|
1 ?' }# G! M" M3 u: ^
+ C" m5 o4 X9 X7 @& t7 `
! P/ J# {5 k. a8 n* S8 |8 n( w4 a" J6 O) I# I) m$ [
1、网站弱口令getwebshell
' m) h6 A0 @) `2 ?, z: I# V- P7 a
经过一番手工猜解找到网站后台，习惯性的用admin admin竟然进去了，浏览一番发现可以配置上传文件类型于是配置上传类型如图：
# Z, E, @2 E& B" ]5 H/ F
5 U2 @9 s6 ^: W( x* i
2 o9 }; @+ R4 `# \$ b% y9 x; O/ ^1 m
2 _- u* u! C: S
! i: s! v/ ?; ]7 j然后去找地方上传，上传的时候发现虽然配置了asp、aspx但是仍然上不上去，还曾经一度用后台的sql命令用db权限备份一个webshell，但是由于权限设置问题导致拿webshell失败，抽了一支烟，沉思了半会，决定在增加个上传类型cer，看看果然可以成功上传，如图：
8 q. l) r0 e6 N1 m- u* f
5 e9 Y# E3 g" ^ _2 {' \2 F, a" x
, Z. U. l- z6 Z! Z9 P1 r. P
5 e# B3 B/ a9 t- ~$ l' D5 d
2、各种方式尝试反弹3389
+ D1 P+ |+ G" k. }拿菜刀连接执行ipconfig /all,发现是内网，如图：
- n# b7 b2 m& t7 l/ O
# ?( d T/ Y5 t' D
. m. K# S& |9 G( t1 C- l# A
服务器开了3389，下面我们想办法反弹出3389，笔者测试用lcx,tunna，reDuh，均以失败告终，貌似像开了TCP/IP筛选限制3389登陆，好吧我们想办法关闭掉这个，方法有两种一种是用mt.exe执行，笔者这里用修改注册表的方式修改，方法如下：
3 T- _+ Y* A2 k. N' i5 C
* t1 c1 v3 \$ n7 S1 s. wTCP/IP筛选在注册表里有三处，分别是：
4 k2 C, A1 Z( r( u) lHKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip
* u; f0 i8 Q8 h& D! D
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
/ I% F- [' s1 b8 ^/ x" L) vHKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
: k- M, a' o5 ^+ Z9 V2 P
, J& B% e( C1 h2 ~" O) \' w. A
导出到自己所指定的目录进行修改：
4 ]* q. K! H5 R% g* w3 ?
regedit -e D:\ 网站目录\1.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
; S' Z5 O. {& n2 A) `. Fregedit -e D:\ 网站目录\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
3 \# q0 C7 @" Y' _8 u% c- H
regedit -e D:\ 网站目录\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
* D3 T7 D$ p9 z. L2 } [$ e
8 g. M1 F; |6 L8 h% i1 D
然后再把三个文件里中的：
& V3 ~2 U$ a/ K“EnableSecurityFilters"=dword:00000001”改为：“EnableSecurityFilters"=dword:00000000”
$ @7 {+ P' j3 k& h, b: h4 @再将以上三个文件分别导入注册表：
; V9 U w+ \. `" H" ~regedit -s D:\网站目录\1.reg
! z% W# R4 c7 x' S" B1 M; }
regedit -s D:\网站目录\2.reg
" \; s4 L8 M c' ^' N* T5 ~8 U( ?
regedit -s D:\ 网站目录\3.reg
4 F/ q# ~3 r) U5 v5 F1 E
重启服务器即可！
, t* V6 a! x8 W# V
但是导出注册表打开看貌似不是TCP/IP筛选限制，因为找不到EnableSecurityFilters，好吧看来不是筛选限制，那怎么办，据说国外有很好的工具可以正则代理，我分析很有可能是做了安全策略导致的，因为我把防火墙相关的服务都关掉也不行，操家伙，工具名称叫：reGeorg-master，下面看我操作，先把这个代理脚本tunnel.aspx上传然后执行
7 K1 P [7 T; M) Q7 r
& p. \9 Z- S0 R1 T0 k- j
. y3 ?- e# K1 w( V2 K' k
0 L; J0 E: C' H& N- W3 D! A1 F然后还需要安装个程序SocksCap，然后加载如图：
2 l0 p4 `) A( ~& a
) J5 e% ]- ~* h7 c u- @
0 d$ B$ F! o4 q下面我们开始用mstsc连接内网ip,首先连接10.177.2.14，结果连接不出来，连接另一个内网Ip 10.177.250.1也失败，后来干脆netstat –an一下发现目标机连接到10.177.2.11，端口是1433，如图：
$ _/ D6 @7 O, G6 |/ z* m$ B
6 _% E4 B$ _7 L# B7 O7 d/ ~
$ C. y2 `% W1 [- ]# [
: J! v( V* K% r* Q: k2 W
3 F# ?" F7 F3 N9 T E5 h既然使用s5正向代理，那可以试着连接一下这台数据库服务器3389看看，连了一下果然是可以连通如图：
1 A( l, Z1 x# \! Q' i5 ]9 a4 i
/ y& m0 A- f; F6 T& g3 s
5 Y: @0 ]1 y: [6 d: ~
0 p5 e7 q& h7 V2 G' k6 p1 p
8 p, Y; y% V/ [ R# t# T2、数据库提权与ms15-051提权双进内网服务器
' T [ ~+ |% I3 T' T
OK，现在的思路是翻网站数据库配置文件，找找sa密码然后先给10.177.2.11提权，然后再在11里面连接目标3389，没翻到sa密码此处略去300字，不过翻到一个账号是sa权限，连接数据库执行命令如图：
/ A( a6 f& J$ i: O% ]
" E5 n/ ~2 E/ S3 q' C
+ z3 t" }- `( S; I& Z7 o1 T# X
4 i0 b* |+ I0 ?) Y W
添加账号密码的过程就不写了，肯定是可以进10.177.2.11了，下面我们还的给目标机添加账号密码，经提前测试，发现存在ms15-051漏洞，直接上exp执行命令如图：
: W* V' o- D$ v# ]
8 ? @# x! b+ u- j9 R
6 ^$ ]/ _4 ]% t
! H9 U; a( r6 n同样添加账号密码，终于进了目标站的远程桌面如图：
, n. O# B3 K$ I" J$ m/ l
& H% Q+ w+ p1 Q3 m9 _& I- {总结：至此这个网站的漏洞算是测试完了，测试中途有些卡顿，主要技术问题是反弹3389，测试各种反弹工具都失败，后来经验证不是做了TCP/IP筛选，我用远控也无法上线，貌点像通不了外网的样子，但疑惑的是为什么数据库服务器的3389却可以代理出来，同样在数据库服务器中远控也无法上线，如果有遇到过这样的朋友，请回贴不吝赐教。。。先在这里谢谢大家了。。。
5 ~1 \2 ^+ i3 j0 u; Q+ i ! B L& t% F& @, ]
) \, b0 e2 Q, I7 x9 e
! `4 s& ~6 X! c, T) P8 Y
| 
发表于 2018-10-20 20:16:49
收藏
支持
反对