0x02 Getshell

在后台发现了一处文件上传

尝试上传aspx（简单的前端检测绕过）。

返回500，但是文件却成功上传到了服务器。

访问aspx文件，出现403错误

应该是iis限制了目录文件的权限，这里有两种办法，一种是上传web.config文件来增加文件的执行权限，一种是尝试进行路径穿越。

这里选择上传web.config文件

再次访问，出现未编译错误

大概是因为整套源码都是已经预编译好的，无法直接使用ASPX脚本。

尝试上传asp文件，成功解析：

接着上传asp webshell，用蚁剑连接：

接下来想弹shell到cs进行提权和进一步横向。

tasklist看下有没有杀软：

有赛门铁克会检测流量，所以得绕下流量检测，可以利用合法证书来加密cs的流量。

openssl pkcs12 -export -in fullchain.pem -inkey key.pem -out stao.p12 -name stao.site -passout pass:mypasskeytool -importkeystore -deststorepass mypass -destkeypass mypass -destkeystore stao.store -srckeystore stao.p12 -srcstoretype PKCS12 -srcstorepass mypass -alias stao.site

https://github.com/threatexpress/malleable-c2/blob/master/jquery-c2.4.0.profile

其他可以默认，但是要改一下其中ssl修改证书的配置，指定为我们刚刚生成的证书。

修改好profile之后，运行./c2lint2 xxx.profile检测一下。

nohup ./teamserver x.x.x.x password c2.profile &

然后生成C#的payload，利用AVlator进行一下简单的免杀处理。

将生成的exe利用蚁剑上传到服务器并执行，成功反弹shell。

接下来进行提权，systeminfo看下补丁。

可以利用：https://bugs.hacking8.com/tiquan/进行补丁的对比

尝试下ms16-075，成功提权。

提权之后发现没有什么值得进一步渗透拿分的地方，因此写报告提交，over.

文章来源：先知社区（喜欢吃三饭烧腊的老涛）
原文地址：https://xz.aliyun.com/t/8493