记一次渗透【通过】

目标

信息如下,看到iis7.5+php第一时间就想到了解析漏洞

环境:windows iis7.5 PHP/5.3.28

解析漏洞

页面是一个登入页面,一个二级域名

找到图片链接地址然后在链接后面加上/.php成功解析

http://xxxx.xxxxx.com/images/login.jpg/.php

现在已经确认有解析漏洞,只需要找到上传的地方就可以了

kindeditor

翻js文件的时候在里面发现了kindeditor,也得到了路径

image

http://xxxx.xxxxx.com/include/plugin/kindeditor/php/upload_json.php

现在来构造一个上传的html

<html>
 <head></head>
 <body>
  <form name="form" enctype="multipart/form-data" method="post" action="http://xxxxx.com/include/plugin/kindeditor/php/upload_json.php?dir=file">
   <input type="file" name="imgFile" />
   <input type="submit" value="Submit" />
  </form>
 </body>
</html>

准备好一句话木马将后缀名改为.docx,然后选择上传,成功上传得到地址!

image

http://xxxx.xxxxx.com/upload/Experience/file/2020/02/3_200206185133.docx

命令执行

现在拿出我们的蚁剑,添加连接

image

成功连接,只有www目录的访问权无法跨目录

接下来试试看执行命令,无法执行命令,得到系统2008

看了一下phpinfo被disable_functions了

然后我突然想到主站是个asp的站他肯定支持asp,二话不说上传了asp一句话,成功执行了命令! 一个iis权限,现在也可以看整个D盘不再是www目录

也支持aspx试了一下跟asp一样权限也只能看d盘

360

想执行一下tasklist却发现执行不了,systeminfo也没办法执行

直接上exp,执行时候也被杀了,我在目录里面翻到了360

通过exp提权是行不通了,因为我没有免杀exp,也没办法执行systeminfo也不知道补丁情况,现在看看有没有第三方软件能够利用了

FileZilla_server

翻了翻文件夹找到了个FileZilla_server

看了下端口14147也开放

image

看了FileZilla Server Interface.xml文件我们可以看到它的连接地址:127.0.0.1 及端口:14147,密码这里为空。

image

但是14147端口在内网,无法直接访问,lcx nc等上传均被无情秒杀。

reDuh

reDuh工具可以把内网服务器的端口通过http/https隧道转发到本机,形成一个连通回路。用于目标服务器在内网或做了端口策略的情况下连接目标服务器内部开放端口。

本机——-客户端———(http隧道)———–服务端——————内网服务器

服务端是个webshell(针对不同服务器有aspx,php,jsp三个版本),客户端是java写的,本机执行最好装上JDK。

reDuh转发14147

把服务端的webshell上传到目标服务器,然后访问,我这里是用的aspx的

image

命令行下用客户端连接服务端

java -jar reDuhClient.jar http://xxx.com/upload/Experience/file/2020/02/r.aspx

使用nc本地连接1010端口

image

连接成功会有欢迎提示,之后输入命令

[createTunnel]1234:127.0.0.1:14147

前面的1234是本机连接用的端口,中间的ip地址是目标服务器的(可以是webshell所在服务器也可以是和它同内网的服务器),后面的14147是欲连接目标服务器的端口。

image

成功将14147转发出来了!

连接FileZilla

打开FileZilla,连接本地的1234,密码为空

image

成功登入

image

添加个用户

image

权限都点满

image

然后使用winscp连接,可以读取C盘文件了

image

这里替换了粘贴键为cmd失败了不然可以用5下shift调出cmd

到这里也测试了一些web上的密码去登入3389也无果,mysql数据库也不是root

到这里当时已经是半夜了我也就睡了。

  • 通过
  • 未通过

0 投票者

3 Likes

蚁剑有一个bypass disable function的插件 你这里好像没有禁用putenv函数,可以利用,不过只有linux环境下可以bypass

禁止了我没截全

过程比较全面,不错!

08以后就不能替换系统文件了

把用到的工具分享一下呗

翻mysql的数据文件,里面有root密码。然后把sqlmap的udfdll丢上去,提!