中国网络渗透测试联盟

标题: 原创-web渗透测试实战大杂烩 [打印本页]
作者: admin    时间: 2023-11-28 20:23
标题: 原创-web渗透测试实战大杂烩

: c4 t5 X' I3 g/ c; y* Y J 注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图： . F6 `2 r- _* y. C5 F. q3 w1 e8 u9 [% Q

: b. O% B/ D* l. g# ?# j

+ j$ R% {7 C$ R* R" ? image-1688134638275.png 4 P0 U3 x3 Q7 {4 [0 o4 t/ Y+ Z

* s3 ~6 J" J# e7 H4 {+ o

2 O2 {# A& `$ ? { K A6 I- U 然后点vulnerabilities，如图： & b/ V8 N" E. c5 C! Q

( n; ~3 ?, R" f/ c

" Z V! U* ]& h& E4 G h d image-1688134671778.png2 _ r$ N3 z2 r$ X

9 p, n4 k: l: ?: u; p

- V! z8 k$ y* ~" `! Y! z3 F4 | 点SQL injection会看到HTTPS REQUESTS，如图：. [( A# S+ G& S+ b! e: R, O

& T0 f* P5 _5 }( X: N' w. l

7 t& o: [1 L; @3 C+ Q9 x7 D) C image-1688134707928.png2 D: o- \0 M: \ P3 T

( a$ t0 K' m2 S( t6 [* G

, y# w$ c% m7 e1 S4 z7 ] 获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-84 b h% }' ~4 v: C' n

7 w' Y7 D' ?/ z$ l j+ x2 }

8 S. i. H, @9 ~" ^ Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图： 1 ]8 H) t$ l2 Y4 V7 k. O

. d6 k3 R9 U' A, C; o: p u% n

( G- z4 G1 ?. {! O% K image-1688134982235.png% J3 N) ~+ Z2 n9 \6 b

- t C5 ?" Y% |8 f/ j1 E

9 B* A" N8 b) T; P6 \ 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果：* f8 Y* m0 q! H! `& L* O

2 m7 s' l1 @( c6 B) l2 `1 |

, H; S+ ]4 R! a/ n) |$ o1 D' L image-1688135020220.png $ ^, P5 j- t6 j4 U* T. Z! S6 D, X3 l

3 R, c( c$ T% U( B+ X5 _

4 T I% Y" m. \' [& r# {& Y image-1688135035822.png2 j2 k! q. t( R% b! I; I

( B3 H q0 ^# P

/ g( w8 J7 W: _0 \. t( a 得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图： 3 n! o7 ]! O( r

; f( U1 s0 P$ h, P1 I _

) e6 Z$ O3 c2 [" [4 G7 g image-1688135070691.png" y3 P1 L* }$ d8 L8 [+ J

" |5 ]; V2 W" h$ K r: ?8 i; E$ a

" w5 M, T$ |4 E 解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图： " e3 i% L: c0 T3 y* i) T2 h

) O$ Y9 ]* T/ o8 O: ~& c

" d. l# @/ u. N7 J6 q# P image-1688135098815.png8 g( ?) E2 q1 {" x+ h

, E7 d, P2 i- E6 U) V. z& m7 O) e

( m* g* D0 U1 _' f 通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：! ?: c2 m+ E( R

3 m! \; t: @: E

1 `9 D. J, D0 f6 |2 ? image-1688135130343.png 9 ~; `' e( d2 j

' `. _, I" U" }% \

1 Z. j! H3 J# U9 Y, J 解密admin管理员密码如图：* d' V3 O2 v U0 Y+ }2 [' l

6 n2 C) \9 S8 z0 H$ F

0 X. x5 b' k- D- p image-1688135169380.png ' L* ~) t. |6 Z( s' H$ {

* c1 G, B2 v9 c/ N

, r7 E$ p" _. `9 I8 Z 然后用自己写了个解密工具，解密结果和在线网站一致/ b" |0 }2 Y+ t/ W v

5 }! p* v; }, g. y! j7 \7 M& }

; G" _- g" x5 P7 o5 v image-1688135205242.png 8 J9 w2 t9 t; i9 {( N

$ l/ T8 |+ v7 \

# Z" h" a4 L! d: ? L 解密后的密码为：123mhg,./，登陆如图： 4 N: q* S+ C* {# |5 b# e

5 p, Z% B5 x: D/ j

& N' X( J# D/ } image-1688135235466.png % d& c$ s3 p& @* Y+ q4 K8 o2 {* x* V

! E7 M& D" _5 l. ?; A

7 Q b, t* u* k 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图： 9 ] H3 C- k* q. Y

& T' \7 K/ k. w' r/ D' c1 ~, |

2 C! N9 p8 ?7 f4 D image-1688135263613.png- T; e3 S. g1 O3 v2 Q

( c/ T1 X" C) W }, ^

7 b; @$ U: k! t9 p! s. ^/ t @ image-1688135280746.png$ X" H5 ?- M! v4 k6 g5 j

( r3 p; k9 D- ~% D. [: w

6 P6 `8 F8 V& {3 L5 h 绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图：+ m# Q) l4 T+ e' @. z; o

- R m' v4 d# H) G) u n: l8 p& Q

, M3 b( L( S" s, _ image-1688135310923.png' Q' {! |8 ?% _: V# {

! u8 }) ? x+ G

+ M6 F# ^; ]8 r# E s) j# j; \: |3 Y/ C 访问webshell如下图：3 m4 ]/ D" E% v* `, z. K

: X0 W/ A7 M+ F/ |% m$ b

. D1 Q/ O( y+ ]( W; k* _# N image-1688135337823.png! h s/ d# x% H4 ?+ Y" m$ l5 j- a* T

( E6 V/ Z9 z2 q. _( X0 M" P

( P0 H8 Q) D' j P 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图： ( Z& k1 p+ m2 N; b: C

" [5 F/ W; ~" r) w$ Z. s7 J

# q# h$ O* }1 D image-1688135378253.png : i) S& X8 e8 x+ m" w4 E

9 E& n4 x- V! F

. }; T* B% a" J; S3 p6 u4 S 在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图： ! N$ y( X6 P1 P) i: `4 V% I

$ a. q3 Y1 |2 M( I$ f% H! S R* X

# P) g' q6 E# Y+ U1 y6 b4 V image-1688135422642.png& o$ {$ P/ b" y3 c3 }" z

, y1 G2 a) o# k3 e6 R1 I ?

( U0 R% T* s6 H* u2 e$ W% i 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图： $ o; j7 [. Z6 `. h5 k# o% s

) @; H* F- x( E) b5 @

& A6 `" U* h9 d6 M image-1688135462339.png 1 R% D# B& v* ] }2 q

- h! @, L% \* n+ ?, Y9 _# A

3 }9 ]: f B& L1 F, ?0 A5 C 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。 % E# N3 I6 c8 o

, h' q0 Q/ T7 s* Y7 n

8 H+ w6 G1 {! s" |, u 总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！ * N9 r# O) I/ K/ n" C- X2 b

, k7 @, _ j5 _) p% N

, s! b" W' M+ |2 ]( B/ }  ; x1 V) {! P6 E, R+ P1 b2 G

: t" S! L6 z/ L: r



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2