本文作者:i春秋作家——whoamiecho
前言
好久没认真的写过渗透过程了,这次来个长篇一点的,我尽量语言生动点,过程还蛮有意思的,大家看着玩吧。文章已做脱密处理,关键URL用******代替,截图已做专业打码。旨在技术交流。
事情的起因还不得不提到躺在硬盘中好几个月的沉甸甸的包裹着Active Server Pages的归档私有专利压缩数据流。我语文不好,百度翻译了好久才明白原来特么其实就是个asp代码的压缩包。
第一章、洞洞在这里
洞洞很大,不是因为危害大,而是因为真的很大。1GB的文件备份泄露。下载地址为:http://www.*******.com.cn/*******.rar。
下载后简单查看:网站源码包含三精主站和bbs。管理后台总共三个,地址分别是:
bbs后台:http://www.*******.com.cn/bbs/admi***j/
主站管理后台:
http://www.*******.com.cn/wlts/login.asp
http://www.*******.com.cn/*******_2008_system_admin/
源码中包含了所有数据库以及数据库备份。access数据库和mssql数据库。
以前很少搞bbs,这里特地选取了bbs作为长征起点,先找到洞口钥匙:
不会开锁的黑阔不是好的砖家。
成功登陆后台:先在后台收集些信息: 2.8万用户;发现邮箱密码:居然是123456,窃喜。
第二章、我要进咯,怕不怕
发现后台可以修改上传允许类型:于是加上asp。
发现被禁止添加了。
绕过方法有很多,比如添加cer后缀,aasp等等。cer可以成功,未尝试其他的。
悲剧的事情来了,在后台找了半天也没找到上传点,第一次见bbs后台没有上传点。气死我了。没办法,想了想,前台肯定可以上传。如果配置项是全局的的话,那我在前台也可以上传cer文件。网站不允许注册了,于是破解了个用户的密码,登陆后来到留言板栏目,发现在允许栏目里面多了个cer,看来是可行的。
第三章、洞口虽大,可不要乱入哦
上传.cer的一句话木马成功。地址在html也找到了。我仿佛看到了美好的未来。
http://www.*******.com.cn//bbs/upload/2016-11/28/2016/11/282330122325.cer
兴高采烈的去访问却发现,悲剧的事情在此发生了,我怎么找都找不到cer文件。各种路径都尝试了。还是访问404.
于是做了三种猜想:
-
cer不被允许访问
-
路径错误了
-
文件上传失败了
证明猜想:
1:修改上传允许类型,为asa,aasspp等,发现同样上传后找不到文件———》排除不被解析的可能。
2:路径在下载的备份中找到正确的姿势,发现也不能访问到。————》应该不是路径错误。
第四章、大王叫我来巡山,抓个和尚当晚餐
上传的路子堵死了,那么通过备份数据库拿shell也不行了。突然想到,网站可以配置全局的变量,比如刚刚的允许上传类型,那么肯定是包含了本地的asp文件。那么我可以直接写asp代码进去啊。最开始想的是改刚刚那个上传类型的代码。在源码中找了很久找到了配置文件,后来看到,在论坛防护墙这里有个栏目,直接加一句话代码就行了:
找到这个文件还要归功于本地的写了代码,不然也不能顺利的找到文件位置和文件名。getshell成功
在D盘发现了sa用户密码。
看下权限:iis
第五章、起来不愿做奴滴人们
服务器上运行着mssql,所以提权思路有两种:
1:本地脚本链接数据库,通过sa用户本地提权。
通过菜刀脚本去链接本地的mssql数据库却连不上,这不科学啊,难道数据库没用?
于是在网站代码里面各种翻看,找到了很多配置文件,得到的数据库也是五花八门。都不能登陆。难道是数据库不在本服务器?感觉疑问很多啊。
既然连不上,那就只有走另一条路子了。
2:windows自身提权
尝试执行systeminfo发现总是超时,看来是得不到补丁信息了,一个一个试吧。
巴西烤肉,pr等最常用的先试试,看看管理员有木有补丁,发现很多都失败了,尝试了最新的也不行。
本想默默离开的,结果最后一发打响了武装反抗的第一枪,发现ms15-051可以提权:
3389对外开放,添加用户后登陆,
第六章、湿者,传道,兽业,截货
1:上传cer失败:在网站目录下搜素cer,发现没有找到,说明上传失败了
2:mssql数据库连接失败:居然在 在管理员的桌面上发现了新的数据库密码。
我擦,原来这才是我寻找的那个她。我就说怎么连接不上去,原来是密码变了,用最新的密码连接进去了。
第七章、亲爱的你慢慢飞
我有一只小毛驴我从来都不停,拿着上面后台的邮箱密码访问mail,但是发现123456并不能登陆。看来是乱写的。既然到了这里,还是尝试下手里面有的密码吧。于是把bbs的管理密码输入,居然登陆了,人品爆发啊。邮件还是不少:
邮件登陆后关联了crm平台:
还有微博:
第八章、来个
由于网站说在服务器没有内网。不能漫游了。
这次入侵主要是
1:利用了手里面的源码,得到用户管理密码进入后台,:
2:在getsehll的时候也用到了查看源码所在文件,才能快速getshell。
3:提权想要放弃,结果多坚持了一下
4:扩大战果利用了管理员的惰性,设置相同的密码
最后,由于当日web访问日志被某个系统进程占用着的,不能修改,为了处理日志,等到了第二天早上八点。