搜索

[22072] 2021-06-17_看我如何从外网直接拿下内网靶标

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-06-17_看我如何从外网直接拿下内网靶标 看 我 如 何 从 外 网 直 接 拿 下 内 网 靶 标 L e m o n S e c   2 0 2 1 - 0 6 - 1 7 作 者 ： B u g h u n t e r ， 文 章 来 源 ： 先 知 社 区 1 . 拿 到 目 标 制 定 策 略 进 行 信 息 收 集 拿 到 目 标 制 定 策 略 进 行 信 息 收 集 某 地 攻 防 演 练 拿 到 演 习 目 标 后 ， 进 行 了 一 波 常 规 信 息 收 集 ， 打 了 一 个 靶 标 。 发 现 靶 标 分 数 有 点 高 还 是 打 靶 标 来 得 快 ， 于 是 对 所 有 靶 标 进 行 分 析 。 但 是 大 部 分 靶 标 都 给 的 是 内 网 地 址 ， 观 察 了 一 下 收 集 的 所 有 目 标 i p 发 现 基 本 上 存 在 于 x x . x x . 9 8 . x - x x . x x . 1 0 6 . x 这 个 范 围 主 动 扩 大 范 围 扫 描 x . x . 9 5 . x - x . x . 1 1 0 . x 这 些 段 ， 直 接 通 过 f o f a   a p i 查 询 所 有 记 录 然 后 使 用 我 B 哥 的 w e b a l i v e s c a n 扫 描 h t t p s : / / g i t h u b . c o m / b r o k e n 5 / W e b A l i v e S c a n
发 现 这 个 站 打 开 跳 转 h t t p : / / x . x . x . x : 8 1 / x . a s p x 和 某 个 内 网 靶 标 端 口 文 件 名 都 对 上 了 使 用 弱 口 令 进 入 后 台 ， 但 是 任 何 功 能 都 没 有 2 . 寻 找 靶 标 系 统 源 码 寻 找 靶 标 系 统 源 码 通 过 远 海 的 套 路 从 f o f a 寻 找 相 同 系 统 ， 有 一 百 多 个 站 基 本 备 份 就 是 稳 得 w e b a l i v e s c a n 再 扫 一 波 备 份 , 扫 到 一 个 w e b . r a r
3 . 任 意 文 件 上 传 结 合 目 录 浏 览 轻 松 拿 下 靶 标 任 意 文 件 上 传 结 合 目 录 浏 览 轻 松 拿 下 靶 标 . N E T 审 计 还 得 看 远 海 ， 源 码 发 给 远 海 过 了 一 会 远 海 就 审 出 一 个 R C E ， 具 体 过 程 如 下 通 过 代 码 审 计 发 现 一 处 文 件 上 传 主 要 在 x x x / U p l o a d P i c . a s p x 下 代 码 大 致 如 下 : 很 多 人 看 到 第 9 7 行 出 现 了 p n g   j p g 等 字 符 就 会 认 为 是 白 名 单 效 验 ， 其 实 不 然 。 大 部 分 文 件 上 传 操 作 还 是 会 存 在 一 些 小 小 的 瑕 疵 的 。 例 如 s t r i n g   t e x t   =   b a s e . S e r v e r . M a p P a t h ( " ~ / U p P i c / x x x P i c / " ) ; 定 义 了 文 件 的 存 储 目 录 i f   ( b a s e . R e q u e s t [ " i d " ]   ! =   n u l l   & &   b a s e . R e q u e s t [ " i d " ] . T o S t r i n g ( )   = =   " 1 " ) 当 接 收 参 数 i d 的 值 等 于 1 时 。 进 入 i f 条 件 语 句 ：
s t r i n g [ ]   a r r a y   =   f i l e s [ 0 ] . C o n t e n t T y p e . S p l i t ( n e w   c h a r [ ]                                 {                                         ' / '                                 } ) ; s t r i n g   a r g   =   a r r a y [ 1 ] . E q u a l s ( " j p e g " ,   S t r i n g C o m p a r i s o n . C u r r e n t C u l t u r e I g n o r e C a s e )   ?   " "   :   a r r a y [ 1 ] ; s t r i n g   t e x t 2   =   H t t p U t i l i t y . U r l E n c o d e ( H t t p C o n t e x t . C u r r e n t . R e q u e s t [ " n a m e " ] ,   E n c o d i n g . G e t E n c o d i n g ( " G B 2 3 1 2 " ) ) ; s t r i n g [ ]   a r r a y 2   =   n e w   s t r i n g [ ] { " j p g " , " p n g " , " g i f " , " b m p " } ; 其 中 ， 第 5 行 进 行 了 C o n t e n t - T y p e   的 效 验   ， 如 果 上 传 的 C o n t e n t - T y p e 以 / 分 割 后 的 第 一 个 值 不 为 j p e g 。 那 么 a r g 的 值 为 f a l s e 。 第 6 行 接 收 一 个 参 数 n a m e 。 值 赋 值 给 t e x t 2 第 7 行 定 义 了 一 个 数 组 。 为 允 许 上 传 的 文 件 类 型 。 主 要 问 题 在 于 下 方 ： f o r   ( i n t   i   =   0 ;   i   <   a r r a y 2 . L e n g t h ;   i + + ) {         i n t   n u m   =   t e x t 2 . T o S t r i n g ( ) . S u b s t r i n g ( t e x t 2 . L e n g t h   -   3 ,   3 ) . I n d e x O f ( a r r a y 2 [ i ] ) ;         i f   ( n u m   >   - 1 )         {         t e x t 2   =   a r r a y 2 [ i ] ;         } } 将 a r r a y 2 的 内 容 进 行 循 环 判 断 。 如 果 t e x t 2 后 三 位 的 值 中 存 在 a r r a y 的 某 个 值 。 那 么   n u m   为 0   ， 进 入 i f 语 句 。 t e x t 2 被 重 写 为 后 辍 。 这 里 有 个 问 题 就 是 只 有 存 在 的 时 候 才 进 行 重 写 。 不 存 在 就 不 重 写 。 也 就 是 说 我 传 入 的 n a m e 为 t e x t . a s p x 。 那 么 也 不 会 进 行 任 何 改 变 。 最 终 文 件 存 储 操 作 是 在 1 4 3 行 。
其 中 f i l e a n m e 的 值 为   t e x t ( 目 录 名 )   +   s t r 3 的 值 。 s t r 3 的 值 主 要 根 据 i f 条 件 语 句 进 行 赋 值 。 只 要 t e x t 2 的 值 不 为 空 ， 那 么 最 终 的 文 件 名 就 会 以 n a m e 的 值 进 行 结 尾 。 导 致 任 意 文 件 上 传 。 文 件 地 址 : U p P i c / x x x P i c / + 时 间 + 随 机 数 + t e x t 2 ( 可 控 ) 构 造 请 求 包 U p P i c / x x x P i c /   存 在 目 录 浏 览 找 到 s h e l l 名 字
哥 斯 拉 连 接 ， 执 行 i p c o n f i g 确 定 为 靶 标 内 网 地 址 ， 至 此 拿 下 靶 标 s h e l l 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理