搜索

[18349] 2021-05-15_记一次从代码审计到拿下内网edr的过程

文档创建者：s7ckTeam
浏览次数：230
最后更新：2025-01-18
2021-05-15_记一次从代码审计到拿下内网edr的过程 记 一 次 从 代 码 审 计 到 拿 下 内 网 e d r 的 过 程 带 头 大 哥   H A C K 之 道   2 0 2 1 - 0 5 - 1 5 0 x 0 1 、 前 言 、 前 言 在 某 次 授 权 红 队 行 动 中 ， 客 户 给 定 目 标 外 网 资 产 很 少 经 过 各 种 挖 掘 ， 各 种 尝 试 ， 久 久 没 有 结 果 ， 注 意 到 某 系 统 为 通 用 系 统 通 用 系 统 。 于 是 开 始 了 下 面 的 故 事 。 0 x 0 2 、 寻 找 源 码 到 、 寻 找 源 码 到 g e t s h e l l 查 找 源 码 查 找 源 码 1 、 网 盘 泄 露 网 盘 泄 露 ： 这 套 系 统 并 不 开 源 ， 各 种 网 盘 泄 露 网 站 一 顿 查 找 ， 无 果 2 、 G i t h u b 、 、 g i t l a b 泄 露 泄 露 ： 尝 试 了 多 个 关 键 词 ， 均 无 果 3 、 F o f a 找 同 类 型 的 站 找 同 类 型 的 站 ： 用 f a v i c o n . i c o ， 或 是 用 t i t l e 来 搜 ， 并 且 将 这 些 资 产 采 集 起 来 ， 最 终 在 某 个 站 发 现 ， 成 功 获 得 源 码 代 码 审 计 代 码 审 计 查 看 代 码 目 录 结 构 如 下 首 先 看 w e b . x m l ， 注 意 到 这 个 过 滤 器 w e b . r a r f i l t e r . P u r F i l t e r
跟 进 去 看 下 此 处 定 义 几 个 数 组 使 用 g e t R e q u e s t U R I ( ) 获 取 u r l ， 查 找 u r l 中 最 后 一 个 点 的 位 置 ， 然 后 获 取 后 缀 转 小 写 这 个 过 滤 器 实 际 上 是 一 个 权 限 校 验 的 工 作 ， 如 果 用 户 没 登 录 的 话 是 只 能 访 问 数 组 里 的 路 径 ， 或 者 后 缀 数 组 的 特 定 后 缀 的 文 件 。 但 是 此 处 使 用 g e t R e q u e s t U R I ( ) 获 取 u r l ， 我 们 注 意 到 只 要 我 们 的 后 缀 数 组 中 的 就 能 过 了 这 个 验 证 。 我 们 首 先 了 解 一 下 s t r S u f f i x 为 g e t R e q u e s t U R I ( )
这 个 方 法 当 我 们 请 求 时 取 到 的 结 果 也 是 那 么 此 时 想 到 构 造 请 求 就 能 绕 过 这 个 权 限 校 验 绕 过 权 限 校 验 以 后 开 始 寻 找 可 g e t s h e l l 的 漏 洞 点 ， 直 接 全 局 搜 索 m u l t i p a r t ， 寻 找 上 传 功 能 看 到 第 二 个 的 时 候 成 功 发 现 一 处 任 意 文 件 上 传 获 得 权 限 获 得 权 限 按 照 代 码 分 析 ， 直 接 构 造 包 上 传 s h e l l ， 成 功 g e t s h e l l g e t R e q u e s t U R I ( ) / t e s t / 1 . j s p ; a a a g e t R e q u e s t U R I ( ) / t e s t / 1 . j s p ; a a a / t e s t / 1 . j s p ; 1 . j p g
0 x 0 3 、 拿 下 内 网 、 拿 下 内 网 e d r 获 取 获 取 e d r 系 统 权 限 系 统 权 限 通 过 s h e l l 执 行 t a s k l i s t 发 现 此 机 器 装 了 某 e d r 扫 描 c 段 4 4 3 端 口 发 现 h t t p s : / / 1 7 2 . x . x . x 为 某 e d r   w e b 管 理 界 面 用 f r p 开 个 代 理 用 已 经 公 开 的 漏 洞 测 了 一 遍 发 现 ， 存 在 一 处 命 令 执 行 漏 洞 没 修 利 用 公 开 的 脚 本 直 接 弹 了 一 个 s h e l l 回 来 此 次 的 目 的 不 是 获 取 这 个 e d r 的 服 务 器 权 限 ， 而 是 可 以 进 到 w e b 管 理 界 面 可 以 做 到 给 终 端 下 发 后 门 。 所 以 目 标 为 的 登 录 w e b 管 理 界 面 首 先 的 想 法 是 找 数 据 库 账 号 密 码 然 后 登 录 进 后 台 。 之 前 也 没 搞 过 ， 先 看 下 进 程 好 像 是 m o n g o d b ， 使 用 以 下 命 令 查 数 据 库 密 码
1 .   太 多 了 发 现 密 码 名 字 好 像 叫 m o n g o d b _ p a s s w o r d ， 再 次 查 找 . 1 .   查 的 过 程 中 感 觉 就 算 找 到 数 据 库 连 上 了 密 码 也 很 难 解 密 于 是 想 到 之 前 的 未 授 权 任 意 用 户 登 录 ， 漏 洞 文 件 在 于 是 先 备 份 文 件 ， 然 后 将 此 处 的 i f 改 为 f i n d   / a c   - t y p e   f   - n a m e   " * . p h p " |   x a r g s   g r e p   " p a s s w o r d " f i n d   / a c   - t y p e   f   - n a m e   " * . p h p " |   x a r g s   g r e p   " m o n g o d b _ p a s s w o r d " / u i / l o g i n . p h p
使 用 登 录 成 功 i f ( 1 = = 1 ) / u i / l o g i n . p h p ? u s e r = a d m i n
然 后 就 可 以 加 白 名 单 批 量 下 发 马 执 行 上 线 了 。 0 x 0 4 、 技 术 总 计 、 技 术 总 计 1 、 想 办 法 获 取 外 网 系 统 源 码 2 、 代 码 审 计 获 取 外 网 s h e l l 3 、 历 史 漏 洞 获 取 e d r 系 统 权 限 4 、 修 改 文 件 进 而 任 意 登 录 到 w e b 管 理 端 转 载 于 补 天 平 台 。 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ”
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理