" b
1 ~+ Q4 L0 j3 A( s& t. A# \ 
3 `) L* ~( H; ^, {( J0 E 1 t/ l: [9 Z) n* s1 l
5 r5 R5 t9 C9 R- A) V: S4 u! g 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果：
3 j `" G6 I: t* [; z1 N
4 S. x" L: Y5 I: z. n$ O. m
' |2 Z! V, ?6 k$ q4 x) n2 G' F  $ h& b' j8 d3 f$ v
9 a* G5 w% M( J- t0 s8 R' V; F: d( d
* d! v- N0 E; d9 y 
# O: t o4 N, N! E& y( A7 }& M 8 f6 t- a: Y) _4 m
) Z3 o! V7 i+ G- @8 y" A 得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图：
% l6 K4 v) d6 p$ L* W
& ~' c: u5 f2 v% d1 G/ W
( r8 q8 u4 E& H. l$ c; r- p% j 
* q, q( r( D2 @* m D/ r
5 t* f* H) ~) Q" M- P) Y
: @4 k1 ]3 ?) \- \7 U* y6 F- J 解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图：+ z @1 H6 n2 Z) u$ E# `, E4 N
; \+ {! Q1 u' {
' E! L1 N+ C" v6 p  " ]+ Y9 m' A$ D$ I- [
& U: t* g2 T+ q) C$ m+ N; j
' D5 `$ J* w8 D# n5 Y8 B7 M
通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：
/ [) T! M2 b( t1 r
+ V1 o) ^! f% ?7 c1 n9 Y# a, ^& O4 M
* M. I: w" f2 W 
3 ]6 N! \& l# ?% Y# {( x& c % b6 u/ c8 m$ v4 o4 n( E5 O( L6 x1 ]# q
( K$ G# ]% B) H* _0 C 解密admin管理员密码如图：
: M _! Y0 v. B # w. M* \+ R0 c$ F( {% Z/ l8 X
& n j7 k$ }! C' ?; t
 * J7 F0 S. f: S: y. ^( D+ v1 N
, q: d7 a) a5 l6 l5 u3 F
1 L: Q5 s) y6 g p$ L 然后用自己写了个解密工具，解密结果和在线网站一致% Y% E1 G6 k6 n% }6 D: d
- w" L% I1 q3 t# @5 I: h% R; {8 }7 s8 V
, T' v5 x, q4 M( }$ U U
, r( \3 C' u& p% A+ j
: `4 ^( q0 I' G) Q$ D
# a3 G0 ^( Z& N 解密后的密码为：123mhg,./，登陆如图：3 v# f* H- Z& T( O: `- o) X$ n% v+ D
( a+ A+ f: f& Y5 |
5 O* e, |5 Q9 w" R- p. Y) w6 d
$ W( ~( w# `% F. t
" p( h5 k! @. v4 U- y% X
7 z$ `/ [; L0 w9 X r5 n) [ 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图：
% J+ a. h: s0 M X$ w 8 G) n0 {3 f# I7 f; F. z/ \
. F' J% X) m; X% k7 I. b* \ 
2 e1 j% v. x% m2 T ! T* i! d* G$ k; Z: @2 ^% b
3 ]7 C! G1 P4 T) g  . N( w3 b0 L R2 S( z- t3 N
2 q9 {) i- w. ?
. J; Q( @. M( U
绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图：
" r/ N' n. W& }% ?) i! Z) E
# t* t+ D+ a$ ~2 I( I# Y" l* P$ h" ~" y; o; J$ g- w8 y
 & Z1 J4 r9 q1 a% w6 K, r" A
3 U; M! `4 ? N6 n1 C
6 ^0 y8 X) J- O" `
访问webshell如下图：
9 |7 {( S9 N& L/ o- @ \" d/ @
6 r) S0 T1 t# G$ Q/ `6 s9 I4 N; w: S) E' o) o
 $ o* L% t+ Q$ q" _3 n" z6 F
" @/ D! Y, {: d6 X/ @: N
5 q! R% ~/ j5 I: H$ i 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图：
; m+ H& K( Z$ z& w/ T& Z
0 b y" }+ R" o
/ F" z# ~2 k: J% H5 `' S2 S' T- o 
5 X0 A- `6 P& q( | [
1 m, b1 i. ^- d* R7 d- O* |5 k. s; F; b" E0 n7 ?
在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图：
) Z' X4 y3 ~2 i
8 t' A1 T; B2 q6 B2 l" B7 ^, S! \2 C7 h7 T
 $ [+ h2 E+ B/ z; d& L( T1 W& m
) ?" _1 x4 c8 V
, R3 k8 T* E% Z$ u1 ]3 } 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图：! C* z% e4 G; T1 M& v
6 c6 B; f, r3 |( e
) p V% x1 n0 x) L4 _8 P+ O 
/ w& n) h8 c" s( I" d3 f# f " \; [1 j" n' y: d
$ ?$ {$ `% @, H6 n3 D8 t5 x
可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。8 j$ t4 x6 i% e2 f$ a( D* x7 Y- x
8 ~8 h T3 b/ h# G$ A+ F. W
S$ E: ~# L* t) v8 `. _ 总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！: ^% N# x9 A) P# H. Y1 O) q. w: f
$ t. V& U% p. L8 {% i
5 p. ]+ _; x/ L) z9 V- b: a7 H
H. [4 ~2 F" y0 L8 f
0 ]6 r J% N# s. P3 U# }8 F: n& K# d! N | 
发表于 2023-11-28 20:23:22
收藏
支持
反对