记一次有趣的渗透测试

本文作者:Damian

最近在做渗透测试的练习中遇到一个比较有意思的站点,在此记录下来,希望能给向我一样刚入安全圈不久的萌新提供一些基本思路吧。

在拿到目标站点的域名时,首要的工作肯定是进行一系列的信息搜集工作,具体搜集哪些信息以及怎么有效搜集,可以参考 Google 或者百度。

下面为了文章的简洁性,我只提及我会利用到的一些站点信息。

首先网站的真实 IP 并没有隐藏在 CDN 后面,直接在 ThreadBook 上查看同 IP 的旁站,显示足足 189 个!

看到这个数的时候,说实话内心是沉重的,虽然可以从众多的旁站入手,来拿到我们目标站的权限,不过运行了这么多站点的服务器,其防护措施,和权限的管理肯定都是比较安全。

简单的翻阅了一下网站的大概内容,发现网站更新使用的频率比较高,这也侧面的说明了管理员对网站的重视程度也算比较 ok 的。

发现网站的管理后台被隐藏了,一番爆破,Google haking 语法等也没找到后台目录。

好了,我们直接上漏扫看一下吧,撸主使用的是 AWVS (也可以使用其他的扫描器,如 Appscan,或者其他安全公司的一些漏扫产品等)。

经过一波扫描,并没有发现 SQL 注入或者 XSS 跨站等,不过倒是发现了一个 PHPCGI 的解析漏洞,详情:

http://www.hangge.com/blog/cache/detail_667.html

但是如果找不到文件上传的途径,那么这个漏洞也就无法利用了,看来必须得进后台啊

对了我好像不是信安的(卖萌

在尝试使用一个扫描敏感文件的小工具时,发现网站的跟目录存在这么一个文件 /1.php

进去后是这样:

直觉告诉我,这个文件肯定有问题。

果不其然,这个小脚本竟然可以遍历网站所有目录及相关特征文件(这不就是后门么。。)

这里解释一些,这个文件可能是网站管理员上传到服务器去检测 WebShell 后门的(在我发现的前一个星期上传的),估计忘记删除了。

直接试试快速扫描,发现是一个检测后门特征的扫描模式。

直接查看代码,发现下面两个文件都是一句话后门,

具体代码如下:

难道这么轻松的就可以拿下了?

菜刀连接,发现可以连接,但是执行不了任何命令,(哭

因为该 php 文件是被正常解析的,所以可能是系统禁用了某些函数。

继续研究 /1.php 这个文件,尝试特征搜索 --> login

查看相关代码,了解到该网站使用 EmpireCMS

也可以得到网站的管理后台了,这个好像是帝国 CMS 的默认路径,不知道扫描器为啥没给直接爆出来。。

来到管理后台,发现后台有登录次数的限制,本菜也没找到绕过的方法,遂罢。

简单看了下 Seebug 平台上,也没有新版本的相关漏洞情况

差点忘了 1.php 这个“后门”文件了,从搜索结果里面直接找到数据库配置文件

由于该 Web 服务器的 IP 开放了 3306 端口,尝试使用 Navicat 连接,运气不错,直接连上了。

尝试 Mysql 直接写入一句话试试,直接执行 SQL 语句

select '<?php eval($_post[‘shell’]);?>' into outfile 'e:/wwwroot2018/xxx/web/testtest.php'

返回

[Err] 1045 - Access deniedfor user

没权限。。

查看数据库表,找到管理员用户名表,发现密码经过加密处理过了,

没办法,想要进后台,只能使用明文的密码。

根据登录后台定位相关代码文件,找到加密的函数

mmp,这个加密有点复杂啊

直接 copy 该函数,本地环境新建下面 php 文件,测试密码 admin 的加密输出

好了,接下来,可以直接在管理员表添加用户了,并将权限设置为最高,也就是超级管理员权限。

进入后台

由于网站存在 PHP CGI 的解析漏洞,因此我们只需上传一个 txt 文件的一句话就可以了,找到附件上传,成功上传一句话马的 txt 文件

找到上传附件模块,直接上传一句话,发现被拦截了

直接上传免杀了一句话木马文件,成功上传,截图如下

然后菜刀直接连接

http://www.xxxx.cn/d/file/p/2018-03-15/c0f6a19e6fc7881e613f6df5a2ef1bbb.txt/1.php

同上面一样,菜刀可以连接,但是执行不了任何命令

重复一下上文的猜测“因为该 php 文件是可以被正常解析的,所以可能是系统禁用了某些执行的函数”

这时候想到了各种免杀了 PHP 大马,掏出上周某大佬给的 PHP 免杀大马

直接上传成功,(鼓掌

在后面加上 php 的后缀名,成功解析,拿到 Webshell

PS 简单的看了一下服务器的目录上,发现了几十家网站的源代码,管理员也太不小心了好吧。。Webshell 已删

本篇文章就到此为止,希望自己以后多多记录,多多和大家分享。

原文发布于微信公众号 - 信安之路(xazlsec)

原文发表时间:2018-03-19

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏友弟技术工作室

Linux集群系列之一——集群基础概念

集群 场景一 LAMP http,web object简单无状态连接 200,50dynamic prefork,2M ...

3518
来自专栏java一日一条

关于 Web 缓存的那些风流事儿

最近大家针对preload、HTTP/2 push和ServiceWorker的浏览器缓存实现展开了激烈的讨论,而这也引起了很多人的疑惑。

762
来自专栏自由而无用的灵魂的碎碎念

老电脑如果从windows7升级到windows10不断重启进不了系统,还是想用windows10,怎么办?

先说一下我的配置:08年的acer aspire 5520g,很老的电脑,除了内存加到4g,其他都不变。官方只支持到windows7,并且官方说明该型号不在官方...

901
来自专栏FreeBuf

硬盘数据恢复的神器有哪些?

在一切工作进行之前,请先判断硬盘是否有损坏,以及缺损类型,而往往硬盘出现问题主要集中下以下两个方面: 物理(驱动器故障或者组件故障); 逻辑(文件系统出错或是数...

1858
来自专栏aoho求索

几种分布式调用链监控组件的实践与比较(一)实践

引言:最近在调研与选型分布式调用链监控组件。选了主要的三种APM组件进行了实践与比较。本来打算一篇文章写完的,篇幅太长,所以分了两篇。本文主要讲下链路trace...

5518
来自专栏linux、Python学习

Linux运维工程师必备的80个监控工具全集(上)

随着互联网行业的不断发展,各种监控工具多得不可胜数。这里列出网上最全的监控工具。让你可以拥有超过80种方式来管理你的机器。

1280
来自专栏木头编程 - moTzxx

微信公众平台开发[4] —— ThinkPHP 框架下微信支付

版权声明:本文为博主原创文章,未经博主允许不得转载。 https://blog.csdn.net/u011415782/article/de...

2143
来自专栏Rainbond开源「容器云平台」

开源Rainbond发布v3.4.2更新:应用插件体系进入beta版本

1303
来自专栏FreeBuf

30秒攻破任意密码保护的PC:深入了解5美元黑客神器PoisonTap

近日,著名硬件黑客Samy Kamkar利用5美元设备打造的黑客工具PoisonTap,只需30秒,就可以攻破设置有任意密码的电脑系统,并实现长期后门安装。Po...

22610
来自专栏DevOps时代的专栏

认识高性能Web缓存体系,你需要知道这些

前言 我们再看知识体系的时候,我们学一个东西的时候,每次我们都回过头去看一看,这就是所谓的不忘初心。这个说着容易做起来难,当一个人慢慢在成长,在进步的时候,是很...

2727

扫码关注云+社区