找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1835|回复: 0
打印 上一主题 下一主题

原创-web渗透测试实战大杂烩

[复制链接]
跳转到指定楼层
楼主
发表于 2023-11-28 20:23:22 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

, T- L5 `7 }9 M1 \ :各位同仁,今天晚上主要防止被限号来凑个数字,这篇文章本来是给一个机构做科普的,所以写的有点怎么说,反正土司的人看了会骂哈哈,大家凑合的看,文中哪怕有那么一点半点东西,能给大家带来启发,那么我这个文章就没白发,所以大佬们轻点喷哈哈,嘴下留情哈哈。 1POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入,直接在avws下的Scans---target下点击你扫描的过目标如图: 3 T- d8 Y; ^2 z, j

4 I6 T- U( X5 p7 E: ~- e3 m3 M

\ \3 Q) O: K image-1688134638275.png $ x* `9 r3 U. B# s5 d

$ l) F# p0 o, C3 A5 L# |

$ K6 B- `- ~# c4 T+ }# ` 然后点vulnerabilities,如图:# z: S+ l1 J; i

* I$ f Y7 S' e

# [! ?' ^- l+ u1 Z image-1688134671778.png 6 r Y* L6 s, ]6 i) p9 A" {7 Q

0 {$ v- R0 Q* W s2 k

* N2 |4 T. [ q( b% M SQL injection会看到HTTPS REQUESTS,如图:7 M i1 ?" d* k- x E. l* u$ ^( ]' H9 Q

. [; k9 G- H# ~1 [1 L& N8 @

; j" {6 ^1 g1 c9 i image-1688134707928.png 5 w% i! q! \- @4 Q$ B y6 g

4 G! K: K: }' p6 h# u; r

/ k* r) V% M% G# y 获取到http的数据包,如下: POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8& D, a, Q* x! L3 N

2 Q. ^: U6 R$ n+ g: W8 U: A

% L" j4 z1 `" ?; L6 d Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下,保存为1.txt,注入参数提前用awvs已经识别,注入参数是productType,注入命令为: sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump sqlmap命令的意思是读取数据库cciZy_user表的用户名密码列名,dump就是保存下来的意思,会保存在./sqlmap/output下,以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图: * n# t5 b' `; E5 ^& z" o2 y

4 m( t' }: B: @# z+ [

& D+ w$ ~2 }. ~2 G- F. ] image-1688134982235.png P* B; {& D7 B4 ~! B n) T

6 V6 w( r, D3 x" T9 e! W! {! y$ u

" g; I q5 \4 r" n 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值,为了更深入的测试网站后台是否存在其他漏洞,需要黑盒测试模拟黑客攻击进一步测试,故对网站目录bin目录下的dll进行反编译来获取加密密匙,最终成功解密密码。 bin目录下的dll全部加载到Reflector中,然后通过跟踪常用用户密码相关的类函数,得出如下结果: 7 {4 V0 x, ?1 w! v0 Q

* \3 Z0 R' [5 j$ l# ^: H9 S% N z

4 J' I: q) Y( {8 X image-1688135020220.png O' J) V4 q8 {

# V D" | B7 y8 E4 N- x

; K! e) o% g! P" M4 q" w7 a image-1688135035822.png' w0 x+ `$ [1 U3 {+ s- l. M

- G: Q. J% w1 r+ I, E

0 h" w9 d! H, \7 z2 O6 | 得知密钥是fkue且为des加密,接着定位encrypt类函数找出其解密方式如图:* N0 C$ v) A, S$ _% V0 v: W. J

( _- b) a$ B% f; R

' f( P6 f. g# n3 G image-1688135070691.png + w2 e/ s% p8 g; o

9 H) u5 [2 B1 a9 G

0 e# B1 Q! x( ?! g4 K" y; J 解密方式是把fkue使用md5进行加密,然后取32md5加密值的前8位作为加密密钥,如图: ' s* s, o. p- M# m

$ P7 k2 C( _3 j6 ~+ U/ m- r( k

4 f( X4 V( }" S9 F& h% U image-1688135098815.png1 E7 `. ~3 }# M, o4 i

$ ^7 h$ Y5 s# w7 T% [

# E4 F' b* G3 D& }2 }* Z 通过在线解密网站解密得知加密密钥就是:1110AF03 前面sql注入步骤已经成功获取admin的加密值,如图: ; f, s3 A7 w' `5 y, e

; U/ k; W' u+ e* _7 H

{' H) \* V2 o+ B image-1688135130343.png % d0 x- o6 \. P" U$ ?, S

% [4 T, Q8 Y' n- N$ Q% n

" Y, x- ^/ e; _. W& ? J& u 解密admin管理员密码如图: / E% h& P; t# A6 [

- c' p# V+ W3 j- _* `( E

; H7 j2 Z2 E/ D! w7 w1 F. _ image-1688135169380.png ( d, ]2 n. ^! {/ W' a

$ p) y- _" L! X

6 C F) `& g; T4 c3 N" R# t 然后用自己写了个解密工具,解密结果和在线网站一致 3 g8 U: I8 `: U0 H# W

/ T5 _" y, Z2 M$ V! _

; X% ]/ X" C0 p9 g! g* Y1 _! a" F image-1688135205242.png. e/ h: z4 e4 N# ? j

1 B% x3 Q9 Z1 f# u

* l4 k# Z9 p0 J 解密后的密码为:123mhg,./,登陆如图: , D e; {5 N! |

7 C$ _) k, Q7 y& j) U, ?3 R1 o" A+ S/ T

2 C6 B1 U! ]6 Y: |! x9 J image-1688135235466.png4 `# c' e5 g) E$ r6 A! T# ]

7 Y% `3 Z/ o8 ^ p" S+ U- @9 @0 Y) s

4 r; c, _ w5 q 3、后台上传绕过漏洞getwebshell如图: 登陆后台后,在添加信息处,会有上传图片的功能,随后使用burpsuite抓包如下图: # B' _) R) [9 m, ?9 {$ {. f

. _4 {; }: Q4 s

; g9 p$ W" I. ~ image-1688135263613.png7 C) O# O$ q* _# V1 e

j9 i* c- Z9 \+ D1 W% N0 M+ C

, X: N3 G- `) n4 y+ }" j+ n- s image-1688135280746.png( s7 G3 Z' W4 y' _9 X6 v5 V4 D

4 B$ u# k: H1 s# w7 g+ `, ]) @/ p5 d

! i/ X) i( ~8 i% z 绕过上传限制,只需要把包里的filename1.jpg改为1.aspx,即可成功上传webshell,如下图:, J5 V _9 K S+ y

* O5 U0 u& h `5 v- \* E- A

( Y! N- }# E2 n e image-1688135310923.png. e/ y' O# l: l7 G N

. l+ M: `3 p' c5 R8 v

% o; e( q' } W9 |: S 访问webshell如下图: 4 ^) K( f2 w6 P6 Q2 H$ [- U

3 Q% ^: j+ L6 @ d7 j8 o3 D8 @. v

, f7 P" q2 ]; F9 R image-1688135337823.png g6 K3 q, F3 E) E% P1 Y' d

7 J. H: ]5 Q' i1 U# O7 y9 A

% H R+ s7 k+ o, x( N 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能,注册成功后,同样在上传图片处可直接上传webshell,链接为http://www.test.cn/userRegister.aspx,登录如图:3 F$ g7 ` z3 A

3 O8 A: A' a2 C- t! R6 n

; y/ B9 o _' f C) Z! Q" O/ I& { image-1688135378253.png& T+ ^ p# Y& ~$ {* b# ~

2 @9 L$ O: q3 d h) V) K

5 ~# [1 a) C4 s% W; [& `9 ?' C 在上传证件或者头像的处可直接上传aspx 后缀的webshell,上传成功后,点右键-属性,可查看上传后的webshell路径为:http://www.test.cn/Admin/upload/demo.aspx 然后登录如图: " r0 q! l$ N4 I: ?0 W

# T% Z2 r; B) b) d7 q

$ t1 ^/ z7 `- {- s9 D+ {4 y. T image-1688135422642.png ( b k) V7 [2 f, R

R2 y0 }5 R# p4 Z0 g9 f

" ?; |1 j& Q, ^* x8 L 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图: # s$ }- g; s4 Z/ r. f; _

& z. a- H/ a2 m" {. d) F1 K

( v2 r! }. R+ ]9 Z image-1688135462339.png 2 \+ S! A/ k( c

. W p/ E4 G$ q- K7 W

# x8 S7 ^4 y; s 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆33894 \$ l+ F- ?8 [3 {0 e& R

" U) a8 c! L; V" N) g6 O

7 X* n* M9 W$ w+ B+ P 总结:一套程序不应该只考虑其美观与功能强大,是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前,条件允许的情况下,首先进行白盒测试,其次进行黑盒测试,再次进行灰盒测试。如果通过白、黑、灰发现安全问题,那么就要再进行一轮这样的测试,直到系统难以被发现安全问题,然后再进行上线。特别是一些政府、企事业单位,数据面涉及基础人口等敏感数据,一旦遭到黑客攻击被泄露,给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容,谢谢大家的收看!' T7 q1 K2 C6 B; D

* |% @/ w0 t- @/ l

S2 u0 E* u1 P1 r% N   6 Z; E$ e( R6 E2 t g1 ]& L( _7 s

/ C; ?( \0 d' O/ m& p
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表