516天 JunMo

乾坤未定,你我皆是黑马!

记一次解析漏洞渗透

发布于 10个月前 / 250 次围观 / 0 条评论 / 渗透测试 / JunMo

目标

信息如下

环境:windows iis7.5 PHP/5.3.28

看到iis7.5+php第一时间就想到了Fast-CGI解析漏洞

解析漏洞

页面是一个登入页面,一个二级域名

f33239f5d3a834af7887d5aae84a3326cffdf1a3.jpg

这里随便找一个图片链接地址然后在链接后面加上/.php成功解析

http://xxxx.xxxxx.com/images/login.jpg/.php

9b0b0b70b14519accb12380060e818cfe7f9eb39_2_690x363.jpg

现在已经确认有解析漏洞,只需要找到上传的地方就可以了

kindeditor

翻js文件的时候在里面发现了kindeditor,也得到了路径

93e0d1e6dc540c68ab74165b1537195d6127e4b9.png

http://xxxx.xxxxx.com/include/plugin/kindeditor/php/upload_json.php

现在来构造一个上传的html

<html>
 <head></head>
 <body>
  <form name="form" enctype="multipart/form-data" method="post" action="http://xxxxx.com/include/plugin/kindeditor/php/upload_json.php?dir=file">
   <input type="file" name="imgFile" />
   <input type="submit" value="Submit" />
  </form>
 </body>
</html>

准备好一句话木马将后缀名改为.docx,然后选择上传,成功上传得到地址!e3d27fab7cf519a7f18ea91236bc8a4cc158f299.png

d8cb45cc4758b5f89458336ee58d2f6de312e42b_2_690x128.png

http://xxxx.xxxxx.com/upload/Experience/file/2020/02/3_200206185133.docx

执行命令

现在拿出我们的蚁剑,添加连接,只有www目录的访问权无法跨目录

50ba3d3b40ca72c343fd699a79d1ac54d96cfa0c_2_690x249.png

接下来试试看执行命令,无法执行命令,得到系统2008

7a31e58688b45ee3ba428cf8943aaa6365001c11_2_690x141.png

看了一下phpinfo被disable_functions了

6775e76dbbe97b6ffb6e60eb6d842ca297eb869f_2_690x267.png

然后我去看了一下他主站是一个asp的站,跟这个域名同一台,然后上传了一个asp一句话,成功执行了命令

! 一个iis权限,现在也可以看整个D盘不再是www目录

也支持aspx试了一下跟asp一样权限也只能看d盘

FileZilla_server

翻了翻文件夹找到了个FileZilla_server

3cdc2e5d63f963044bab944dbc97938ebdebfc6c.jpg

看了下端口14147也开放,看了FileZilla Server Interface.xml文件我们可以看到它的连接地址:127.0.0.1 及端口:14147,密码这里为空。

63e585b25b3d45f6fc85c6e3522a439fe58d9b56.jpg

但是14147端口在内网,无法直接访问,lcx nc等上传均被无情秒杀。

reDuh转发14147

reDuh工具可以把内网服务器的端口通过httptps隧道转发到本机,形成一个连通回路。用于目标服务器在内网或做了端口策略的情况下连接目标服务器内部开放端口。

本机——-客户端———(http隧道)———–服务端——————内网服务器

服务端是个webshell(针对不同服务器有aspx,php,jsp三个版本),客户端是java写的,本机执行最好装上JDK。
 
 
把服务端的webshell上传到目标服务器,然后访问,我这里是用的aspx的
 
e8f46cb8fd857f26af223073c609366574940c32.png
命令行下用客户端连接服务端
java -jar reDuhClient.jar http://xxx.com/upload/Experience/file/2020/02/r.aspx

1.jpg

使用nc本地连接1010端口2.png

连接成功会有欢迎提示,之后输入命令

[createTunnel]1234:127.0.0.1:14147

前面的1234是本机连接用的端口,中间的ip地址是目标服务器的(可以是webshell所在服务器也可以是和它同内网的服务器),后面的14147是欲连接目标服务器的端口。

3.png

成功将14147转发出来了!

连接FileZilla

打开FileZilla,连接本地的1234,密码为空

4.png

成功登入5.png

添加个用户

6.png

权限都点满

7.png

然后使用winscp连接,可以读取C盘文件了

8.png

这里替换了粘贴键为cmd失败了不然可以用5下shift调出cmd

到这里也测试了一些web上的密码去登入3389也无果,mysql数据库也不是root

我也就没继续试了,到此结束

未显示?请点击刷新