Board logo

标题: [原创文章] 对某华侨大学的一次渗透。 [打印本页]
作者: BKK    时间: 2009-4-16 14:46     标题: 对某华侨大学的一次渗透。

先说下，这是在拿了服务器之后写的文章，也许有些步骤忘了，当时没想到自己会写这个文章出来。希望大家别介意啊，我文笔不好。呵呵。0 ^' \/ }6 {9 `8 p( ]

4 U) Y5 D7 G* R: D4 s3 G7 \很早就在暗组就看过吐奶头的小孩写的文章，后来才发现他竟然还是上帝之爱，看见他和静流，zake等黑界有名人士组成了一个团队，于是想加入，可惜需要3篇有深度的文章。经历了很久，一直百度随便搜索找目标，可是这样找的目标拿不下来就不耐烦了，拿下来了觉得太简单，所以一直叫人给指定一些目标，让我有针对性。6 l/ J  m5 D- @( Y0 ^" R/ x& B  C/ w  ?* S
6 ^0 h$ g' a" j- f9 Y
哎。找了很多目标，不知道什么时候才能凑足这3个文章啊。痛苦ing 。。本来这破站如果提权方面不是那么郁闷的话，说不定还能算上一篇呢，却偏偏给个那么大的权限，大爷的。实在受不了，写篇文章当锻炼文笔了。
# X7 F! N/ H" u$ ^; y0 ], Q' h. O% m; G/ J: A2 @7 ^) _3 c! |
群里丢出一个地址，进去看了下，asp的站。$ h; b# \/ h  [

7 f8 U: F" [9 \, T( r$ c6 _很熟悉的，点开个连接，id=?的。结果显示，非法的参数ID 。  很显然，做了防注入，有点不甘心，看下他的格式有多少。开始找的是news_id ，到google去site: XX  inurl:asp?  发现了另外几种格式,有showxsgz.asp?xsgz_id=867 - 19k - 网页快照 - 类似网页   还有很多，都试了，都做了防注入。。7 @' f+ A1 X' x% K5 X8 s

1 j7 {+ j, P6 x$ g0 [
0 S5 n5 R( L; t) c' d" O, X. h* Y[attach]1224[/attach]
$ \3 O, c, g4 g* _" v; j 9 K- U( Y) z# ?0 U1 f7 w
) N: B  ?/ A% e" J, I. Y
开始找后台，希望是弱口令，结果，管理员根本不是吃菜的，别说弱口令了，后台都没有。在整个站扫了一下，看下图片地址，很普通。转来转去，转到一个地方，下载doc的。
! _3 t9 @3 K% p9 n- w, V; ~) `4 }2 b4 y0 f) O
[attach]1225[/attach]: w4 y3 |5 [. G  \0 j  p& F

2 `* y, b4 k, G/ c4 Y; @看到没？/ewebeditor/UploadFile/20094294623829.doc   嘿嘿，有ewebeditor ，我尝试在IP后面直接加ewebeditor，显示错误，最可能的原因：可能需要您登入，我就知道，这个路径很可能就是在web根目录下，继续看默认登入的。果然  ewebeditor/Admin_Login.asp 进入了登入后台0 O" }( g* v! V0 e: w3 r

+ J6 I8 K" Z5 G5 q1 s1 Q0 [5 V: g. Q9 _# Z% A1 R! d( r6 [
[attach]1226[/attach]
3 t) @  x5 M5 n; w$ {7 q输入admin   admin  提示，密码错误。没办法，回到原站，想看看这个站是什么整站程序，到网上down一套源码来研究研究。。结果，这个程序没找着，应该是自己写的或者不出名的。后来我一拍脑袋，小傻瓜哄哄的，down源码第一步是干嘛？下载数据库啊。 这个站的程序不知道是什么，但是 ewebeditor  我还是认识啊，开始找数据库。找到默认数据库。ewebeditor/db/ewebeditor.mdb
" b" S- q$ z. \! e
- ?' X4 h, t" \$ F# o; b[attach]1227[/attach]
( w* h6 ^9 H/ f' O: Z# I% T* @
; m4 M3 M2 o- H0 z/ O) Q查密码，登eweb后台，改类型，传shell，一气呵成。运气不错！（这里技术含量太低，直接略过）进了webshell ，由于看上帝之爱的文章看多了，也想传2个shell ，传个asp，传个php ，结果他的IIS不解析php，没办法，进了webshell，一看。, o+ M3 n1 j3 w3 e9 E

2 ^! r5 K6 j6 Y  {9 \. a[attach]1228[/attach]
5 M1 x8 \# a9 ]  g' \+ b, g
+ d% _7 h# g! Y1 k  H& k, L/ W. \但是，能浏览所有盘。
) j" Z7 a1 o1 {" cC:磁盘信息 9 W7 E! ^. g: \& N$ b2 ^

1 G+ c! j5 s% K  I( x0 [2 N磁盘分区类型：NTFS0 V5 X  ~. x& e  m  A' V! T& B
磁盘序列号：-1265887598
& `& }  B: o, k# X) v+ k磁盘共享名：5 A) i8 ?# j1 G
磁盘总容量：107316 O; `7 z+ [1 t/ @5 h
磁盘卷名：
" u* S% v" C$ `磁盘根目录:C:\ 可读,不可写。5 Z0 a7 K" r5 E
文件夹：C:\Config.Msi 可读,可写。
2 S8 B% `/ y1 n: @) w. N/ o文件夹：C:\Documents and Settings 可读,可写。* @" |+ u8 ^& f9 h# Y  U
文件夹：C:\Program Files 可读,可写。/ l2 J4 E+ k- A- `# X4 g
文件夹：C:\RECYCLER 可读,可写。0 d. {$ o3 V' r
文件夹：C:\System Volume Information 可读,可写。
4 z/ g% L/ s9 }& o文件夹：C:\WINDOWS 可读,可写。- O# x. M" N! u6 ]4 @, X
文件夹：C:\wmpub 可读,可写。
: e; Z0 Q7 @) z& |注意：不要多次刷新本页面，否则在只写文件夹会留下大量垃圾文件!
8 V: h. J/ H' C8 I( ]8 z6 L# y8 I- `5 w" V4 I2 {6 I' {7 D
**。。。权限那么大？？ 晕了。。C盘都可读可写啊。或许因为我太菜，这样的权限我也不知道该怎么用。或许SU在C盘这个权限可以利用来修改INI 。等下再找SU吧，权限大是好事。, K7 L8 A% e6 x7 B" k9 @
8 j, `/ S- p9 M: I' b" M6 s
哎。。看到conn.asp 查到数据库密码，还是MSSQL的数据库呢。。哈哈，连接成功，但是执行命令却。。1 @7 r3 {4 |' x

& g1 R0 |! b2 |' F, \6 }! Y[attach]1229[/attach]
/ q0 h) O+ R8 [! N+ {/ M7 S
2 t! ^& J% r4 T7 c$ l( s
7 H/ D9 b8 Z  j# V1 |; `0 @4 z: X8 t+ m  z* e
没办法，继续找，我的SU啊，你快出现啊。。。哎。。幸运之神没降临给我。找不到SU。1 U( L+ R* l, y& U

% D8 b& t, c# mperl 没有。其他的也都试了，一个字，艰巨！ 怎么办呢？
2 C* H2 J' n! i, e5 z/ @# v, A6 s  `  w  A* N) D
最蠢的方式，爆力破解密码。
; l) E5 j& H) S( x/ |. [, U3 x! z; ~. |% u) x
找到了备份的SAM文件，一看最后更新时间，老天，2007年2月。。都过了2年了，不改密码是白痴啊。暴力破解都不用了。试图放弃。, d/ v3 C- @! z8 g% D" K- J" T7 Z

+ L# ^, y/ x0 H- G, \可是后来还是不想放弃，以为自己没找仔细，开始拼命寻找有关SU和FTP的信息。(可能有些人会问我为什么不上传cmd.txt和net.exe ，呵呵，我也想啊，可是有用吗？）
; b) P( K: c& i+ t* L
9 B- s7 N1 |0 ?) l9 |" H最后，还是没找到，却找到一个非常奇怪的文件夹。在windows中，竟然有两个config文件，仔细一看，原来一个是conf1g 一个是 config ，为什么管理员会搞那么奇怪的东西呢？怀着好奇的心理我进去看了看。
& r9 h1 K# ~4 n" ~2 Q9 Z; H6 D; g! i5 d9 d1 k' x& G/ N8 V
哇。。CAIN ，这是what ？？ hacker ？？ 管理员自己怎么可能会用cain ？更值得我注意的是，里面还有个ji的文件夹。这个文件夹中，存在 ms08067.exe ，我XX他个OO的。这是what ？抓鸡工具？难道有黑客光临过/？
. w- y; R) V% W) M7 g  l3 o* q7 V4 D9 }( W' \' K, M$ ~
找到抓鸡配制的，晕，竟然木马和抓鸡，FTP，用的都是此服务器。木马都挂在服务器上。服了。按找上面提供的FTP帐号密码，我登了下FTP，竟然有效。
# R  ]1 v: y+ g) g1 x* [
' B" s$ R3 n6 [" ?
' v, d% S" [4 ], l8 w' l% q# g+ M[attach]1230[/attach]. [; \0 V/ W7 ^9 \# H& s6 M
% i6 f% z8 w2 ]* c
[attach]1231[/attach]6 {- x* d* X" [& T0 }- [7 ~
' m  e/ ?* s" m6 t( O  s

, d8 c/ M! [0 X% |8 u, c9 n% N# N, {& U  v# X' T2 r

1 @: @) h8 F8 N, a5 A4 j 赶紧的，FTP提权。先进下FTP，试下效果。; ~, t7 p. \/ G  a1 @- ^
- _9 E* K' U' n1 `" z
ftp> quote site exec net user hackbkk 123456 /add
5 `1 L% S3 [, j! B" K. `* _421 No-transfer-time exceeded. Closing control connection.
5 R  s- E8 v- c- G& b, d" yConnection closed by remote host.
) E3 ]# V! {7 _2 ?2 G1 Q* F: R) _# Fftp>! e5 c4 O6 r# E

: D2 u5 l* h. W9 w对喔。。咱们没东西，把 cmd.exe    net.exe    ftp.exe  全都上传到C:\wmpub\下.
; x# ]* g, x2 U6 s, J1 }" I5 H
9 |, F: Q  ~2 S可是，还是显示非法，妈的，我知道了，FTP权限太小了。那怎么办呢。。有个黑客已经进过了，难度好象很大啊！
8 g6 L, ^5 @7 p1 {( T- _# [2 [4 ^, @
于是，我再次关注了吐奶头的小孩（上帝之爱）发在暗组的对某商城的一次渗透，发现他文章中写着：; }5 R, G8 i$ r, N+ }1 P5 i

* x4 e+ |, J* X
6 K7 b, H& I. E+ R! t. P又只能放弃了！又扔上去几个aspx的马，发现无法打开，但是并米有被杀，貌似是环境问题吧？只有bin写的那个可以，但是执行命令极卡，半天都米有回显！5 Z0 P$ K4 c9 P& d) \" z' K9 h( ?; J
这个时候只能从1433下手了，找找mssql的sa，用aspx的马开始翻目录，找了半天终于找到了sa！于是换另一个个连接数据库的马，开始连接，发现不行额！显示什么被阻之类的！
( i) G: p) o6 U0 ]% E2 Y, i估计是组件被关闭了！ & [3 j8 G6 W- S) A3 s* G; x  x* Z9 z+ `
转载请注明出自暗组技术论坛 http://forum.darkst.com/,本贴地址:http://forum.darkst.com/viewthread.php?tid=38264
1 Z) G& ^  t( P; w* F  \/ I6 U$ Y7 ^& b3 `9 ~
4 _4 I" @6 P2 k# _3 U) p" j
6 G: ~3 x' Q8 e5 y2 X' \3 N7 x+ z: h

) J, R! \* E$ m2 {( U于是开始找开启语句，对mssql的玩的少，不是太熟悉！4 x0 @9 F# d, G9 A( `5 W' ^+ p
后来二少给我了语句，便去继续日之！
) O- n9 X) v' g0 h+ hEXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;   , S# Y' |8 D, n, R
1为开启，0则为关闭！- i% E  |& f, _% s  @
然后执行
: s  d# y* Q  p4 U1 j: iEXEC [master].[dbo].[xp_cmdshell] 'cmd /c net user xx xx /add'
" o) ^, U* \  y2 ?; j即可！
3 z2 I6 Q. P$ q) v: @1 S回过头去看看，发现用户已经成功添加上了！
1 j3 z7 R# x* [
2 ~- v$ ?0 t8 Y; q7 N* X" K, W5 l) i& l/ `
我晕。。找SA ，对啊，我那找的数据库的用户都什么啊，cai 密码  123 我呸，那能有几个权限，找SA，上ASPX马。。关键是，怎么找啊。
, i8 S$ V0 S7 `6 t/ M/ a7 w& x" b% F& ~
我一直百度，发现都是什么进入企业管理啊，用windows认证用户改密码啊，纯属无用，我要能进服务器我提权干虾米。。8 _% h% F$ d+ T- h% H$ h
' Z0 G; a5 H6 n* d
后来在数据库的表中，找到admin表，帐号admin，密码，MD5的32位加密的，解不出来，我又昏倒了。  G2 `- S9 ]4 X0 U9 w. p; s

3 ]+ I! L* O; y难道，真的要用VBS加启动项吗？？这个webshell对stym32有完全控制权限喔！
2 o5 h" K  S) ^* z$ G, ?/ T+ t) g: O4 m) J6 s( L
可是，我要怎么让服务器重起呢？？DDOS攻击？？我可不玩那种没技术含量的东西。再说我也没肉鸡啊，服务器倒是入侵了一堆。怎么办？？日C段，ARP ？算了吧。。那么麻烦。
' k: n5 M% W' `$ G+ S* m. V' C" r# b- w* f4 A2 _+ b& H- N
后来，还是用了最蠢的办法，把那个07年的备份SAM下载过来，用LC5跑密码，大爷的，和学生黑客联盟的冰魂在聊天，这么大个权限，竟然提不了权， 他说，可以测试下，说不定可以把自己的SAM覆盖掉服务器的呢。。我的天。。这个世界太疯狂了。这王八蛋竟然说在改自己的站，没空帮我看这个shell ，超级鄙视。
3 J0 X8 v: u6 S. @/ q% i9 j/ z! r, ?: `+ S
跑啊跑，下了无数字典。。后来跑出来了，怀着中彩票的心情，进去，fuck !! 连不进，难道是内网？？不应该啊！！我知道了，这管理员改了端口，找啊找，知道他把3389改到52110了。连接他，进去了，输入密码，错误！
5 G, X! f! s7 y3 l( C4 {2 ]3 E, y( \
oh , shit !!  到最后实在没办法了。。可能是我太菜还找不到更好的方法吧，提权也算是我的弱项了。后来直接上的VBS 去启动项，等了1天多，竟然上线了，直接连接终端net帐号密码。' \+ L" Q5 Q! k

; m; l% ]3 x' |' I最后拿下服务器。
) a8 t1 ?* W( t* N7 W
* M/ g  `" `- n& A2 G. i[attach]1232[/attach]; b, x# z+ A' J; X# P
6 t! G: d* J  s+ L; X- A# l
另外也高兴下，3月份我就想入侵广东海洋大学了，可是该死的蜜罐系统搞得我头疼死了，经过近1个月的踩点和大范围入侵，今天刚好拿下广东海洋大学内部的一台服务器，可以ARP主站了。还发现个0DAY，但是经朋友们劝说，0DAY还是掌握在自己手中比较好~呵呵~所以就不公布出来了。
6 [3 s3 M, m* `
/ d$ q& W: x! D3 B呵呵，入侵广东海洋大学的我做成了视频教程，等我研究出了怎么补那个漏洞我再把教程发出来好啦~
作者: ShawnHBK    时间: 2009-4-22 22:39

我  到是有个办法， 你挂个黑页，黑页上写明：BKK为了你们本站做了友情检测，请尽快修复漏洞，另外追踪我IP没用，因此这个IP我是用代理的！
作者: plantseth    时间: 2009-6-5 11:12

太厉害了 可是我没看懂
作者: saitojie    时间: 2009-6-10 17:10

本帖最后由 saitojie 于 2009-6-10 17:12 编辑 % j/ a; W  J5 y' k( ?6 S& B

" K& b" q. q* u. j2 t9 Y6 P
: f2 r! j4 @3 ~- u3 P: I+ i' k1 o  N于是开始找开启语句，对mssql的玩的少，不是太熟悉！+ k: u% r5 {4 r  B
后来二少给我了语句，便去继续日之
- H4 ]& S* H8 O5 ZEXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;+ Z$ S( S& \  g# }* Z1 f1 m" s
1为开启，0则为关闭！
8 p& R- F; X$ k3 e" a然后执行
/ Z* m/ L; U$ _6 E  e$ dEXEC [master].[dbo].[xp_cmdshell] 'cmd /c net user xx xx /add'# }( v# a& J; q: c
即可
8 C( s- m6 t- u/ Y1 _2 }回过头去看看，发现用户已经成功添加上了！* t6 y9 R: z! I& {/ |! W& A6 J3 U2 a
0 q! r8 C0 m+ a8 F$ O
我就不明白BKK了，这个地方，你都已经加上用户了，为什么不直接加入到管理组里面，连接服务器的3389呢，为什么还要去下他的SAM，还用LC5去爆力破解呢！~~~~不明白！~~~
$ ^3 o8 L# [/ p, T5 E8 U& n$ Z+ jEXEC [master].[dbo].[xp_cmdshell] 'net localgroup administrators username /add'，难道是因为他的3389做了登陆用户的限制？
作者: jk101000    时间: 2009-8-11 14:06

顶！！！！！！
作者: jk101000    时间: 2009-8-15 10:21

看看啦！！！！！
作者: wudi110    时间: 2011-1-29 18:35

后悔上学时没好好学习天天向上了
作者: 在意z    时间: 2012-5-16 00:02

谢谢楼主分享技术



欢迎光临 【3.A.S.T】网络安全爱好者 (http://3ast.com/) Powered by Discuz! 7.2