|
 
- 帖子
- 278
- 积分
- 874
- 威望
- 938
- 金钱
- 1059
- 在线时间
- 133 小时
    
|
先说下，这是在拿了服务器之后写的文章，也许有些步骤忘了，当时没想到自己会写这个文章出来。希望大家别介意啊，我文笔不好。呵呵。$ G2 ~2 h8 r: E. ?' Z
/ X6 @* L$ V ?' C
很早就在暗组就看过吐奶头的小孩写的文章，后来才发现他竟然还是上帝之爱，看见他和静流，zake等黑界有名人士组成了一个团队，于是想加入，可惜需要3篇有深度的文章。经历了很久，一直百度随便搜索找目标，可是这样找的目标拿不下来就不耐烦了，拿下来了觉得太简单，所以一直叫人给指定一些目标，让我有针对性。: \4 S4 e: p2 `
: S. t4 E- ^% h! f
哎。找了很多目标，不知道什么时候才能凑足这3个文章啊。痛苦ing 。。本来这破站如果提权方面不是那么郁闷的话，说不定还能算上一篇呢，却偏偏给个那么大的权限，大爷的。实在受不了，写篇文章当锻炼文笔了。
4 Z! ]+ r9 F( K6 V6 }2 x: A& v$ G& R* W, }. S5 ]- j
群里丢出一个地址，进去看了下，asp的站。( ]+ e# ~6 \+ _5 m3 A
+ G& B8 e3 ^2 ]# n. n k1 Q" W很熟悉的，点开个连接，id=?的。结果显示，非法的参数ID 。 很显然，做了防注入，有点不甘心，看下他的格式有多少。开始找的是news_id ，到google去site: XX inurl:asp? 发现了另外几种格式,有showxsgz.asp?xsgz_id=867 - 19k - 网页快照 - 类似网页 还有很多，都试了，都做了防注入。。
5 y4 b8 X3 m& q# V/ b3 J+ W1 K
) j! O# o0 ^# \) _; |
& ~+ [& A5 O% B1 l2 f' P+ e9 c
! q1 n F* b5 v' {7 Q: e 9 a" [' d7 x( S
1 j; y1 n- D5 F9 m开始找后台，希望是弱口令，结果，管理员根本不是吃菜的，别说弱口令了，后台都没有。在整个站扫了一下，看下图片地址，很普通。转来转去，转到一个地方，下载doc的。
6 _5 L- j& p& p3 d7 |% p0 b' [' R4 T4 U+ S; G5 }
. A6 P; G+ O9 ~9 [: C/ @8 ~8 e4 X* B# }+ {; r
看到没？/ewebeditor/UploadFile/20094294623829.doc 嘿嘿，有ewebeditor ，我尝试在IP后面直接加ewebeditor，显示错误，最可能的原因：可能需要您登入，我就知道，这个路径很可能就是在web根目录下，继续看默认登入的。果然 ewebeditor/Admin_Login.asp 进入了登入后台6 R; _7 n& P: V# r# p
4 V5 x; D1 a$ w% p/ M; |% r# Z
' s5 r) [$ u: H# o
$ C* a! e$ P3 P2 R5 E输入admin admin 提示，密码错误。没办法，回到原站，想看看这个站是什么整站程序，到网上down一套源码来研究研究。。结果，这个程序没找着，应该是自己写的或者不出名的。后来我一拍脑袋，小傻瓜哄哄的，down源码第一步是干嘛？下载数据库啊。 这个站的程序不知道是什么，但是 ewebeditor 我还是认识啊，开始找数据库。找到默认数据库。ewebeditor/db/ewebeditor.mdb
1 ] n8 f7 Z7 t7 P4 D( \
3 D8 h, t3 d- x6 p) ~5 h% e
. H X ~" Z0 s! e7 a
2 X; v9 o }" N5 ^查密码，登eweb后台，改类型，传shell，一气呵成。运气不错！（这里技术含量太低，直接略过）进了webshell ，由于看上帝之爱的文章看多了，也想传2个shell ，传个asp，传个php ，结果他的IIS不解析php，没办法，进了webshell，一看。! W8 k0 Z& h) U9 G: C2 D- I9 E
& A5 [: ?6 r b& V% x5 x, A
' i" f4 b, k, P$ ?
: {0 J7 D% L! f6 r但是，能浏览所有盘。
: h/ Z+ \. F7 W& v) G% uC:磁盘信息 : b5 o7 R7 W- \
* I8 R( ]: G |' G/ y, W% a! n磁盘分区类型：NTFS
5 K: ~1 B, K6 |- G- M% q) Y磁盘序列号：-1265887598
6 ~" U; P' k' a- X. Y磁盘共享名：
% B2 G) o8 I" D磁盘总容量：10731
) J& Z1 q- i- @3 P$ q磁盘卷名：
8 W9 N$ n4 X9 X# _: n6 `磁盘根目录:C:\ 可读,不可写。% P( ]. u) {6 w' a
文件夹：C:\Config.Msi 可读,可写。: `( Y1 V% [2 R
文件夹：C:\Documents and Settings 可读,可写。: d3 p; \# U9 j2 R" t, M
文件夹：C:\Program Files 可读,可写。. l7 \7 x- i9 i* m7 k* l! }
文件夹：C:\RECYCLER 可读,可写。/ B4 Z4 L! L6 c& ^4 t
文件夹：C:\System Volume Information 可读,可写。& F/ H( _2 |7 t8 X/ e2 O$ y' B
文件夹：C:\WINDOWS 可读,可写。7 j) `4 [4 F2 F& i7 u
文件夹：C:\wmpub 可读,可写。
& }3 ~% t2 j( u: d3 L0 _. g8 X+ r注意：不要多次刷新本页面，否则在只写文件夹会留下大量垃圾文件!
, [ S3 w& A; l
( K! z* m, ^ A, Y; R+ E, M. g6 \& \**。。。权限那么大？？ 晕了。。C盘都可读可写啊。或许因为我太菜，这样的权限我也不知道该怎么用。或许SU在C盘这个权限可以利用来修改INI 。等下再找SU吧，权限大是好事。8 V j) |$ d7 ?: Q& o
: [9 L" h+ w1 q* {% g; ]
哎。。看到conn.asp 查到数据库密码，还是MSSQL的数据库呢。。哈哈，连接成功，但是执行命令却。。% I( R8 Y! S/ Z
$ i( S2 U( `( j) {$ C: j
& K4 W! [; e4 @4 O5 c4 [% M8 k/ `3 a
' x4 {; h& F3 s: ^! t* t
# x ~. e) c9 ^% z没办法，继续找，我的SU啊，你快出现啊。。。哎。。幸运之神没降临给我。找不到SU。* {( o. H, o8 `& `/ A
3 i& U; F7 a; ^/ P
perl 没有。其他的也都试了，一个字，艰巨！ 怎么办呢？
5 X% X# \( T( v, S8 |- K5 v- p4 J0 f. r! V1 U0 V
最蠢的方式，爆力破解密码。
: L" u- ?) n7 ^4 Z2 T- N
; Y& C0 S' l# u; q找到了备份的SAM文件，一看最后更新时间，老天，2007年2月。。都过了2年了，不改密码是白痴啊。暴力破解都不用了。试图放弃。* {! F1 o6 ^, j. v% j
+ e* C! n9 J1 m/ c" v, a" G
可是后来还是不想放弃，以为自己没找仔细，开始拼命寻找有关SU和FTP的信息。(可能有些人会问我为什么不上传cmd.txt和net.exe ，呵呵，我也想啊，可是有用吗？）
, ]' n3 S2 {" E
" N1 u6 H- h2 l# T最后，还是没找到，却找到一个非常奇怪的文件夹。在windows中，竟然有两个config文件，仔细一看，原来一个是conf1g 一个是 config ，为什么管理员会搞那么奇怪的东西呢？怀着好奇的心理我进去看了看。5 v0 R. _6 ~1 L( X- ~+ ]% c
5 B- \4 Q6 Q% \/ e
哇。。CAIN ，这是what ？？ hacker ？？ 管理员自己怎么可能会用cain ？更值得我注意的是，里面还有个ji的文件夹。这个文件夹中，存在 ms08067.exe ，我XX他个OO的。这是what ？抓鸡工具？难道有黑客光临过/？) k( F1 _" M1 f+ [8 _7 f
7 D" ^5 v8 Q( i1 N
找到抓鸡配制的，晕，竟然木马和抓鸡，FTP，用的都是此服务器。木马都挂在服务器上。服了。按找上面提供的FTP帐号密码，我登了下FTP，竟然有效。+ U5 ~ M+ v$ X" T1 t1 z0 a
5 @ Q+ I( m! L8 ]! n- {* d! M/ D k, O' W/ @$ u* R
3 X* j1 l' ^- _. S6 Q0 n
) A* o) X. P; q
7 Y! j. T) v5 m5 x" |0 j( I) @1 `( P4 ^* q& {
& f0 R' ]. a/ V1 `+ o) ]
3 @% d' l# ?! q5 p4 v
8 t$ j% @* K9 p+ N8 ]9 U" ^7 B0 Y 赶紧的，FTP提权。先进下FTP，试下效果。
( Q* e m U1 ~0 A* c7 K" q: I+ M0 P* v6 C ^! X
ftp> quote site exec net user hackbkk 123456 /add- Z/ n: P8 T6 |1 y1 L4 h! x" M
421 No-transfer-time exceeded. Closing control connection.
: P) L1 R6 W' [Connection closed by remote host.
- p5 g4 L5 z- z- f" @5 wftp>' z8 A9 O9 R* C
- V" Z3 a4 G% S' D( o' `! E对喔。。咱们没东西，把 cmd.exe net.exe ftp.exe 全都上传到C:\wmpub\下.0 M% z; H9 I8 ] L
& ~0 t5 y+ ^9 |" F* b: Z O
可是，还是显示非法，妈的，我知道了，FTP权限太小了。那怎么办呢。。有个黑客已经进过了，难度好象很大啊！" r3 s! |2 I8 L$ D0 j: h
9 A7 V1 E. W8 o% y( Q- R/ j于是，我再次关注了吐奶头的小孩（上帝之爱）发在暗组的对某商城的一次渗透，发现他文章中写着：4 Q# r$ ^' r/ Z8 u+ ] b
) T* o! r3 [3 t6 L) f' S
; z3 c1 Y8 w6 k) H
又只能放弃了！又扔上去几个aspx的马，发现无法打开，但是并米有被杀，貌似是环境问题吧？只有bin写的那个可以，但是执行命令极卡，半天都米有回显！' M' }1 S6 ^6 p1 B' I
这个时候只能从1433下手了，找找mssql的sa，用aspx的马开始翻目录，找了半天终于找到了sa！于是换另一个个连接数据库的马，开始连接，发现不行额！显示什么被阻之类的！9 K" Y/ P" M# K7 G
估计是组件被关闭了！
$ |, A; I; b- S7 s转载请注明出自暗组技术论坛 http://forum.darkst.com/,本贴地址:http://forum.darkst.com/viewthread.php?tid=38264( v9 e( D1 t$ B+ V6 Y
G x$ o6 ~1 u3 U* C) i# M. Y8 A
: f2 r T7 [% D0 U) B9 H+ Z0 i
( e0 t" L9 M) {2 R/ @
) ~ ^: {8 K& D: Y8 A) j于是开始找开启语句，对mssql的玩的少，不是太熟悉！: p9 N! ^5 o7 k* p
后来二少给我了语句，便去继续日之！/ P9 Z* B" B7 V, r
EXEC sp_configure 'show advanced options', 1;RECONFIGURE;EXEC sp_configure 'xp_cmdshell', 1;RECONFIGURE;
+ G! g, \) y* d+ u7 ?9 L8 y1 j1为开启，0则为关闭！
9 x- D$ W& \7 O1 m3 W$ v3 u+ S* b然后执行
' r# W) E6 m1 }) gEXEC [master].[dbo].[xp_cmdshell] 'cmd /c net user xx xx /add'
! ~. d$ i6 F9 Z( N# F! A6 c( D即可！: v' L) q) O" N4 h/ S
回过头去看看，发现用户已经成功添加上了！3 M6 g' [3 ~: }7 z) J) N; ~! d
/ h! ~1 C3 C2 R# [; {) ]) {( K# v1 ]% m. O- ?
我晕。。找SA ，对啊，我那找的数据库的用户都什么啊，cai 密码 123 我呸，那能有几个权限，找SA，上ASPX马。。关键是，怎么找啊。
3 U: v9 |( f+ E) c: B/ t+ ]
0 D- ^) x8 _4 w我一直百度，发现都是什么进入企业管理啊，用windows认证用户改密码啊，纯属无用，我要能进服务器我提权干虾米。。
9 l8 _8 B# \ e- x4 N4 S; r$ k; b8 D
2 ^* g- J( A" I. J; b) j5 |后来在数据库的表中，找到admin表，帐号admin，密码，MD5的32位加密的，解不出来，我又昏倒了。
' R* |& U9 ~2 _' N. [" A
" p. [) X8 z7 S" }难道，真的要用VBS加启动项吗？？这个webshell对stym32有完全控制权限喔！$ o: ~9 Y2 |4 }' p% D
4 d* y/ s% C$ F
可是，我要怎么让服务器重起呢？？DDOS攻击？？我可不玩那种没技术含量的东西。再说我也没肉鸡啊，服务器倒是入侵了一堆。怎么办？？日C段，ARP ？算了吧。。那么麻烦。9 F/ d& i$ c% @/ b! I7 H
0 m; O; ?9 {$ g$ l
后来，还是用了最蠢的办法，把那个07年的备份SAM下载过来，用LC5跑密码，大爷的，和学生黑客联盟的冰魂在聊天，这么大个权限，竟然提不了权， 他说，可以测试下，说不定可以把自己的SAM覆盖掉服务器的呢。。我的天。。这个世界太疯狂了。这王八蛋竟然说在改自己的站，没空帮我看这个shell ，超级鄙视。
( n8 a! y1 d5 A' C2 q
% {% r2 | k' k6 n! \; C跑啊跑，下了无数字典。。后来跑出来了，怀着中彩票的心情，进去，fuck !! 连不进，难道是内网？？不应该啊！！我知道了，这管理员改了端口，找啊找，知道他把3389改到52110了。连接他，进去了，输入密码，错误！
0 _/ H G" ^: e" k3 z! {; h4 r- I% m# z/ l
oh , shit !! 到最后实在没办法了。。可能是我太菜还找不到更好的方法吧，提权也算是我的弱项了。后来直接上的VBS 去启动项，等了1天多，竟然上线了，直接连接终端net帐号密码。0 T0 Q- E; @1 O1 z; r
, N# P, z3 r. U6 ~最后拿下服务器。
5 L9 G6 c1 L5 Z$ |* ]. X
; s+ }6 r# P) P' n+ {/ @: E
- C5 Z8 t D: A- ]! @
, h9 L; l7 E3 `6 C }6 B另外也高兴下，3月份我就想入侵广东海洋大学了，可是该死的蜜罐系统搞得我头疼死了，经过近1个月的踩点和大范围入侵，今天刚好拿下广东海洋大学内部的一台服务器，可以ARP主站了。还发现个0DAY，但是经朋友们劝说，0DAY还是掌握在自己手中比较好~呵呵~所以就不公布出来了。
, _% t. {0 @ e+ L; Q/ N$ i( e: p
9 M+ R# K6 _' b: W: {( w" h呵呵，入侵广东海洋大学的我做成了视频教程，等我研究出了怎么补那个漏洞我再把教程发出来好啦~ |
附件: 您需要登录才可以下载或查看附件。没有帐号？注册
-
2
评分人数
-
|
发表于 2009-4-16 14:46
| 
发表于 2009-6-10 17:10
| 