搜索

[22180] 2021-07-22_真实环境中的渗透思路

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-07-22_真实环境中的渗透思路 真 实 环 境 中 的 渗 透 思 路 L e m o n S e c   2 0 2 1 - 0 7 - 2 2 作 者 ： 大 疯   转 自 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 2 5 8 9 8 9 . h t m l 背 景 背 景 授 权 测 试 X X 工 程 公 司 内 部 O A 系 统 主 要 业 务 ： 监 理 ， 工 程 造 价 等 正 文 正 文 接 入 内 部 网 络 ， 拿 到 网 址 后 使 用 n m a p 扫 描 服 务 器 信 息 n m a p   - O     目 标 开 启 了 不 少 端 口 ， 扫 描 结 果 服 务 器 可 能 为 w i n 7 或 w i n d o w s   s e v e r   2 0 1 2 ， 开 启 了 4 4 5 端 口 ， 试 试 永 恒 之 蓝 是 否 能 直 接 拿 下 m s f c o n s o l e u s e   e x p l o i t / w i n d o w s / s m b / m s 1 7 _ 0 1 0 _ e t e r n a l b l u e s e t   r h o s t   目 标 I P e x p l o i t
没 成 功 ， 意 料 之 中 。 尝 试 3 3 0 6 端 口 爆 破 m y s q l 口 令 。 m y s q l   - h   目 标 i p 拒 绝 了 我 们 的 连 接 ， 不 过 在 这 里 曝 出 了 服 务 器 名 ， 现 在 尝 试 查 看 8 0 端 口 的 w e b 服 务 ， w e b 才 是 我 们 的 主 要 目 标 。 登 录 页 这 里 未 做 验 证 码 控 制 ， 说 明 可 能 允 许 爆 破 ， 打 开 p u r b 进 行 抓 包 ， 查 看 信 息
密 码 未 进 行 加 密 ， 手 动 尝 试 了 几 个 弱 口 令 没 有 提 示 异 常 ， 选 择 O A 系 统 成 功 率 高 的 字 典 开 始 枚 举 且 把 从 浏 览 器 收 集 到 的 公 司 暴 露 在 外 面 的 员 工 姓 名 加 入 字 典 枚 举 途 中 查 看 网 站 指 纹 ， 下 图 为 w a p p a l y z e r 插 件
可 以 看 到 网 站 使 用 t h i n k p h p 框 架 ， 中 间 件 为 A P a c h e   2 . 4 . 4 t h i n k p h p 不 同 版 本 具 有 远 程 代 码 执 行 漏 洞 ， 信 息 泄 露 、 文 件 包 含 、 S Q L 注 入 漏 洞 尝 试 利 用 文 件 包 含 漏 洞 途 中 t h i n k p h p 报 错 虽 然 没 利 用 成 功 ， 但 是 这 里 曝 出 了 网 站 路 径 和 t h i n k p h p 具 体 版 本 知 道 具 体 版 本 后 尝 试 使 用 t h i n k p h p 3 . 2 . 3 经 典 漏 洞 信 息 泄 露 查 看 日 志 文 件 < d o m a i n > / A p p l i c a t i o n / R u n t i m e / L o g s / H o m e / 1 9 _ 0 7 _ 0 2 2 . l o g
成 功 查 看 到 日 志 文 件 ， 包 含 了 历 史 登 录 的 所 有 用 户 名 、 密 码 和 一 些 其 他 信 息 ， 数 据 量 巨 大 ， 没 来 得 及 慢 慢 看 。 这 个 漏 洞 详 细 利 用 方 式 介 绍 ： h t t p s : / / n e w s n . n e t / s a y / t h i n k p h p - b u g - l o g . h t m l 这 里 使 用 泄 露 的 用 户 名 密 码 登 录 系 统 进 入 系 统 后 从 项 目 信 息 中 获 取 到 公 司 内 部 结 构 ， 然 后 从 日 志 信 息 中 获 取 权 限 更 高 的 用 户 密 码
登 录 到 高 权 限 账 户 后 发 现 待 我 处 理 模 块 中 可 以 上 传 合 同 文 件 t h i n k p h p 框 架 中 规 定 了 各 类 函 数 的 安 全 引 用 方 法 尝 试 过 程 中 发 现 X S S 已 经 做 了 转 译 处 理 ， S Q L 注 入 也 已 预 编 译 ， 防 护 均 O K 但 是 上 传 功 能 配 合 A P a c h e   2 . 4 . 4 的 解 析 漏 洞 可 能 绕 过 t h i n k p h p 规 定 的 安 全 策 略 ， 开 始 从 上 传 点 入 手 下 载 部 分 网 站 图 片 等 文 件 作 为 上 传 测 试 ， 乱 输 入 一 个 后 缀 无 法 上 传 ， 说 明 为 白 名 单 ， 测 试 结 果 仅 允 许 J P G ， P N G ， d o c x ， x l s x 后 缀 上 传
这 里 花 费 了 很 多 功 夫 ， 发 现 安 全 策 略 检 查 了 M I M E ， 检 查 了 后 缀 ， 检 查 了 文 件 内 容 ， 且 上 传 后 会 二 次 渲 染 并 重 新 随 机 命 名 文 件 安 全 策 略 还 是 很 全 面 的 ， 单 配 合 解 析 漏 洞 无 法 利 用 但 工 作 表 的 上 传 可 能 带 来 另 一 个 危 险 漏 洞 ， 如 果 上 传 的 合 同 文 件 带 有 O f f i c e 宏 病 毒 ， 当 工 作 人 员 下 载 查 看 文 件 的 时 候 可 能 被 控 制 主 机 上 传 点 进 行 到 这 里 结 束 ， 寻 找 其 他 漏 洞 这 时 我 们 想 起 之 前 的 信 息 泄 露 ， 目 录 文 件 为 w a m p ， w a m p   s e r v e r 为 开 发 者 的 集 成 环 境 推 测 服 务 器 环 境 使 用 此 环 境 搭 建 ， 且 w a m p 默 认 安 装 了 p h p m y a d m i n 进 行 m y s q l 管 理 ， 尝 试 访 问 p h p m y a d m i n
这 里 显 示 无 权 限 访 问 p h p m y a d m i n 界 面 这 里 修 改 I P 尝 试 访 问 ， 最 终 在 5 8 网 段 成 功 访 问 p h p m y a d m i n 界 面 对 之 前 的 泄 露 的 口 令 进 行 口 令 组 合 尝 试 密 码 枚 举 成 功 登 录 枚 举 出 r o o t 密 码 ， 密 码 为 小 写 字 母 加 数 字 加 特 殊 字 符 方 式 ， 进 入 数 据 库
数 据 在 系 统 里 已 经 呈 现 七 七 八 八 了 ， 尝 试 写 入 s h e l l 获 得 系 统 权 限 s e l e c t   ‘ 内 容 ’   i n t o   o u t f i l e   ‘ 这 里 的 绝 对 路 径 t h i n k p h p 报 错 已 经 告 诉 我 们 ， 并 且 日 志 文 件 泄 露 ， m y s q l 日 志 文 件 同 样 记 录 有 绝 对 路 径 ’ 成 功 执 行 ， 访 问 地 址
接 下 来 写 入 一 句 话 ， 写 入 一 句 话 的 时 候 遇 到 点 问 题 执 行 后 访 问 无 这 个 文 件 ， 推 测 可 能 装 了 杀 毒 ， 写 入 免 杀 脚 本 成 功 连 接 执 行 M S F 的 p a y l o a d 进 入 后 渗 透 渗 透 测 试 干 货   |   横 向 渗 透 的 常 见 方 法 一 次 通 过 漏 洞 挖 掘 成 功 渗 透 某 网 站 的 过 程 安 全 团 队 不 可 错 过 的 七 个 云 安 全 开 源 工 具 欢 迎 关 注 欢 迎 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理