打点

信息收集阶段

信息收集一波：查看robots.txt,网站CMS识别,whois查询。

反查一波注册机构。

看下备案信息。

可以看到网站为个人注册。

网站goby跑一下，看看能不能直接扫描出漏洞。

然而并没有用，但是可以获取真实IP：和开放端口。

扫一波目录，看看有没有利用点。

发现可以直接远程连数据库。

漏洞利用阶段

搞起，除此途径之外还可以，查找可利用漏洞，此页面可以进行文件上传，尝试上传图片马。

将select改为input。

如图所示，上传成功。

该地点貌似没有对上传文件类型做过滤，也可以直接上传PHP文件，由于上传路径不明，菜刀无法连接。。。。。暂弃

排查sql注入点

进行sql注入，注入点：http://test.xxxxxx.xyz/about/show.php?lang=en&id=42

直接sqlmap跑数据库，发现如下数据库。

Sqlmap跑表名耗时太长，暂弃。

还是继续从之前的phpmyadmin着手，直接用远程登录数据库，看表，登录凭证是弱密码root/root。

从表中提取信息，Mysql库里有user表，直接解码，登录。

不存在，应该是找错了，从其他库里找找。

解密，登录osptech/123456。

登陆成功。

通过之前扫描目录出来的后台地址进行登录，后台登录 - MetInfo企业网站管理系统 (xxxxxx.xyz)

http://test.xxxxxxx.xyz/back/login/login.php。

浏览相关功能模块，发现上传模块，上传一句话木马，发现可以修改上传类型。

直接添加允许PHP文件上传。

传马。

菜刀连接查看。

可以看到连接成功，然后把刚才修改的文件上传类型改回原样,毕竟明目张胆也是不太好的。

上传大马：xxx.php。

连接大马。

C盘下有flag信息。

查看信息。

用菜刀上传一个cmd.exe。

上传mimikate.exe。

已经存在，直接用。

查看一下开放端口。

发现3389开放，提权进行远程连接。

利于大马创建用户，加入管理员权限。

尝试远程连接。

连接失败，尝试其他方式。

用大马生成文件：systeminfo > C:\q.txt。

将q.txt下载到主机，用wesng.py筛选漏洞，选择漏洞利用。

打开生成的文件。

权限已经提升到最大，不需要msf提权，暂弃。

尝试另一台Linux主机。

连接。

查看flag。

至此也没有什么可以利用的点，暂弃。

边界突破

frp反向代理

尝试frp内网穿透。

服务器端：阿里云服务器

蚁剑上传frp

配置frpc.ini。

云服务器开启./frps -c ./fprs.ini。

客户端开启。

映射成功之后远程连接，远程连接之前先创建用户加入管理员组和远程连接组。

net user Q @Qihang123 /add  创建用户

net localgroup "Remote Desktop Users" Q /add  将创建的用户添加到远程连接组

net localgroup Administrators Q /add 将创建的用户添加到管理员组

然后即可通过远程登录进入。

进行远程连接。

远程连接成功。

内网渗透

信息收集

利用之前上传的mimikate搜集内网信息。

拿到管理员账户与密码。

使用nbtscan探测内网存活主机ip。

进行内网信息收集

Systeminfo

net  start。

tasklist。

Ipconfig /all。

net   view   /domain。

net   time   /domain。

netstat  -an。

whoami   /all。

net  config  workstation。

net  user。

net  user    /domain。

net  localgroup。

wmic  useraccount  get  /all。

进行IPC$连接

net use \\193.168.131.135\ipc$ /user:Administrator "123456"

net use \\193.168.131.132\ipc$ /user:Administrator "123456"

连接失败，重新寻找凭据，暂弃。

一时也不知道该如何下手了，暂时就到此为止吧，以后有机会在进行内网渗透吧。

作者：hongxiuqingzan 原文地址：https://www.freebuf.com/articles/web/346028.html

如有侵权，请联系删除