找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1292|回复: 0

渗透测试百货中国内网纪实

[复制链接]
发表于 2018-10-20 20:16:49 | 显示全部楼层 |阅读模式

+ o: d& Q( a6 L
9 h0 R1 I# z' k* L% x

- N- n, U4 q" D- H1 i. T

0 ~5 s$ l5 W8 j" y* F5 X/ u8 x 1、网站弱口令getwebshell
, t! Z; E+ H" | N" E# G8 p% y. p
经过一番手工猜解找到网站后台,习惯性的用admin admin竟然进去了,浏览一番发现可以配置上传文件类型于是配置上传类型如图:
1 q5 D0 G2 c/ p, O8 |# W/ D* O
$ p3 [( x3 L0 c. N! `; r1.png
[" `+ E! S# N# v' E; J8 G
( \: L/ r$ I* U
3 Z D3 Y& x2 @) R; u
然后去找地方上传,上传的时候发现虽然配置了aspaspx但是仍然上不上去,还曾经一度用后台的sql命令用db权限备份一个webshell,但是由于权限设置问题导致拿webshell失败,抽了一支烟,沉思了半会,决定在增加个上传类型cer,看看果然可以成功上传,如图:
. }2 u, p! E+ I6 b2.png
( }% L. Y" `2 x9 x/ A u
7 h3 J0 M$ E0 b8 s% I; M; a
K O7 {8 T) M7 } 2
、各种方式尝试反弹3389
4 D5 _6 [' h3 U& Y% x P
拿菜刀连接执行ipconfig /all,发现是内网,如图:
, F; M7 r3 n% w. J 3.png
3 |% X8 `5 B, L# f( y5 }7 ]
S0 ^5 {# e4 |; O) ~
服务器开了3389,下面我们想办法反弹出3389,笔者测试用lcx,tunnareDuh,均以失败告终,貌似像开了TCP/IP筛选限制3389登陆,好吧我们想办法关闭掉这个,方法有两种一种是用mt.exe执行,笔者这里用修改注册表的方式修改,方法如下:
, H+ p( e$ l& A& E* ^' Y4 u
9 B& C. w5 B x' i* T% tTCP/IP
筛选在注册表里有三处,分别是:
* v3 B( {, @/ z2 d! `* U# t7 ] HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip
, z d' k- J) x" H9 d9 {+ |1 W HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip
( p/ y. ?2 [" Y5 W4 a; D' p HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip
. C. F8 c) }# F6 r. [3 ^  
( [7 G$ U ]* q$ |$ u9 W( m
导出到自己所指定的目录进行修改:
, B& m: D8 Y& R9 e; w5 Bregedit -e D:\
网站目录\1.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip   
& E/ M2 A3 P" S$ T9 B# Zregedit -e D:\
网站目录\2.reg HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip   
$ }0 F N G; | S" m regedit -e D:\
网站目录\3.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip  
+ q$ ?3 p: r( D% g1 u+ t6 q 
& h5 D8 r0 H, M5 M: H4 J
然后再把三个文件里中的:
" ?5 V7 i3 U% y4 R7 k“EnableSecurityFilters"=dword:00000001”
改为:“EnableSecurityFilters"=dword:00000000”
$ R5 F- h- U& t
再将以上三个文件分别导入注册表:
) y* ?' L& F, Y$ @regedit -s D:\
网站目录\1.reg
! D$ @. f/ V# H) uregedit -s D:\
网站目录\2.reg
2 X: h$ K# q! zregedit -s D:\
网站目录\3.reg
" g2 u j( ` ]8 F
重启服务器即可!
8 x x1 F% N4 `8 q
但是导出注册表打开看貌似不是TCP/IP筛选限制,因为找不到EnableSecurityFilters,好吧看来不是筛选限制,那怎么办,据说国外有很好的工具可以正则代理,我分析很有可能是做了安全策略导致的,因为我把防火墙相关的服务都关掉也不行,操家伙,工具名称叫:reGeorg-master,下面看我操作,先把这个代理脚本tunnel.aspx上传然后执行
& e6 U/ V! t& t$ B# c
2 ?. T+ [7 N2 q* N% y4.png
; O: X6 d& E# G, E3 h
0 J& l# u- w5 N, h6 O
然后还需要安装个程序SocksCap,然后加载如图:
( c; O! L/ l# L7 B. O
+ m U$ z5 A0 g- ~/ c* I5.png
$ C( B6 b" n( j
下面我们开始用mstsc连接内网ip,首先连接10.177.2.14,结果连接不出来,连接另一个内网Ip 10.177.250.1也失败,后来干脆netstat –an一下发现目标机连接到10.177.2.11,端口是1433,如图:
! e8 J: {' w6 F( Z' F' S/ U
2 U- w U- D6 a I& Z: S, D r
+ {" m) m$ h j6 ^; j 6.png
9 z# r/ U+ d5 r" m2 ^( T O# A# F
* ?% I5 {2 c. B$ W
既然使用s5正向代理,那可以试着连接一下这台数据库服务器3389看看,连了一下果然是可以连通如图:
: _6 ~! H! O0 f! D6 L
- l9 u' p0 Y& {9 _- d" y
5 W; F7 H( S/ }8 `, M7.png
, T! Q! U' n) ?2 t g
9 p% k- }# I5 c _0 G2
、数据库提权与ms15-051提权双进内网服务器
* L/ `! U+ |' f6 dOK
,现在的思路是翻网站数据库配置文件,找找sa密码然后先给10.177.2.11提权,然后再在11里面连接目标3389,没翻到sa密码此处略去300字,不过翻到一个账号是sa权限,连接数据库执行命令如图:
+ X7 P. L/ @( F 8.png
- p2 @3 K0 F$ }' t
! J2 D! D6 l. j( J3 h9 `
5 Q& r% s- I7 D4 ]2 {. c+ S/ E
添加账号密码的过程就不写了,肯定是可以进10.177.2.11了,下面我们还的给目标机添加账号密码,经提前测试,发现存在ms15-051漏洞,直接上exp执行命令如图:
3 f3 T* c$ C# ^- H
8 V' K; D$ u- a N
# ?( m2 W3 Q. k7 p% n 9.png
6 H" i4 U8 W# @/ m) E
同样添加账号密码,终于进了目标站的远程桌面如图:
; l8 ?3 p# U4 d& }2 w 10.png

) n7 @! i# v4 F# D; M3 W6 O. c# Q( y
总结:至此这个网站的漏洞算是测试完了,测试中途有些卡顿,主要技术问题是反弹3389,测试各种反弹工具都失败,后来经验证不是做了TCP/IP筛选,我用远控也无法上线,貌点像通不了外网的样子,但疑惑的是为什么数据库服务器的3389却可以代理出来,同样在数据库服务器中远控也无法上线,如果有遇到过这样的朋友,请回贴不吝赐教。。。先在这里谢谢大家了。。。 4 a* _) I' x- P7 ^2 A1 q! o/ g0 H# `

) Y2 }2 O _9 g `/ v" l; a" g

, `8 Z) z2 l: D2 D0 C
. K! ^9 e+ l; P$ h9 ` G/ _

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表