|
 
- 帖子
- 278
- 积分
- 874
- 威望
- 938
- 金钱
- 1059
- 在线时间
- 133 小时
    
|
先说下，这是在拿了服务器之后写的文章，也许有些步骤忘了，当时没想到自己会写这个文章出来。希望大家别介意啊，我文笔不好。呵呵。
/ D {0 q( {$ L- ]2 o
& I! ^. ]. r8 A/ M! t1 E9 z很早就在暗组就看过吐奶头的小孩写的文章，后来才发现他竟然还是上帝之爱，看见他和静流，zake等黑界有名人士组成了一个团队，于是想加入，可惜需要3篇有深度的文章。经历了很久，一直百度随便搜索找目标，可是这样找的目标拿不下来就不耐烦了，拿下来了觉得太简单，所以一直叫人给指定一些目标，让我有针对性。) N) T( p: g z1 q3 X, b S4 C
5 J# h E) }( z, q f0 E哎。找了很多目标，不知道什么时候才能凑足这3个文章啊。痛苦ing 。。本来这破站如果提权方面不是那么郁闷的话，说不定还能算上一篇呢，却偏偏给个那么大的权限，大爷的。实在受不了，写篇文章当锻炼文笔了。
. J5 ]5 l$ N# I% ]2 \( p8 o4 W, Y
+ E2 k9 t5 a. v. U- C群里丢出一个地址，进去看了下，asp的站。' L$ d2 p0 S* o' F
5 A& V) H/ t# z% k很熟悉的，点开个连接，id=?的。结果显示，非法的参数ID 。 很显然，做了防注入，有点不甘心，看下他的格式有多少。开始找的是news_id ，到google去site: XX inurl:asp? 发现了另外几种格式,有showxsgz.asp?xsgz_id=867 - 19k - 网页快照 - 类似网页 还有很多，都试了，都做了防注入。。# s/ J- L' W& G! u4 R; T+ v
# i4 r/ [5 f$ i# M
" Y% d( ^; f) j! K# L+ o; g3 E$ \
5 k0 e3 T: S6 k# t3 `5 Z) y
, |/ Y2 Q, ~; l) w
开始找后台，希望是弱口令，结果，管理员根本不是吃菜的，别说弱口令了，后台都没有。在整个站扫了一下，看下图片地址，很普通。转来转去，转到一个地方，下载doc的。# s' v8 T7 O& W* e" N( C$ b
9 o7 N& f& e: j# F+ D( \
0 C9 L4 [" l* [5 K$ e: d9 }
) x. y/ \5 h- m$ k看到没？/ewebeditor/UploadFile/20094294623829.doc 嘿嘿，有ewebeditor ，我尝试在IP后面直接加ewebeditor，显示错误，最可能的原因：可能需要您登入，我就知道，这个路径很可能就是在web根目录下，继续看默认登入的。果然 ewebeditor/Admin_Login.asp 进入了登入后台
9 J f n. c1 ?% O5 C- G2 G
7 E# }, }. n+ D: ], w( N5 q7 v8 }, H0 }4 v' L. J3 k+ |, h
* H: ~. S) O1 `输入admin admin 提示，密码错误。没办法，回到原站，想看看这个站是什么整站程序，到网上down一套源码来研究研究。。结果，这个程序没找着，应该是自己写的或者不出名的。后来我一拍脑袋，小傻瓜哄哄的，down源码第一步是干嘛？下载数据库啊。 这个站的程序不知道是什么，但是 ewebeditor 我还是认识啊，开始找数据库。找到默认数据库。ewebeditor/db/ewebeditor.mdb 4 i0 t5 t' R6 M; b1 _, I- e4 [
1 Y* Y1 R4 I6 [) T9 `: ?% k
2 _8 H( Z! G, I w, ~, g8 e3 ~" D& U6 g* d. T
查密码，登eweb后台，改类型，传shell，一气呵成。运气不错！（这里技术含量太低，直接略过）进了webshell ，由于看上帝之爱的文章看多了，也想传2个shell ，传个asp，传个php ，结果他的IIS不解析php，没办法，进了webshell，一看。& c0 Y2 f' _( M( E! l* k% x
6 a" L# q2 s9 J4 {# W
! q- p$ h( v6 Y& R$ P, \+ I: h) P* C+ X
但是，能浏览所有盘。
- K0 }; d) m% iC:磁盘信息
& n# k" u% w. a: b( R6 D1 G0 F8 W" c) Z7 q: V9 t# r; B8 J
磁盘分区类型：NTFS, p, f+ S( U: _+ }: p4 A6 E3 ?
磁盘序列号：-1265887598
* u8 B9 E" O( q' i4 b磁盘共享名：
5 ~' V4 ?; ?2 [, {, |" ~4 }; L磁盘总容量：10731' D( [1 j8 I% t* V
磁盘卷名：4 U6 J/ @8 X' K2 k d3 d2 R
磁盘根目录:C:\ 可读,不可写。( ~5 E/ k& [" }3 d
文件夹：C:\Config.Msi 可读,可写。7 ~8 r8 V, |5 ?+ p
文件夹：C:\Documents and Settings 可读,可写。
& ]2 p; Z/ k7 z文件夹：C:\Program Files 可读,可写。
) x: \! ^# P+ Y4 C2 M文件夹：C:\RECYCLER 可读,可写。
( o* ^: J1 P) w/ E5 |3 H文件夹：C:\System Volume Information 可读,可写。# W \. k, m- b% n- J
文件夹：C:\WINDOWS 可读,可写。
6 a F1 M' |2 @9 a文件夹：C:\wmpub 可读,可写。1 N7 |6 Z( V+ F3 e
注意：不要多次刷新本页面，否则在只写文件夹会留下大量垃圾文件!( p% U4 y0 T$ a* m3 d3 O0 L. D7 s
, M5 z" i) t5 ^$ W3 c- {**。。。权限那么大？？ 晕了。。C盘都可读可写啊。或许因为我太菜，这样的权限我也不知道该怎么用。或许SU在C盘这个权限可以利用来修改INI 。等下再找SU吧，权限大是好事。
, H, p6 R0 t* S# l, E" f# s. D) j3 S7 n+ I1 B h
哎。。看到conn.asp 查到数据库密码，还是MSSQL的数据库呢。。哈哈，连接成功，但是执行命令却。。 X6 S. D- \; V0 O9 y. B
) I2 C( ~9 M( k; |' I! n L
& w! A' x' ]3 e3 O% B
3 T G$ h2 A6 u- D# [) s( o% A
2 f; ^* o! I& c$ U9 P7 z# |7 h3 l. h: |: o
没办法，继续找，我的SU啊，你快出现啊。。。哎。。幸运之神没降临给我。找不到SU。1 i3 A% k6 C' J# }' ?
( i" u/ ~) D( Y8 B1 e5 |- T- nperl 没有。其他的也都试了，一个字，艰巨！ 怎么办呢？8 Z+ G# t6 k6 ~: @) C
# w- v3 Z& a. t9 f% S! I
最蠢的方式，爆力破解密码。1 k& W8 v R# {2 Y+ M, ?* D
. E) T; X. s/ d: W- m7 w6 F
找到了备份的SAM文件，一看最后更新时间，老天，2007年2月。。都过了2年了，不改密码是白痴啊。暴力破解都不用了。试图放弃。
' B5 `. c$ U. h- c. \" Q* |; j
4 _' H- Y" y ^1 B可是后来还是不想放弃，以为自己没找仔细，开始拼命寻找有关SU和FTP的信息。(可能有些人会问我为什么不上传cmd.txt和net.exe ，呵呵，我也想啊，可是有用吗？）
" @- r. r0 L% x$ p5 B5 d( p: ^8 X- E8 y
最后，还是没找到，却找到一个非常奇怪的文件夹。在windows中，竟然有两个config文件，仔细一看，原来一个是conf1g 一个是 config ，为什么管理员会搞那么奇怪的东西呢？怀着好奇的心理我进去看了看。: V, c8 j6 ?8 X/ X: U+ W
! Z0 f- h% \+ b4 h* h
哇。。CAIN ，这是what ？？ hacker ？？ 管理员自己怎么可能会用cain ？更值得我注意的是，里面还有个ji的文件夹。这个文件夹中，存在 ms08067.exe ，我XX他个OO的。这是what ？抓鸡工具？难道有黑客光临过/？
8 I- ~0 \' h [# s. h# s5 M& \- s& P; l
找到抓鸡配制的，晕，竟然木马和抓鸡，FTP，用的都是此服务器。木马都挂在服务器上。服了。按找上面提供的FTP帐号密码，我登了下FTP，竟然有效。
( u% C/ a3 c" P8 Y) Y, @- M) t* k# b [
/ X% W% c5 C. J! ?9 U% n8 _. x$ U q6 p4 q# r; q
X4 \$ b7 c, W) P" ]8 l* G7 o+ ]8 b
+ w f: U1 y/ r% A& i
1 K, L) D: ] `/ h6 O" W1 o/ a
; M& @ G" l2 Y m3 f7 ^9 v% i
4 D: j1 H5 Q% v$ A5 z3 D1 F! O' ]% @0 \
赶紧的，FTP提权。先进下FTP，试下效果。
/ n* S/ `) d C, k1 x) s* A9 X- d
ftp> quote site exec net user hackbkk 123456 /add( ^. \2 e8 G" ^# B; @! v. Q. x
421 No-transfer-time exceeded. Closing control connection.4 j2 J( v/ G4 _
Connection closed by remote host.& G7 E: t% Z2 Q8 L3 \
ftp>6 z8 R+ S9 _+ a" c5 f% P
6 @& S- I8 s( g2 m: S5 S对喔。。咱们没东西，把 cmd.exe net.exe ftp.exe 全都上传到C:\wmpub\下.% g7 ^6 r# {# Q- T: F+ P5 c7 ~# i
3 ?, {$ X' [. K
可是，还是显示非法，妈的，我知道了，FTP权限太小了。那怎么办呢。。有个黑客已经进过了，难度好象很大啊！! V+ V) q2 P, X& D
# O, T; G1 p/ C& ^5 L. f于是，我再次关注了吐奶头的小孩（上帝之爱）发在暗组的对某商城的一次渗透，发现他文章中写着：
% x5 }& N, p4 }0 Q: Y( }. L# B
. t$ ?6 _/ v8 i; J9 Z9 \5 g2 A9 ~& [* N! d( n1 m
又只能放弃了！又扔上去几个aspx的马，发现无法打开，但是并米有被杀，貌似是环境问题吧？只有bin写的那个可以，但是执行命令极卡，半天都米有回显！! N( @4 i+ o3 ?
这个时候只能从1433下手了，找找mssql的sa，用aspx的马开始翻目录，找了半天终于找到了sa！于是换另一个个连接数据库的马，开始连接，发现不行额！显示什么被阻之类的！6 ?: [4 y: n& \' Q* `
估计是组件被关闭了！
4 W1 m, x. @5 [转载请注明出自暗组技术论坛 http://forum.darkst.com/,本贴地址:http://forum.darkst.com/viewthread.php?tid=38264
D. a, U" O" T' I* x* h1 l' G4 U4 F! L, l) m* ^/ Q. g
& s9 h; k' V* ?7 h2 p8 q
5 G9 U* A0 Y9 p
9 ?/ l; ~$ S3 A I于是开始找开启语句，对mssql的玩的少，不是太熟悉！1 D; Y8 h* f: R
后来二少给我了语句，便去继续日之！
3 x) [/ i" Q, ]+ n- Z2 gEXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;
1 I# `4 A8 n; a1 I) N5 I1为开启，0则为关闭！, J$ _6 [" Y+ Y4 K7 @
然后执行
5 r7 j9 H/ l9 _+ y* p+ D& k% OEXEC [master].[dbo].[xp_cmdshell] 'cmd /c net user xx xx /add'0 K' F5 y6 U1 m9 D, M0 G2 e
即可！
* u. e8 h7 U: I- o回过头去看看，发现用户已经成功添加上了！, p) S+ B" z4 M
0 q; I- O- q# \+ T) @) B% L
! K5 }+ Q" Y* d7 D2 h* F- r
我晕。。找SA ，对啊，我那找的数据库的用户都什么啊，cai 密码 123 我呸，那能有几个权限，找SA，上ASPX马。。关键是，怎么找啊。
2 w8 r( q4 e5 J) w' z2 U8 y3 o% P. Z( E: a% l% E5 {& q
我一直百度，发现都是什么进入企业管理啊，用windows认证用户改密码啊，纯属无用，我要能进服务器我提权干虾米。。+ D9 U% l7 {: `9 y. ?, W( u: F
* Q1 r5 R: s6 |0 S2 m \+ ~+ l: D7 ?后来在数据库的表中，找到admin表，帐号admin，密码，MD5的32位加密的，解不出来，我又昏倒了。/ e3 I3 a# ^& e$ H6 X
# X! U; _# s9 [! M8 M7 [
难道，真的要用VBS加启动项吗？？这个webshell对stym32有完全控制权限喔！! N2 |" C8 M& |( R5 |( L
2 L1 G8 [, l1 H. k+ k8 P) P
可是，我要怎么让服务器重起呢？？DDOS攻击？？我可不玩那种没技术含量的东西。再说我也没肉鸡啊，服务器倒是入侵了一堆。怎么办？？日C段，ARP ？算了吧。。那么麻烦。
% w$ d ?, Y5 a( W% r$ k+ t0 ?( x0 R* b- c4 W# } c4 r& ~
后来，还是用了最蠢的办法，把那个07年的备份SAM下载过来，用LC5跑密码，大爷的，和学生黑客联盟的冰魂在聊天，这么大个权限，竟然提不了权， 他说，可以测试下，说不定可以把自己的SAM覆盖掉服务器的呢。。我的天。。这个世界太疯狂了。这王八蛋竟然说在改自己的站，没空帮我看这个shell ，超级鄙视。
$ F& }2 d5 K+ w- s3 U& O2 D% n1 G
( U9 O/ V; _9 v" O跑啊跑，下了无数字典。。后来跑出来了，怀着中彩票的心情，进去，fuck !! 连不进，难道是内网？？不应该啊！！我知道了，这管理员改了端口，找啊找，知道他把3389改到52110了。连接他，进去了，输入密码，错误！
+ F o3 m3 n9 X4 g9 m( g
8 \" n! }4 Q6 i zoh , shit !! 到最后实在没办法了。。可能是我太菜还找不到更好的方法吧，提权也算是我的弱项了。后来直接上的VBS 去启动项，等了1天多，竟然上线了，直接连接终端net帐号密码。
4 x$ N, m. x% y* S% w. u' i$ z4 y
9 {& W r+ @; r最后拿下服务器。
- k! J# r, r W$ B+ l" a* d
' _& u/ G1 x* X6 E4 I
$ d6 q& ^! h4 ]5 }. P7 ^4 j
0 X+ A6 s4 L4 M另外也高兴下，3月份我就想入侵广东海洋大学了，可是该死的蜜罐系统搞得我头疼死了，经过近1个月的踩点和大范围入侵，今天刚好拿下广东海洋大学内部的一台服务器，可以ARP主站了。还发现个0DAY，但是经朋友们劝说，0DAY还是掌握在自己手中比较好~呵呵~所以就不公布出来了。
, s. w0 B! {' e% c( m7 L; Q
4 Y* z( M0 o1 t: k1 _呵呵，入侵广东海洋大学的我做成了视频教程，等我研究出了怎么补那个漏洞我再把教程发出来好啦~ |
附件: 您需要登录才可以下载或查看附件。没有帐号？注册
-
2
评分人数
-
|
发表于 2009-4-16 14:46
| 
发表于 2009-6-10 17:10
| 