|
* p; w. h, N" L% D6 m( r2 T 注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图：3 |' \; o6 L) ]3 t$ Y: F. b
% x% R. }+ S; [3 d8 F
. T% L- S E o. h2 Y7 ?& {# X 
9 i5 W5 j$ y+ _5 Z" z; _6 m * w5 ^- ^2 A$ O
2 I7 y2 g+ w6 I5 W' o% j
然后点vulnerabilities，如图：
; W, ]- l0 g$ v! Z
% H& q6 x" B$ p6 E# p
* L, H4 O0 \ y0 f# c1 p. c 
( A U1 [ G g: n $ {2 x; S: s0 y$ S/ a5 c
$ T, j9 p' G5 Y) N D" Q
点SQL injection会看到HTTPS REQUESTS，如图：
5 b/ ]! i: Y( h( a1 z' _3 R * ^" _5 \) B2 K x8 j% _
2 B: Q( n4 h& b
 ; O2 h$ H5 ^. t |
9 X; Z# c$ M6 K( q: ?, l" d+ [2 [6 x# I/ C* \
获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8( D! h6 |- y$ c, d
2 W! H+ i& u, J& w6 P( \3 B3 n. H' ^
Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图：
5 W* k, y+ h: N0 P # g! _, e* R4 W( ^; M z! ~
m: w8 l0 |' Z& t) P$ c8 H  1 ~7 R! G( y* T0 Z& F- i" U2 }8 a0 B
+ O2 q; u- R! `5 w* P
/ W4 j4 r# K( e$ l# ?; p 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果：
/ j* F& u/ _ F: r' N ' y3 m# [0 k L9 `3 m
) I/ h& r: q8 t3 d' r0 d  \: t" l. i4 i" j' f) u5 C
" ?# A5 e, N8 E5 [7 C
0 D: p' b! ~ ]" ^+ F% _: M 
% F) f; O' \4 B8 B6 C" |& I& d2 n
# J" ?7 ~" B# S" @1 L |6 { W$ |& `5 q$ z$ O
得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图：
% t. j1 ]) t& M& s# w* e
. ^" b/ |$ N+ ^3 V( ^/ W$ Y i- o# b( a: Y `7 o
8 c. v' T* Q2 u% t0 N: U+ b / U/ ~' i( |- V( h, |$ S. i6 ^$ A( q
- W {$ @: T4 `
解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图：3 H. T% [( j' \6 a% }
4 @6 F* j# e0 ]# c8 K& b
8 W3 H# E9 k, s+ o# h6 i9 }' p" O 
+ [: R+ Z( Q/ M1 _7 Y! I 8 R, ]" ?/ q4 O9 D
# {3 x5 s4 i) H" F# w
通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：/ M6 D, m* [% G; `( f0 `
3 _7 Y& n% G1 b& I6 B: h) F
9 Z5 `' x; x2 h5 T; Q; C3 b; e 
J4 o+ E- S- A3 |) T$ p+ {" L * ~/ Y9 B. c L$ U
+ T* p+ d, p/ _- l9 D 解密admin管理员密码如图：/ x b3 i5 S( \+ g, J) d
* o( I, c7 k' T0 _* e. @, }9 V+ l- T$ j0 @9 ~" f' `! U2 G
- |1 x1 o6 J+ b/ K$ c , ~6 l& t8 v" t0 |' ^& h4 |
6 |- Z% d% I5 b$ X, y 然后用自己写了个解密工具，解密结果和在线网站一致
/ a7 \5 K0 @- } ; s" j! u+ _% p+ b5 c0 s2 R, _
4 V3 F5 S- M6 O7 |2 z$ o; b" F 
% N4 \8 S# W' B5 u7 u( h, c0 L ' N6 O) A: t5 H* T2 G8 G5 B6 Z/ o
( n/ G- q) M f' n) }, m* w# Y 解密后的密码为：123mhg,./，登陆如图：
/ D- W. U8 B: J, \" {) T/ { 7 E$ @7 [' D0 p S4 b$ l' c
" ~6 y. `- q3 {0 ^
 9 N+ N) L8 M( z+ e# X2 S# ] v, H
+ h" m3 H9 O; C) u) w2 i, g: Z! Q
, x4 V% C! E9 y* z3 K( q 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图：5 _+ _ J" K' S+ a8 W
# n' a, B4 g* S% C$ k \
O, ^; K4 o! ^0 q8 {9 @  $ U# M% M, M: I# P3 Z1 e
/ A3 S c8 ^* n% N- y1 w! \* i/ I1 l
( [( C* ^ U3 B  j; G& d9 y1 g, d1 g0 k7 A
1 G. I: s$ m2 p7 f Q
4 q( g, A3 N# p a 绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图：- U/ a) m) O+ S B# F+ \1 }
( F, }' `4 `$ Q i0 h" W) }# V8 c; `: k) N9 t3 I
( J5 Q1 O1 ~0 T; C* [. O. B3 I' F
/ I: Q! m. V1 e* H! l: F0 t: p/ h! O
访问webshell如下图：
$ [- l; n/ Q; M* Y . D0 g7 P5 n/ |8 _
5 B4 a' Y7 q. t2 T' q/ V  D, n7 [: m# C# E+ Z2 }, A9 z- A! a" {
" s2 `- s$ I0 _5 t+ A5 l' p e9 D0 B! U0 @8 C
4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图：
- Z* o, S" W; U( a+ Z; q8 h' Q " C* J3 ~7 Z; B
$ G' \* N: y/ i+ ^5 T  + [. ~7 r4 N8 F$ Y, b
1 h+ k- p0 [* m% v4 [4 c" g1 E6 j6 e
% \+ W- [+ d% v$ t, P
在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图：
8 z+ }* n" g/ E4 f: C& D / ^2 f, W7 S% B ~1 `
; C y4 [ Y$ O8 g# D1 x2 W" C5 p
4 v. e7 s4 X. {9 q 5 y2 n! P" I! A. @/ |9 I, j$ Z- r
/ U( _# p: h' D, r 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图：, e# j! R3 f# P( h% o
1 K3 Y+ G8 P; }, |! x; O0 A% I+ `' W
W1 q9 Y4 q& i/ h6 ?; s% i
; C* d% M" y( \5 q4 s + j1 `8 i) K9 a) E" n4 G) m
! V' X8 ~; Y& Z- ]/ C) W
可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。9 h3 E9 a$ q- c2 R% V2 I6 O
7 d/ a8 n8 h# a
! Q% D8 F. `' C
总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！: c2 c% U- ]+ o [9 Q% }( e3 u
+ [' R2 a, C$ Y# T( [$ }* h" G; L! a9 D
! A; o3 L0 H7 H
: d: q6 I, l" E | 
发表于 2023-11-28 20:23:22
收藏
支持
反对