中国网络渗透测试联盟

标题: 原创-web渗透测试实战大杂烩 [打印本页]
作者: admin    时间: 2023-11-28 20:23
标题: 原创-web渗透测试实战大杂烩

) p: N5 k- Y; ~. L: T6 _2 v5 t) f* H 注:各位同仁，今天晚上主要防止被限号来凑个数字，这篇文章本来是给一个机构做科普的，所以写的有点怎么说，反正土司的人看了会骂哈哈，大家凑合的看，文中哪怕有那么一点半点东西，能给大家带来启发，那么我这个文章就没白发，所以大佬们轻点喷哈哈，嘴下留情哈哈。 1、POST注入猜解网站管理员账号密码 通过awvs扫描发现存在注入，直接在avws下的Scans---target下点击你扫描的过目标如图： ; c s% v- h) c% e* ?: U. B9 l

4 P. [7 ]# I1 }/ L7 a- n4 r. T4 N

$ l% i, Q2 O% r1 P! R9 g( G image-1688134638275.png # S' E9 F: ^: h

- `/ y# s- a, ~- m) I

* C8 \2 ~: Y6 {( t 然后点vulnerabilities，如图： $ |1 F& {/ }. o! I+ [: u

: H$ S; e* i5 p2 I0 p1 {

7 ~% `5 ^" I6 Q4 o) y image-1688134671778.png9 [" F" x+ e. _1 z" _

" M4 v0 M; j0 E+ T8 X# g+ K

7 w1 B, ?* V. U% Y7 b 点SQL injection会看到HTTPS REQUESTS，如图： 6 x' c5 F' p/ b

" u* W z* y0 R: W

?" x0 e. R# {2 o- M C1 T, [; B1 c image-1688134707928.png % t6 L( e5 o6 E; X. v# M* Z

! K4 G$ j& F+ w" `- B9 m

. t) ^1 D$ P: q 获取到http的数据包，如下： POST /Product/ProductHandler.ashx HTTP/1.1 Host: www.test.cn Cache-Control: no-cache Accept: text/plain, /; q=0.01 Origin: http://www.test.cn User-Agent: Mozilla/5.0 (Windows NT 6.3; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.16 Safari/537.36 X-Requested-With: XMLHttpRequest Referer: http://www.test.cn/ Accept-Language: en-us,en;q=0.5 X-Scanner: Netsparker Accept-Encoding: gzip, deflate Content-Length: 157 Content-Type: application/x-www-form-urlencoded; charset=UTF-8 . W5 I; y8 a- m) b% W. S/ b' _* H' a

# ~$ j5 x: S3 [$ c5 ^" V- k

F4 r _2 _6 n. M `# c8 t- A& _ Type=GetProductList&pageIndex=3&pageSize=5&productType=*&supplierType=1 把以上post包保存到sqlmap根目录下，保存为1.txt,注入参数提前用awvs已经识别，注入参数是productType，注入命令为： sqlmap.py -r 1.txt --level 5 --risk 3 -p productType --dbms=mssql -D cci -T Zy_user -C u_loginname,u_loginpassword –dump 此sqlmap命令的意思是读取数据库cci下Zy_user表的用户名密码列名，dump就是保存下来的意思，会保存在./sqlmap/output下，以excel表格的格式保存着下载下来的表的内容。 注入用户名密码加密值如图：& u: P- \4 z$ P) ^

" N, n2 o" a _& A: y4 {1 n1 F; J% \

5 r1 W2 r# v0 s: w$ o/ ]: { image-1688134982235.png 9 x3 r. ]2 _+ ?

; c3 e" s! e( J( O2 M6 C" f' j

4 D, F/ I7 u" `: g; t7 `: j 2、通过对bin目录dll进行反编译解密管理员加密值登录后台 通过前面的sql注入可获取网站后台账号和密码加密值，为了更深入的测试网站后台是否存在其他漏洞，需要黑盒测试模拟黑客攻击进一步测试，故对网站目录bin目录下的dll进行反编译来获取加密密匙，最终成功解密密码。 把bin目录下的dll全部加载到Reflector中，然后通过跟踪常用用户密码相关的类函数，得出如下结果： 8 h1 x1 J$ h* B6 H, r3 s! \

$ b# a* C! T& q4 t7 f `) m

" s1 P5 z% H4 k, J& W$ w image-1688135020220.png p0 c9 e' d7 p' E

$ S2 M2 J- t6 n5 ?: S

$ t; C1 t# H; I! O- R8 `4 \/ t image-1688135035822.png7 d, O9 S( K$ p1 r8 p' F# F

4 \5 X3 C$ Y+ i& _

' }9 p4 s$ N$ F- k 得知密钥是fkue且为des加密，接着定位encrypt类函数找出其解密方式如图：, k7 p7 c9 x* g7 ]9 S

1 F; f% }. f* J- A

( b L- L, C t! z( {/ ^" _( v+ { image-1688135070691.png 9 ~" u: K, Y$ D7 `3 D

% ?4 }. M- T6 `5 S: b

: m% p& W% p" H 解密方式是把fkue使用md5进行加密，然后取32位md5加密值的前8位作为加密密钥，如图： 7 P g1 l4 ~& ~9 |9 z

5 L2 k: c- z: \, C4 m5 X

" g9 Z# v" }1 s% f+ c+ s k7 l image-1688135098815.png6 ^9 Z2 u9 M/ _/ W$ W9 N/ g& C

7 o5 Z- V4 D1 C: I6 [& G5 O. o3 C1 Q

& b# L9 r/ D1 ?/ c! o 通过在线解密网站解密得知加密密钥就是：1110AF03。 前面sql注入步骤已经成功获取admin的加密值，如图：- l/ _( D; U3 b" y, ~* U1 W

" M, B2 }! C4 ~; }: ` ^8 }3 @+ C

; E H% [( c) |- ^ image-1688135130343.png$ w# F% z! f- q8 H0 n; f7 R/ ]

, g# J6 C& b. \: \2 j8 }$ W) f

: z S4 g% A( ^) M" a5 v 解密admin管理员密码如图： 0 ^) z9 e1 I/ f A$ I

/ ^# T7 _7 e) Q2 r! B; ^; Y

: Z. K8 M# q# r6 |2 p/ w image-1688135169380.png % P- `/ y; Y/ A7 K Y5 y

! v1 [ o; u0 Y

9 R7 v, K1 Q7 K9 h 然后用自己写了个解密工具，解密结果和在线网站一致/ A. A, U- N- q1 p

4 r2 Z) X! d8 T- B

. E- Z0 x- T3 N1 x image-1688135205242.png - M- Q" Y% ]5 K# t4 _1 {

- ]3 Y# t8 j% ?. b! O: u

; b* [" m0 i: P* l8 g5 T 解密后的密码为：123mhg,./，登陆如图： 4 I/ M7 h! O7 ^: }7 u6 y

% H) {& G1 X/ m- W

9 b! V8 s+ @$ J0 V6 A" F% g& y$ [ image-1688135235466.png % `3 D: X; |. M

+ \, F5 v; ]* u9 z( v6 e4 k- ]) ]2 {

' S5 `& C$ r! m+ z; B) p. x$ W 3、后台上传绕过漏洞getwebshell如图： 登陆后台后，在添加信息处，会有上传图片的功能，随后使用burpsuite抓包如下图： * p" ^5 g$ r+ [' ^4 k% D' B

$ p; N( R) I$ L6 Q2 A& [

* R, v& I/ r/ x" \ image-1688135263613.png 3 |- m- k$ b7 P; z

6 C2 F8 l* Y* N6 l( v# Q

% [4 j" |/ g( k3 P% M- g' M image-1688135280746.png 9 s# @" e4 a1 j, c

1 i$ K7 E4 @+ s

1 F) i0 T2 q# r( a) l( t" j4 G3 s 绕过上传限制，只需要把包里的filename的1.jpg改为1.aspx，即可成功上传webshell，如下图： ( n; _& G6 g& A8 F5 V" p

1 {- _: N1 W9 C- [7 F5 ~ @9 v) B

z( y B8 H& T7 F' ^# Z/ U3 w image-1688135310923.png 0 m, f& \7 I& ]% f

8 z9 ^9 f( F: {& |

1 t! g* z' [ _9 n) ]+ m, Q 访问webshell如下图： 9 J" {/ \1 n- {; E j+ e

9 P! B. i# x; B7 _' ^' C/ x

P( c4 X- r5 y4 _3 y image-1688135337823.png 1 p+ ~6 _2 z9 A4 k) A3 n

0 E6 [! }0 m7 N6 v( j% v

/ R2 Z$ H" D" m0 r" l$ q6 M 4、前台任意上传漏洞getwebshell 在目标站前台有注册账号功能，注册成功后，同样在上传图片处可直接上传webshell，链接为http://www.test.cn/userRegister.aspx，登录如图：+ }. Z$ C* M6 p) r) k$ Y& v5 z

_2 ~+ Q( n; z

( g8 f8 A# Q; A T image-1688135378253.png ( }& P* G" x( t$ B* p" B

; x& V4 z8 e: E

# ^7 p+ Y+ x! y5 o4 @ 在上传证件或者头像的处可直接上传aspx 后缀的webshell，上传成功后，点右键-属性，可查看上传后的webshell路径为：http://www.test.cn/Admin/upload/demo.aspx 然后登录如图： , A& l/ |3 U8 n6 ]8 k3 k, n

4 I1 |3 `4 F3 F( E+ ~; s6 W/ I

& p: V, C* @( F/ n" L- C image-1688135422642.png9 A* o' g, ]. z1 E& A% ~

* D' v- z% A2 }: e# ^

9 m( n3 n- _ M5 w; m. f 通过查看网站路径下的web.config文件得到mssql数据库配置账号为sa的密码并且以windows身份认证配置的系统登录账号密码如图：( V* m: e% \& d2 e" Q4 H) {6 N! N

0 P8 I& M# D& ]2 i3 v! ^* d

1 @' _) n5 j& X+ c( X image-1688135462339.png + I* [- j2 b6 b- }' T7 t

" {8 I0 u4 p* T3 v/ m" k- X) e

2 _0 Q1 {9 y. L9 A5 c 可直接利用mssql sa权限执行系统命令添加管理员账号密码或者直接利用Windows登录密码webshell下利用lcx内网端口转发登陆3389。 / ]5 }' |6 j4 g) m* n

1 b& [6 S/ c* P/ c3 _9 R! y

1 p8 z5 {. n g* l4 ~( y 总结：一套程序不应该只考虑其美观与功能强大，是要在满足安全的前提下再同时满足美观与功能。建议各个单位在系统上线之前，条件允许的情况下，首先进行白盒测试，其次进行黑盒测试，再次进行灰盒测试。如果通过白、黑、灰发现安全问题，那么就要再进行一轮这样的测试，直到系统难以被发现安全问题，然后再进行上线。特别是一些政府、企事业单位，数据面涉及基础人口等敏感数据，一旦遭到黑客攻击被泄露，给国家带来的损失是无法挽回的。好了以上就是今天分享的渗透内容，谢谢大家的收看！5 @5 d6 G7 j! ~# L- b) z

2 H2 T+ e2 O! V& l

* Z1 v) I9 S8 P/ U9 h$ V) D  9 j) [2 P$ R& `

3 X/ t3 ^$ @; ~" C. j4 a



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2