找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1656|回复: 0
打印 上一主题 下一主题

原创-web渗透测试实战大杂烩

[复制链接]
跳转到指定楼层
楼主
发表于 2023-11-28 20:23:22 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

; ?* t# u# a; q :各位同仁,今天晚上主要防止被限号来凑个数字,这篇文章本来是给一个机构做科普的,所以写的有点怎么说,反正土司的人看了会骂哈哈,大家凑合的看,文中哪怕有那么一点半点东西,能给大家带来启发,那么我这个文章就没白发,所以大佬们轻点喷哈哈,嘴下留情哈哈。 1POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入,直接在avws下的Scans---target下点击你扫描的过目标如图:$ M- q" H6 C) u

5 c% [* r& X" Y0 @; a# O

2 D, [# b. E5 g5 L image-1688134638275.png: V1 ~( D, s. U$ p

/ c8 \( H) g* V" `+ w+ r4 e

0 N' [/ e7 } X; Y9 I2 Z- b 然后点vulnerabilities,如图: " T. M" w8 z' h3 @4 T- ~% i

9 h6 Z+ |/ U3 q( r* H9 D' p

7 K2 c c( j1 Q" x0 b1 v, p image-1688134671778.png* p1 C# N+ `6 t% P+ z

$ w$ x6 ~8 O# X

- m- r6 t5 t$ C/ v2 d6 a SQL injection会看到HTTPS REQUESTS,如图: ( O$ c8 c4 O* ]/ j

) R( I- x0 p& ]( O; Z* x

" b3 X* R% [) y+ B, ~ image-1688134707928.png 2 I5 r8 i5 N: v6 [/ Q. D6 R

1 A$ P6 O3 i/ `2 g

. `8 J; T: S: i 获取到http的数据包,如下: POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8 # O. }3 h5 h# b

/ p+ j$ Y' X! q1 j) k

+ e8 _, z4 J# n7 T, S Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下,保存为1.txt,注入参数提前用awvs已经识别,注入参数是productType,注入命令为: sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump sqlmap命令的意思是读取数据库cciZy_user表的用户名密码列名,dump就是保存下来的意思,会保存在./sqlmap/output下,以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图:% P" y/ @+ x& P: c$ b# Q

9 W; g* `* c# m! B

! ~& ~; r! Z& o0 R8 ~ image-1688134982235.png ! u- w$ [/ C0 e0 \7 |$ L5 l

; y" Y. b% K! d4 E/ p0 [# O9 `

; v% J4 @8 B; _% \2 \ 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值,为了更深入的测试网站后台是否存在其他漏洞,需要黑盒测试模拟黑客攻击进一步测试,故对网站目录bin目录下的dll进行反编译来获取加密密匙,最终成功解密密码。 bin目录下的dll全部加载到Reflector中,然后通过跟踪常用用户密码相关的类函数,得出如下结果: * o p) |2 ^1 p

: F) x) g2 y1 J1 z" ?

P0 M4 o# J$ p1 T7 W, D image-1688135020220.png # V" c. W) t! V4 a8 @8 \/ N3 s

# [8 d5 d; [: u

! w7 l0 s4 p4 W5 Q2 S9 n# _7 ?& p image-1688135035822.png . k( ~$ @+ V( J* ^( O% U/ n8 k

0 t' @; }- w6 j0 a

/ U8 {( r( v# O; ^) R0 _ 得知密钥是fkue且为des加密,接着定位encrypt类函数找出其解密方式如图:! e1 {% C9 S/ v. J; Y L

# c8 C3 E& p8 k% y

5 [% ~/ k: x2 J image-1688135070691.png# k$ q; ?% v- {) X7 x1 N0 b

3 o# s6 ?% C6 A1 u$ y2 \4 @) i: H

$ F. G3 J; L% s 解密方式是把fkue使用md5进行加密,然后取32md5加密值的前8位作为加密密钥,如图: ) c1 F7 w: U6 j2 T

A2 `2 q! h ` j4 F/ @; V

+ t( O9 a. K5 D* E" K$ @" K- a% T, o image-1688135098815.png / k7 `" J' |, C2 a* \

* {( X" s1 Y; ~, c

' r- F3 B. X8 [4 ^ 通过在线解密网站解密得知加密密钥就是:1110AF03 前面sql注入步骤已经成功获取admin的加密值,如图: 9 g' Q/ K4 j7 k9 J

9 ?4 P) v" \9 q" v6 }7 m

& `+ x- |4 p" f image-1688135130343.png/ W# Q% O7 B3 Y+ R+ M! S

' I6 F3 q- u7 S0 F3 \1 v0 b

) Q5 a- W/ b4 a" M 解密admin管理员密码如图:" N H) C1 S- T0 L% A- M

" i' ~$ u d @; q/ u+ l$ y; `

9 j; A* Y4 S# V' s+ j image-1688135169380.png) g4 w0 h5 J A& `

; d9 e% P! E; G

) `4 w( J) o; t 然后用自己写了个解密工具,解密结果和在线网站一致5 H" I: T. d' U T$ }" X8 m

3 E; Y2 |$ b5 _( k9 U- ^) |

% I1 z6 ?9 ~6 R/ H image-1688135205242.png + B6 ]% |& A5 t% a/ `) A/ r

$ r: o' O+ Y0 Y5 L, n) w

6 `* P8 l- K( j8 d7 N 解密后的密码为:123mhg,./,登陆如图: & H t/ i) Y6 z _6 I

# d. M7 g$ N# J; U5 g9 V X

8 O1 W* T7 s( d5 W! f$ e6 G image-1688135235466.png % `9 w, v8 `! @, {. R. [

# A2 l5 C7 }; x5 G5 K! Y c

; P; {1 q3 R- l; a a+ C 3、后台上传绕过漏洞getwebshell如图: 登陆后台后,在添加信息处,会有上传图片的功能,随后使用burpsuite抓包如下图: * h# d/ z9 e! G3 U$ g

) _! T4 m: f" ?- U: n' g1 j- t2 w

: x. @8 _" c9 O/ _9 f image-1688135263613.png0 V+ T; u7 h6 y4 z

: j& n$ [. r3 s

& b) G* z# v1 r image-1688135280746.png( s7 x; W2 ]/ ]

% K* W( y/ ~ P% B; V+ d8 [

, [2 A3 r B! y+ [: E 绕过上传限制,只需要把包里的filename1.jpg改为1.aspx,即可成功上传webshell,如下图: / t& T( _* \5 _! F0 E6 V, b. Z

6 J+ H9 [/ D; U9 B4 I

7 L% W0 ]" |2 Y% ~ image-1688135310923.png- j7 k. o# V1 _

, u4 ^; V6 r- Y V$ C

3 X( o! W7 ~4 H+ F 访问webshell如下图:# P8 e8 W% F9 M1 s# F9 z

) ^/ B! _) w6 C

: h: ~+ r, |6 N. ` image-1688135337823.png 1 g ]1 K* O o! I+ B' r8 n

% @* L, \7 C O3 {, T$ f. b( g

8 Z3 c/ K# H) f4 Q' b+ r' ^ 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能,注册成功后,同样在上传图片处可直接上传webshell,链接为http://www.test.cn/userRegister.aspx,登录如图: * R9 q$ H- S5 X: d

# |( S+ ]# S" s* u% O

% h* s) |8 N; F6 Z1 G image-1688135378253.png3 o! }4 m5 q& G) f( F

+ }! l; {* E; C# W

" o$ V& C& {# i 在上传证件或者头像的处可直接上传aspx 后缀的webshell,上传成功后,点右键-属性,可查看上传后的webshell路径为:http://www.test.cn/Admin/upload/demo.aspx 然后登录如图:( u. j2 e, N9 D

5 c% c2 M2 O. w# B: Q

8 _* r* ~) p1 { O3 S5 K9 u) B; M* L image-1688135422642.png & H, x. \) X" A( X( S2 B$ d

7 `2 n6 L9 t- D& @" v6 ^

( J4 I; L: M( M! V6 h; |3 { 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图: & E8 C X1 S) K; A- a7 M

' g, A: d3 O! v" q5 X6 u( i

+ }% E2 f" n/ z. _ image-1688135462339.png; o( R! n! Z0 B {) J1 Q/ k

: W% ^1 N1 _5 H0 A0 x4 k5 X! H

. H- H7 A' I0 H5 {9 V 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389' c" }3 H' }* n" [

0 d6 _4 Z) [% q+ c/ U

7 d2 w# {/ s. D3 r, S# {! P 总结:一套程序不应该只考虑其美观与功能强大,是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前,条件允许的情况下,首先进行白盒测试,其次进行黑盒测试,再次进行灰盒测试。如果通过白、黑、灰发现安全问题,那么就要再进行一轮这样的测试,直到系统难以被发现安全问题,然后再进行上线。特别是一些政府、企事业单位,数据面涉及基础人口等敏感数据,一旦遭到黑客攻击被泄露,给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容,谢谢大家的收看! 8 t$ c5 D# w3 [ i# q

# m5 R. Z5 N- [/ [8 ?% T2 M2 R

! L8 Q* q* _3 I# |, n, z* e   0 y* h0 a: @3 |7 L3 t& v

2 E; W- }6 v* |) F$ D& v- I) Y
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表