|
 
- 帖子
- 278
- 积分
- 874
- 威望
- 938
- 金钱
- 1059
- 在线时间
- 133 小时
    
|
先说下，这是在拿了服务器之后写的文章，也许有些步骤忘了，当时没想到自己会写这个文章出来。希望大家别介意啊，我文笔不好。呵呵。
+ B- K! P) y) |, U: |$ e% y- E0 d! J/ v
很早就在暗组就看过吐奶头的小孩写的文章，后来才发现他竟然还是上帝之爱，看见他和静流，zake等黑界有名人士组成了一个团队，于是想加入，可惜需要3篇有深度的文章。经历了很久，一直百度随便搜索找目标，可是这样找的目标拿不下来就不耐烦了，拿下来了觉得太简单，所以一直叫人给指定一些目标，让我有针对性。
! i* L7 B" h" w) h9 k2 a; H( w8 P: E2 z2 L+ z
哎。找了很多目标，不知道什么时候才能凑足这3个文章啊。痛苦ing 。。本来这破站如果提权方面不是那么郁闷的话，说不定还能算上一篇呢，却偏偏给个那么大的权限，大爷的。实在受不了，写篇文章当锻炼文笔了。
5 d2 x* S$ a$ b! O I Z6 x/ Z. B' z1 ~
群里丢出一个地址，进去看了下，asp的站。 N4 q) h0 X8 j' Q8 ^; |- I* y) E6 p
" M F- ~( O' O1 d/ G6 C, P很熟悉的，点开个连接，id=?的。结果显示，非法的参数ID 。 很显然，做了防注入，有点不甘心，看下他的格式有多少。开始找的是news_id ，到google去site: XX inurl:asp? 发现了另外几种格式,有showxsgz.asp?xsgz_id=867 - 19k - 网页快照 - 类似网页 还有很多，都试了，都做了防注入。。1 c6 @* o/ A/ x9 x
9 A: F5 _$ }( s6 Z
; ]: z/ h4 c' }$ `' B
: g% ~: [1 L# h' v2 }0 T
h. T5 Z3 l/ z" e
. a9 v) A6 P6 J& r* M6 T开始找后台，希望是弱口令，结果，管理员根本不是吃菜的，别说弱口令了，后台都没有。在整个站扫了一下，看下图片地址，很普通。转来转去，转到一个地方，下载doc的。9 f4 r5 r6 X4 D; C- G
$ p: ~' ]* H: U% F2 w
9 q! } B- e' B; {+ s; G# v7 {6 q! D1 Y, c
看到没？/ewebeditor/UploadFile/20094294623829.doc 嘿嘿，有ewebeditor ，我尝试在IP后面直接加ewebeditor，显示错误，最可能的原因：可能需要您登入，我就知道，这个路径很可能就是在web根目录下，继续看默认登入的。果然 ewebeditor/Admin_Login.asp 进入了登入后台. d2 H# M# B2 O) x1 k3 k5 W
8 J: `: x' x9 U8 @/ ~: n; t
4 x) s7 _& i: D" A0 p
7 i) y6 v3 [. s$ q3 j输入admin admin 提示，密码错误。没办法，回到原站，想看看这个站是什么整站程序，到网上down一套源码来研究研究。。结果，这个程序没找着，应该是自己写的或者不出名的。后来我一拍脑袋，小傻瓜哄哄的，down源码第一步是干嘛？下载数据库啊。 这个站的程序不知道是什么，但是 ewebeditor 我还是认识啊，开始找数据库。找到默认数据库。ewebeditor/db/ewebeditor.mdb
+ `" `3 o; |/ D9 B6 H0 N4 ]* @3 G# K0 A! m
+ y8 w% h: Q/ x t6 @' j3 ]
' G. c/ I; K" i7 r9 F, U. X
查密码，登eweb后台，改类型，传shell，一气呵成。运气不错！（这里技术含量太低，直接略过）进了webshell ，由于看上帝之爱的文章看多了，也想传2个shell ，传个asp，传个php ，结果他的IIS不解析php，没办法，进了webshell，一看。
. u8 K3 [3 L9 \6 q, p1 c# {" A. w# O3 s0 t
* ]+ d, \1 ]+ A' [5 y2 x( X
- M4 }- S3 q. c9 m8 X# o但是，能浏览所有盘。; O8 p6 M$ s3 I5 |: ^
C:磁盘信息
& ^' V/ u5 p3 H* y8 h$ Q4 S* `+ n# {8 N9 y
磁盘分区类型：NTFS9 Z# J! H4 N' G" \9 M+ {; G
磁盘序列号：-1265887598
! \- V$ I3 e( s磁盘共享名：
7 U/ [- J( p8 Z9 c" C& e磁盘总容量：10731+ W9 P) [) \8 Y4 d& I( S# B
磁盘卷名：! x7 G( w- V5 w- l$ @0 f
磁盘根目录:C:\ 可读,不可写。- ~) X5 o3 E( T
文件夹：C:\Config.Msi 可读,可写。( p M2 s2 I; ~/ f0 o
文件夹：C:\Documents and Settings 可读,可写。
* a6 ]! \7 ^, F* S8 f文件夹：C:\Program Files 可读,可写。& m' b8 R1 d% r U: `) O3 l! N
文件夹：C:\RECYCLER 可读,可写。; C1 O* K) |2 {4 l4 L; m; w
文件夹：C:\System Volume Information 可读,可写。
0 _% p" |* I2 c' S文件夹：C:\WINDOWS 可读,可写。% d& ^( {! R. H q; v, O* _ M! k
文件夹：C:\wmpub 可读,可写。
- s. z3 z+ B3 ^- M9 ?1 }注意：不要多次刷新本页面，否则在只写文件夹会留下大量垃圾文件!7 t( Y' _, s& W5 C
1 k# N5 d5 P; `/ y; I4 C& S**。。。权限那么大？？ 晕了。。C盘都可读可写啊。或许因为我太菜，这样的权限我也不知道该怎么用。或许SU在C盘这个权限可以利用来修改INI 。等下再找SU吧，权限大是好事。
1 P: C- W% F' [+ j0 v- |6 r$ c* _, b( ?" G8 g6 U
哎。。看到conn.asp 查到数据库密码，还是MSSQL的数据库呢。。哈哈，连接成功，但是执行命令却。。5 v8 `4 e+ [% }8 e7 a
' k. L) |% l% s6 H
3 s2 J! @3 k0 Y
5 F; d; D& z2 s' E5 N6 j2 m
9 K" o2 \# {& n* t
5 j8 D4 U5 _: Z5 n没办法，继续找，我的SU啊，你快出现啊。。。哎。。幸运之神没降临给我。找不到SU。
4 U W3 E. G* N l: K5 E' ^2 s+ q+ l; L6 u
perl 没有。其他的也都试了，一个字，艰巨！ 怎么办呢？
8 e# H) x; m' g; n6 s+ v/ D* i2 X6 E$ ]# E2 s! a
最蠢的方式，爆力破解密码。
# N* M: m6 L: ^# e3 _0 ?; H* \, y0 _+ A( f
找到了备份的SAM文件，一看最后更新时间，老天，2007年2月。。都过了2年了，不改密码是白痴啊。暴力破解都不用了。试图放弃。$ W2 U" y4 J5 R0 i2 z
/ X8 r$ [/ V0 ^' _7 A1 [8 w# I% }
可是后来还是不想放弃，以为自己没找仔细，开始拼命寻找有关SU和FTP的信息。(可能有些人会问我为什么不上传cmd.txt和net.exe ，呵呵，我也想啊，可是有用吗？）
0 a `/ W% P: v; }# O+ s2 G4 i" f1 ^3 G ?
最后，还是没找到，却找到一个非常奇怪的文件夹。在windows中，竟然有两个config文件，仔细一看，原来一个是conf1g 一个是 config ，为什么管理员会搞那么奇怪的东西呢？怀着好奇的心理我进去看了看。1 K: N" P1 a8 Z+ }
. g# I; f6 t' M3 c! l* S* n哇。。CAIN ，这是what ？？ hacker ？？ 管理员自己怎么可能会用cain ？更值得我注意的是，里面还有个ji的文件夹。这个文件夹中，存在 ms08067.exe ，我XX他个OO的。这是what ？抓鸡工具？难道有黑客光临过/？
& J: t" Y. I3 M: B# X4 ]- H- S+ b) F& u
找到抓鸡配制的，晕，竟然木马和抓鸡，FTP，用的都是此服务器。木马都挂在服务器上。服了。按找上面提供的FTP帐号密码，我登了下FTP，竟然有效。$ `. }! P4 G& J
& `/ p( v4 B8 T0 r* G
5 ?& K! d% }- D5 I* Y# z C5 K* v
n# E/ A4 ^& Q6 W+ t; J% z! t/ y- p0 p
" g9 H9 u7 M) E, b0 F9 m
" A8 _' Z. D' ~ A$ q+ _
6 ~' v' z' `6 M3 ^5 x) C9 ^: S
+ \6 \4 G7 J$ k" X( b. x
# O& J d9 ?, H. a$ S' w) K" a 赶紧的，FTP提权。先进下FTP，试下效果。* F# {5 {8 L- s
1 A8 r6 S& h0 p4 e' K- wftp> quote site exec net user hackbkk 123456 /add# S/ n5 U; n% v9 ~' M8 A* k' q
421 No-transfer-time exceeded. Closing control connection./ \1 T8 e, g! `+ ?- g
Connection closed by remote host.
8 P( g# |8 W1 m, Jftp>
* A0 L+ r$ \% Z8 F4 Y& e0 `8 W" \. W5 U# u" j
对喔。。咱们没东西，把 cmd.exe net.exe ftp.exe 全都上传到C:\wmpub\下.2 i/ j' \ v8 ^. D) p8 n/ J- y
7 l" i; K. ^5 n- n$ }4 Q
可是，还是显示非法，妈的，我知道了，FTP权限太小了。那怎么办呢。。有个黑客已经进过了，难度好象很大啊！5 o0 T* @( U9 K4 P* M; o0 v
# a9 A* z( }* S于是，我再次关注了吐奶头的小孩（上帝之爱）发在暗组的对某商城的一次渗透，发现他文章中写着：
A( p: m; g9 { H/ m. g' _, z: q
' y% Z# B/ |* A) n" T) M# q* `又只能放弃了！又扔上去几个aspx的马，发现无法打开，但是并米有被杀，貌似是环境问题吧？只有bin写的那个可以，但是执行命令极卡，半天都米有回显！
( T* s% j3 a1 C这个时候只能从1433下手了，找找mssql的sa，用aspx的马开始翻目录，找了半天终于找到了sa！于是换另一个个连接数据库的马，开始连接，发现不行额！显示什么被阻之类的！- {, {3 g" F: q1 l2 g S
估计是组件被关闭了！ ] |. ^+ g5 |" P. ~
转载请注明出自暗组技术论坛 http://forum.darkst.com/,本贴地址:http://forum.darkst.com/viewthread.php?tid=38264
2 m& }( j6 U" E0 V8 L: m2 h4 D7 u
$ h. Z2 c% g+ t6 g; y# F, p
7 T- z3 I- Q" z
& }% h5 {+ C, w
于是开始找开启语句，对mssql的玩的少，不是太熟悉！
- J* T( i- t' j6 e" P0 j. ~# q. ?后来二少给我了语句，便去继续日之！
/ G* u* s! X% ]' {% [0 i+ ] YEXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;
d7 w. C' y$ {/ Y* y1为开启，0则为关闭！0 r7 v$ B( ]- M% ?$ ]
然后执行1 v! j% h+ F- n" ^
EXEC [master].[dbo].[xp_cmdshell] 'cmd /c net user xx xx /add'
5 w# k' O4 }0 @) U# F即可！1 ~; }' }/ z$ P: }( j6 }# ^; r
回过头去看看，发现用户已经成功添加上了！; Y5 P3 H( ?& ^8 Z6 ^' a, _! y
. W* l# ~& U/ H2 b$ x
& z1 @ |9 m3 p我晕。。找SA ，对啊，我那找的数据库的用户都什么啊，cai 密码 123 我呸，那能有几个权限，找SA，上ASPX马。。关键是，怎么找啊。
& R! Q5 G6 {" I9 h5 p6 h* g* U8 j/ A
我一直百度，发现都是什么进入企业管理啊，用windows认证用户改密码啊，纯属无用，我要能进服务器我提权干虾米。。
) S6 ~! Z! t; `# X8 \, [& L4 E; s, y: l4 v* Y; k1 {* N3 Q
后来在数据库的表中，找到admin表，帐号admin，密码，MD5的32位加密的，解不出来，我又昏倒了。
4 z- F# F. a& O' y4 f
# F1 G: Q7 M8 o& D; f6 D$ O6 P难道，真的要用VBS加启动项吗？？这个webshell对stym32有完全控制权限喔！
( `. D! P O B9 f* ^& k% b( a" s- ]1 ?# a* o) T0 J: T+ K% S
可是，我要怎么让服务器重起呢？？DDOS攻击？？我可不玩那种没技术含量的东西。再说我也没肉鸡啊，服务器倒是入侵了一堆。怎么办？？日C段，ARP ？算了吧。。那么麻烦。% q8 ~9 n! a" m3 D7 a, x2 I
0 C8 K5 c8 [5 t1 m. M9 x后来，还是用了最蠢的办法，把那个07年的备份SAM下载过来，用LC5跑密码，大爷的，和学生黑客联盟的冰魂在聊天，这么大个权限，竟然提不了权， 他说，可以测试下，说不定可以把自己的SAM覆盖掉服务器的呢。。我的天。。这个世界太疯狂了。这王八蛋竟然说在改自己的站，没空帮我看这个shell ，超级鄙视。! ?1 A" M* s, ^+ R
) F! j( B2 N a' Z6 }" Q) V$ [
跑啊跑，下了无数字典。。后来跑出来了，怀着中彩票的心情，进去，fuck !! 连不进，难道是内网？？不应该啊！！我知道了，这管理员改了端口，找啊找，知道他把3389改到52110了。连接他，进去了，输入密码，错误！9 M( K- W) D+ H; c6 g6 q+ |
C0 [1 ]/ l1 @8 f
oh , shit !! 到最后实在没办法了。。可能是我太菜还找不到更好的方法吧，提权也算是我的弱项了。后来直接上的VBS 去启动项，等了1天多，竟然上线了，直接连接终端net帐号密码。
0 e1 t8 [* X' Z. u) o: D1 t4 c: T! m" b3 h7 Z
最后拿下服务器。
, A+ J' d2 N$ k9 I/ O0 x/ {1 h# @; s y d- o
6 T- ]1 O2 t+ f2 W" @4 J
1 t! N* c" P! L! o另外也高兴下，3月份我就想入侵广东海洋大学了，可是该死的蜜罐系统搞得我头疼死了，经过近1个月的踩点和大范围入侵，今天刚好拿下广东海洋大学内部的一台服务器，可以ARP主站了。还发现个0DAY，但是经朋友们劝说，0DAY还是掌握在自己手中比较好~呵呵~所以就不公布出来了。
" t" C) U: J8 S9 Z) Q
- {2 T) L" R9 \7 q) d' {, p9 H+ b呵呵，入侵广东海洋大学的我做成了视频教程，等我研究出了怎么补那个漏洞我再把教程发出来好啦~ |
附件: 您需要登录才可以下载或查看附件。没有帐号？注册
-
2
评分人数
-
|
发表于 2009-4-16 14:46
| 
发表于 2009-6-10 17:10
| 