|
+ [/ E5 A& @% e0 _! w
) l8 [8 X" n, [0 Q
; C4 b5 B- m/ E" `! i3 \
! ~8 `9 k8 l) \: @6 D2 ?# M% Q2 |: X 1、网站弱口令getwebshell
, j" i5 ~( I1 n. Y/ l0 |
经过一番手工猜解找到网站后台，习惯性的用admin admin竟然进去了，浏览一番发现可以配置上传文件类型于是配置上传类型如图：
% T! j- \7 p4 J9 _3 @1 E7 B- C. H
+ y0 c# Z& L# w @- R( A, w2 Q
( [& x# \* d$ n8 a! ]# _ M; P
( Y; m) z! o' q* U, g. g
u P& C* u4 h4 e
然后去找地方上传，上传的时候发现虽然配置了asp、aspx但是仍然上不上去，还曾经一度用后台的sql命令用db权限备份一个webshell，但是由于权限设置问题导致拿webshell失败，抽了一支烟，沉思了半会，决定在增加个上传类型cer，看看果然可以成功上传，如图：
5 F: Q' s I) j
! q" F* U1 G+ h) }+ u
$ T. Q6 r& R: o: a* e
& E/ ?0 G- h, u
2、各种方式尝试反弹3389
- J) {# j; c" p4 `" W. g拿菜刀连接执行ipconfig /all,发现是内网，如图：
I& j$ _! d( D$ \0 P" L
/ { s5 E% P @" d! u0 Z& _& P
. V( l* h+ C3 N+ n
服务器开了3389，下面我们想办法反弹出3389，笔者测试用lcx,tunna，reDuh，均以失败告终，貌似像开了TCP/IP筛选限制3389登陆，好吧我们想办法关闭掉这个，方法有两种一种是用mt.exe执行，笔者这里用修改注册表的方式修改，方法如下：
! G& ?* A2 t+ ]. r7 y6 T
! c) n' v+ |( D( o6 Q1 v0 WTCP/IP筛选在注册表里有三处，分别是：
* h% K4 x7 l6 J |6 i$ Y
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip
% u* E5 f# L, @7 rHKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
1 x+ V) {! X* h; t. [8 K
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
C- `7 @5 b. c! k3 }( V0 B! J% a6 |
) x1 r5 ?+ f+ E% ^, e7 t) P
导出到自己所指定的目录进行修改：
" e) `2 y2 u5 Y/ A. B$ U% L; U& N& u. p
regedit -e D:\ 网站目录\1.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
( A( z# }# j; A+ w" I/ X
regedit -e D:\ 网站目录\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
$ E' M0 O2 a% H& g4 j- s" Hregedit -e D:\ 网站目录\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
, n2 U. `$ Q4 U( d7 Y
, p4 e) r1 m) i9 N0 V* t& A6 ~# J
然后再把三个文件里中的：
0 h c2 u1 K, R+ P6 e“EnableSecurityFilters"=dword:00000001”改为：“EnableSecurityFilters"=dword:00000000”
& d7 r' F/ L" `# w1 }- g5 d5 c再将以上三个文件分别导入注册表：
. T# g/ f& `1 j! D8 i/ M! q) X* c& [
regedit -s D:\网站目录\1.reg
% h; `) _" D: x$ c( o' A2 g; xregedit -s D:\网站目录\2.reg
# h- A8 t- B* V9 D
regedit -s D:\ 网站目录\3.reg
) X( L0 K. z1 d3 g重启服务器即可！
3 d' K8 K; U Z% f7 J' A* @
但是导出注册表打开看貌似不是TCP/IP筛选限制，因为找不到EnableSecurityFilters，好吧看来不是筛选限制，那怎么办，据说国外有很好的工具可以正则代理，我分析很有可能是做了安全策略导致的，因为我把防火墙相关的服务都关掉也不行，操家伙，工具名称叫：reGeorg-master，下面看我操作，先把这个代理脚本tunnel.aspx上传然后执行
3 U% S6 i: _7 W4 |3 H
. f! S; L) v5 @7 Y& ^. ~4 u
* m6 Z5 |2 n8 O( j1 ? B! h
9 L8 M, r3 X' i% F4 S. C0 h. l! x然后还需要安装个程序SocksCap，然后加载如图：
9 r# A4 e) B9 n2 E5 ~$ E
( o/ c: B+ E. F+ Q
5 a" y+ @7 W7 T S下面我们开始用mstsc连接内网ip,首先连接10.177.2.14，结果连接不出来，连接另一个内网Ip 10.177.250.1也失败，后来干脆netstat –an一下发现目标机连接到10.177.2.11，端口是1433，如图：
3 G" t! Y2 X0 f& u S5 A: C: Q
5 Y2 z/ B6 z* N4 t* [+ V7 }7 {( V! W
; z- ~$ c- r5 H- p
c; W9 M5 D/ X4 D0 I% |
3 H3 k& L. [$ a5 H h5 u9 G
既然使用s5正向代理，那可以试着连接一下这台数据库服务器3389看看，连了一下果然是可以连通如图：
" j. V9 p" [& Q1 H4 K7 p! X& y2 ^
, I/ Z( U, f$ C: e
' u# {+ y4 [' d' G
* e# h& t. @2 Y8 x- |
! P) m. i/ N7 R4 |0 |
2、数据库提权与ms15-051提权双进内网服务器
' U% v6 i( |/ Z3 ]* H1 \/ [. \
OK，现在的思路是翻网站数据库配置文件，找找sa密码然后先给10.177.2.11提权，然后再在11里面连接目标3389，没翻到sa密码此处略去300字，不过翻到一个账号是sa权限，连接数据库执行命令如图：
4 e( Z" x/ H& C8 z6 ~
5 ^* s( }4 m+ O p J, Z0 c
; X* P& A4 U, q4 Q; ?9 D; Y
/ l) Z; g6 z3 w! M, c
添加账号密码的过程就不写了，肯定是可以进10.177.2.11了，下面我们还的给目标机添加账号密码，经提前测试，发现存在ms15-051漏洞，直接上exp执行命令如图：
. v8 X2 k4 K) T3 w
2 W4 T3 f9 f8 O! B& s' x* F' l* C
! H& Y# l7 n- s I; e" n! y
6 z# A/ K1 p* \9 Z( q4 B: W! G同样添加账号密码，终于进了目标站的远程桌面如图：
; F( @8 ~- w1 {8 T1 ^
' v8 c# U, V* x* k! ^# T' e3 S& I/ s
总结：至此这个网站的漏洞算是测试完了，测试中途有些卡顿，主要技术问题是反弹3389，测试各种反弹工具都失败，后来经验证不是做了TCP/IP筛选，我用远控也无法上线，貌点像通不了外网的样子，但疑惑的是为什么数据库服务器的3389却可以代理出来，同样在数据库服务器中远控也无法上线，如果有遇到过这样的朋友，请回贴不吝赐教。。。先在这里谢谢大家了。。。 * g! r1 S K/ ~8 c8 [
- u9 |6 x' b( H6 `1 P& E; { o7 R7 R* D
" s% N j' I4 b | 
发表于 2018-10-20 20:16:49
收藏
支持
反对