( N1 E. M9 ], }' i. }; u 0 I Y. ?! O9 O
4 V C2 \ K8 l+ G6 u0 Q+ L$ ^1 {/ u$ y0 Q% F/ y# ]
1、网站弱口令getwebshell
4 Z% i9 j4 e+ ^3 |经过一番手工猜解找到网站后台,习惯性的用admin admin竟然进去了,浏览一番发现可以配置上传文件类型于是配置上传类型如图: ; A$ i+ T6 S% g1 I$ z# [
* Z, Q& R$ @8 g7 e$ ^% z/ D5 k 0 X [% L7 R6 p8 t% c4 O3 d
" U9 w% K1 K4 ]* y + g: g* ?2 X% F3 O% P, j
然后去找地方上传,上传的时候发现虽然配置了asp、aspx但是仍然上不上去,还曾经一度用后台的sql命令用db权限备份一个webshell,但是由于权限设置问题导致拿webshell失败,抽了一支烟,沉思了半会,决定在增加个上传类型cer,看看果然可以成功上传,如图:
5 n1 P6 t- m; {+ Y( d0 g/ b
* N/ Y" U9 n5 s$ J; h: g * c2 l; S5 x: q. K- O4 }
' ?( ^/ P a/ Y x. |4 D) b
2、各种方式尝试反弹3389
! ?6 p, Y! x0 t6 p. _6 f拿菜刀连接执行ipconfig /all,发现是内网,如图: $ ], U1 l+ a# Y: t5 K
$ K T* e; U) N7 u* {7 j + z; Z' a; y* ~/ C) n3 U
服务器开了3389,下面我们想办法反弹出3389,笔者测试用lcx,tunna,reDuh,均以失败告终,貌似像开了TCP/IP筛选限制3389登陆,好吧我们想办法关闭掉这个,方法有两种一种是用mt.exe执行,笔者这里用修改注册表的方式修改,方法如下: , b( ~# W! o1 e1 J1 ]5 Y
" B& i w9 q3 Z/ d1 c R2 P& f
TCP/IP筛选在注册表里有三处,分别是: : ]& r s' H9 o/ ~( h, \' W
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip
% ~5 Y+ `) S- R8 K3 ?* @HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip 3 t8 z* {& Q7 }* c* Z2 {. u: W6 O
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip 2 u/ F. ~( R% [' C+ D' L0 k
4 r# ]% f7 F# @- a导出到自己所指定的目录进行修改: 1 d4 u0 E0 {3 K
regedit -e D:\ 网站目录\1.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip 9 s% {9 v6 x6 h- ]: h
regedit -e D:\ 网站目录\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip 8 r1 A0 m) L! D6 X* j, J5 d
regedit -e D:\ 网站目录\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
# ]2 z; z& Z3 i. |& W0 a 1 t( M6 F% i+ s0 ^
然后再把三个文件里中的:
- M: L/ b2 q7 i# J ^1 n5 p“EnableSecurityFilters"=dword:00000001”改为:“EnableSecurityFilters"=dword:00000000” 1 n, j. V% N; C; C& h6 I( }, n
再将以上三个文件分别导入注册表: : O/ d# M9 J5 |
regedit -s D:\网站目录\1.reg % p& @% n! H/ A* r: Y1 J8 O
regedit -s D:\网站目录\2.reg 0 F- r% `, W3 |0 K. B
regedit -s D:\ 网站目录\3.reg , t) @+ o) c2 r! v( e) g* c% W7 R
重启服务器即可!
6 i s" a! Y6 f& [- d6 L7 L8 N7 w但是导出注册表打开看貌似不是TCP/IP筛选限制,因为找不到EnableSecurityFilters,好吧看来不是筛选限制,那怎么办,据说国外有很好的工具可以正则代理,我分析很有可能是做了安全策略导致的,因为我把防火墙相关的服务都关掉也不行,操家伙,工具名称叫:reGeorg-master,下面看我操作,先把这个代理脚本tunnel.aspx上传然后执行
( t! i) S% `/ r a' S* _4 w. a
$ Z8 \( D! u6 Q: l % j$ j |3 u5 V% w" J
3 d) [: s- T2 @. @+ q8 w然后还需要安装个程序SocksCap,然后加载如图:
1 i1 l. G! K9 f6 \6 _, N- s: y
9 F* L$ @$ d' G1 [" s6 ]# t
/ n9 k7 H' o' k5 w& D下面我们开始用mstsc连接内网ip,首先连接10.177.2.14,结果连接不出来,连接另一个内网Ip 10.177.250.1也失败,后来干脆netstat –an一下发现目标机连接到10.177.2.11,端口是1433,如图:
B5 H5 r( r2 c( y% N* v' w 3 |8 W. @; C. p" }% v2 Q I K4 p
+ P# J2 Z% O- d2 S5 r; o
& g1 r! R. \4 ]3 R8 G 3 @9 M, ~ C; J# R6 _( D4 Y
既然使用s5正向代理,那可以试着连接一下这台数据库服务器3389看看,连了一下果然是可以连通如图: " }1 [$ G5 f; F
) E5 B4 m8 Q! o7 T5 }" I f % w7 l) s" M" d8 E0 C! u r
% `) d% }2 w. |$ s/ e" G
, o( i) v) s7 B: O3 H! L4 S2 `2 x; ]
2、数据库提权与ms15-051提权双进内网服务器 : V+ w; {- B3 m* x5 s$ X: B5 e
OK,现在的思路是翻网站数据库配置文件,找找sa密码然后先给10.177.2.11提权,然后再在11里面连接目标3389,没翻到sa密码此处略去300字,不过翻到一个账号是sa权限,连接数据库执行命令如图: 3 y6 F% ^; y. a3 { L2 g
' t6 z5 ~6 ^+ Y" \$ n$ V( ?" b2 N 5 v) N O& q' w
9 \ z. G5 o7 r3 T
添加账号密码的过程就不写了,肯定是可以进10.177.2.11了,下面我们还的给目标机添加账号密码,经提前测试,发现存在ms15-051漏洞,直接上exp执行命令如图:
; i `( _. l" W2 P+ V 1 W2 {4 j) i# q
: M) e& b- @2 B
/ O8 L( N7 |6 k1 i同样添加账号密码,终于进了目标站的远程桌面如图: - Y3 r7 F# T+ _( d! v4 j3 r
& ^# _5 d/ j& U# u8 M
总结:至此这个网站的漏洞算是测试完了,测试中途有些卡顿,主要技术问题是反弹3389,测试各种反弹工具都失败,后来经验证不是做了TCP/IP筛选,我用远控也无法上线,貌点像通不了外网的样子,但疑惑的是为什么数据库服务器的3389却可以代理出来,同样在数据库服务器中远控也无法上线,如果有遇到过这样的朋友,请回贴不吝赐教。。。先在这里谢谢大家了。。。 8 D9 I- a7 k1 E; N/ q
) u2 u5 Y) {) w e
/ \$ L1 n$ e+ p/ u 3 M2 K' I6 U0 s1 S$ N
|