绝路逢生出0day——SYSTEM权限内网漫游

逻辑漏洞+编辑器0day=getshell+内网漫游

又是一个深夜，记录前段时间测试的过程。唉，每次小有所学就要懈怠一会。全文高强度打码。

0x00 一个登录框

使用google hacking语法，翻了一翻，锁定了目标范围内一个看起来普普通通的登录页面。

aspx写的页面，应该是Windows服务器。顺手点了一下找回密码，需要提供注册使用的邮箱，没有提前搜集邮箱信息，放弃任意密码重置。

爆破密码，超过一定次数锁定账户，登陆频繁ban IP，放弃暴力破解。

尝试SQL注入，失败。

F12审查元素，发现了二维码登录的接口，但是无法访问。看来，只能从用户注册入手了。

0x01 任意账户注册

打开注册页面，走个流程，填好信息表。

麻利地回车，系统却提示需要确认邮件。

emmm，不耐烦地去邮箱看一下。

嗯，只需要点一下这里，或者那里，就可以完成账号激活操作。看了一下链接，有点意思。

这个URL的结构是这样的：http://x.xx.com/x.aspx?userName=aaa&Tomail=bbb&passWord=ccc

刚好包含了我注册的用户信息，那么，如果我直接构造一个URL，点击之后是不是就能跳过邮箱验证来激活账号了？

想到就试，随意注册一个账号、构造链接、访问、激活，一气呵成。

逻辑漏洞到手，任意账户注册。

0x02 失败的尝试

登陆一下，进来了，里面是长这个样子的= =。

是个投稿的页面，随便点点浏览一下，没有什么东西，功能不怎么多。

看来只有个人中心可以玩了，看看有没有XSS、CSRF，越权什么的。

没有头像，测了一下。输出编码，XSS放弃；通过加密过的cookie来鉴权，且没有敏感的参数，越权放弃；每一步操作都有大量的随机字符串和冗长的参数，挑了几个关键参数构造poc，CSRF失败；不存在SQL注入。

0x03 发现留言板

测试累了，歇了一会，不争气地打起了手游。又玩累了，继续测试。

会不会漏掉了什么功能，要不要fuzz一下。握着鼠标划了一会，发现上面竟然有下拉菜单，长这个样子(反色处理部分)。

有的玩了，有留言就有留言板，打开看看。没见过这个编辑器，没有什么公开漏洞，但是百度百科有记录，也是个有头有脸的编辑器了。

打开插入图片，弹出了一个图片管理器。

脸一黑，居然是白名单策略。试试绕过，失败；试试文件解析，也失败。难道这次测试就以一个低危逻辑漏洞收尾了吗….

0x04 突破白名单

不慌，还有个浏览页面的功能。只能浏览Upload目录，抓包看看能不能改参数来实现目录遍历。

嗯，这一大串一大串的大小写字母+数字等号，不是base64吗。一段一段地解码，有的解不开，疑似经过加密；有的解开了，是无用参数。解到图上这一段，就有点意思了。

里面出现了一些敏感参数：FileType、ViewPaths、FileBrowse等，但是还有第二层base64编码。

继续解开看看，非人哉，还有第三层base64编码。

但是仔细看看，这几个密文的开头都一样，根据base64的编码规则，说明明文的开头也一样，那么这几个到底是什么玩意呢。

于是小心翼翼地解开了第三层编码(Burp Suite里字好小，为了不选中逗号，鼠标要挪半天)。

哎嘿，解开了。这不就是传说中的前端传参吗？(假的，我也没听过这传说。)
激动地将jpg改成了aspx，小心翼翼地编码回去，放包。

这次白名单是不是比之前好看多了，光看不行，试一试。谨慎地上传了一个aspx空文件。

但是，，，不能访问，直接跳转到错误页。不应该，aspx的文件大小都能看到了，应该是传上去了，应该看到一个200的空白页面才对。难道这就完了吗….

0x05 千辛万苦 getshell

既然这windows服务器能跑aspx，那asp是不是也能跑？
小心翼翼地重新抓包，三层解码，这次我把aspx、asp都加到白名单里了，再小心翼翼地编码回去。

这次按照图片的命名规则，直接传了菜刀的小马。

复制链接，访问了一下，500内部错误。

不错，说明脚本上传了，而且被运行了。

打开菜刀，成功拿下。美中不足的就是中文目录乱码了，上了冰蝎马。

OK，完美。

0x06 成功提权 漫游内网

传马，msf上线，MS16-075顺利提权。

存在内网，没有域，扫描一波内网。

OK，不再深入。

0x07 总结

这次测试花了一个下午，拿到了一个第三方编辑器的任意文件上传0day，成功提权收获颇丰。

细心一点，再耐心一点。

Tags:

You may also like...

113 Responses

  1. xx00说道：
    2020年2月27日 上午10:09

    有没有试着F12改元素上传了？

    回复
  2. video说道：
    2022年5月29日 下午1:22

    It’s time for communities to rally.

    回复
  3. hub说道：
    2022年5月29日 下午8:30

    Makes sense to me.

    回复
  4. more info here说道：
    2022年5月31日 下午5:48

    Appreciate you sharing, great blog article. Great.

    回复
  5. wedding photography glasgow说道：
    2022年6月1日 上午4:41

    how long does it take sildenafil to work sildenafil cvs

    回复
  6. rela mp3说道：
    2022年6月2日 上午1:05

    I was able to find good advice from your content.

    回复
  7. more details说道：
    2022年6月3日 下午9:07

    Thanks for finally talking about > صفاقس:اجبار مقاول على إعادة تعبيد طريق خالف في عمله المواصفات موقع جريدة الرأي العام

    回复
  8. Super Slot Online说道：
    2022年6月4日 上午4:35

    stromectol ivermectin ivermectin pour on for sheep

    回复
  9. kitchener condos for sale说道：
    2022年6月4日 下午2:26

    Very good article. Cool.

    回复
  10. 4movierulz说道：
    2022年6月5日 下午4:42

    Very informative post.Really looking forward to read more. Will read on…

    回复
  11. mobile auto detailing overland park说道：
    2022年6月8日 下午3:45

    Thank you ever so for you article post.Much thanks again.

    回复
  12. link judi online bola说道：
    2022年6月9日 下午3:20

    I really like and appreciate your article post.Thanks Again. Fantastic.

    回复
  13. couples sex toys说道：
    2022年6月10日 下午10:21

    I really like and appreciate your post.Really thank you! Cool.

    回复
  14. techyseva说道：
    2022年6月11日 下午3:31

    Awesome blog post. Awesome.

    回复
  15. smoke bomb说道：
    2022年6月15日 下午5:55

    wow, awesome article.Really thank you! Really Cool.

    回复
  16. https://dev.funkwhale.audio/maybomnuocpentax说道：
    2022年6月23日 上午3:34

    A round of applause for your article. Much obliged.

    回复
  17. Bounce house rentals Coon Rapids MN说道：
    2022年6月23日 上午5:56

    ivermectin products does ivermectin kill fleas

    回复
  18. thrusting rabbit vibe说道：
    2022年6月28日 下午8:09

    Very neat article post.Thanks Again. Really Great.

    回复
  19. tuff tiles说道：
    2022年6月29日 下午3:13

    I really liked your post.Thanks Again.

    回复
  20. judi bola minimal deposit 10000说道：
    2022年6月29日 下午6:25

    Wow, great blog post. Want more.

    回复
  21. Shaun Paul McGrath说道：
    2022年7月2日 上午12:25

    Very fine blog.

    回复
  22. diploma of business rpl说道：
    2022年7月4日 下午3:47

    A big thank you for your blog article.Thanks Again. Really Cool.

    回复
  23. Industrial videos说道：
    2022年7月6日 上午6:02

    methods priorities us. bought information, to tadalafil 5

    回复
  24. Mp3Juices说道：
    2022年7月6日 上午11:56

    Very good info. Lucky me I ran across your site by accident (stumbleupon). I have book marked it for later.

    回复
  25. how to use rose vibrator说道：
    2022年7月7日 上午3:51

    Very neat blog.Really thank you! Great.

    回复
  26. anniversary gifts 11 years说道：
    2022年7月7日 上午7:13

    Propecia Pharmacie Propecia Gratuit Pilules

    回复
  27. dafabet india说道：
    2022年7月7日 上午11:10

    ivermectin 500ml ivermectin for humans – ivermectin 6

    回复
  28. usfl best bets说道：
    2022年7月8日 上午4:13

    Very good post.Much thanks again. Much obliged.

    回复
  29. mp3 juice说道：
    2022年7月12日 下午9:59

    I was able to find good advice from your content.

    回复
  30. mobile auto detailing kansas city说道：
    2022年7月13日 下午3:43

    Wow, great article post.Thanks Again. Will read on…

    回复
  31. onlymp3说道：
    2022年7月22日 下午11:26

    Write more stories, more chapters.

    回复
  32. click here for info说道：
    2022年7月23日 下午10:13

    Wow, great blog post.Really looking forward to read more. Keep writing.

    回复
  33. Slot deposit dana说道：
    2022年7月27日 上午3:03

    A big thank you for your article. Cool.

    回复
  34. JOHNNY FEEL说道：
    2022年7月27日 上午3:25

    Thank you ever so for you article. Awesome.

    回复
  35. CZ jewellery说道：
    2022年7月30日 下午10:51

    Thank you for your blog article.Really looking forward to read more. Really Cool.

    回复
  36. lesbian porn说道：
    2022年8月3日 上午4:54

    bookmarked!!, I love your website!

    回复
  37. Landlord Tax说道：
    2022年8月4日 上午5:03

    Muchos Gracias for your blog article.Much thanks again.

    回复
  38. City E Bikes说道：
    2022年8月6日 上午1:01

    Regards for helping out, superb info.

    回复
  39. Kelvin Kaemingk LoanDepot说道：
    2022年8月9日 下午8:04

    A round of applause for your blog article.Really looking forward to read more. Great.

    回复
  40. Ban Tho Treo Tuong Chung Cu说道：
    2022年8月12日 下午5:50

    online pharmacy australia canadapharmacyonline legit – canadian pharmacy near me

    回复
  41. film gear rental malaysia说道：
    2022年8月14日 上午6:06

    Link Alternatif QQ merupakan situs yang menyediakan banyak informasi mengenai link – link dari berbagai bandar slot online seperti agen MPO777

    回复
  42. browse说道：
    2022年8月17日 下午4:38

    I will right away snatch your rss feed as I can’t to find your email subscription hyperlink or e-newsletter service. Do you have any? Please let me realize so that I could subscribe. Thanks.

    回复
  43. mejortorrent说道：
    2022年8月26日 下午3:49

    Süryani Büyüsü nedir v nasıl yapılır Süryani Büyüsü neden Süryani BüyüsüLoading…

    回复
  44. Click Here To Learn More说道：
    2022年8月27日 下午2:46

    I love your blog. It looks every informative.

    回复
  45. carbiepoles说道：
    2022年8月28日 下午12:35

    I imagine so. Very good stuff, I agree totally.

    回复
  46. Click For More Image说道：
    2022年8月30日 上午6:36

    I was able to find good advice from your blog articles.

    回复
  47. Keith Nesline说道：
    2022年8月31日 下午12:40

    I used to be able to find good advice from your blog posts.

    回复
  48. novaworld说道：
    2022年9月1日 上午5:32

    credit score free max credit score how to get a free credit report fico credit score

    回复
  49. nuestra empresa说道：
    2022年9月2日 上午11:22

    Write more stories, more chapters.

    回复
  50. more details说道：
    2022年9月3日 上午9:38

    Great info. Lucky me I ran across your blog by chance (stumbleupon). I have saved as a favorite for later!

    回复
  51. vesportpro.es说道：
    2022年9月3日 下午9:09

    ivermectin for sale ivermectin generic – ivermectin 4

    回复
  52. Get More Information说道：
    2022年9月7日 下午10:49

    ez pharmacy canadian pharmacy certified canada pharmacy online

    回复
  53. more info说道：
    2022年9月9日 下午7:19

    I’ll right away grab your rss feed as I can’t to find your e-mailsubscription hyperlink or newsletter service. Do you’ve any?Kindly allow me realize in order that I may just subscribe.Thanks.

    回复
  54. Google Ads Agency说道：
    2022年9月10日 上午2:58

    bookmarked!!, I like your website!

    回复
  55. Raymond Forklifts说道：
    2022年9月10日 上午3:49

    I was able to find good advice from your blog articles.

    回复
  56. click here说道：
    2022年9月11日 下午1:35

    ivermectin lotion for lice ivermectin near me ivermectin uk boots

    回复
  57. esenler escort bayan说道：
    2022年9月12日 上午12:17

    you seo backlink

    回复
  58. esenler escort说道：
    2022年9月12日 上午7:12

    you seo backlink

    回复
  59. ban thung rac nhua说道：
    2022年9月14日 上午2:40

    stromectol and alcohol covid and ivermectin

    回复
  60. diyarbakır escort说道：
    2022年9月15日 下午11:13

    you seo backlink

    回复
  61. çorum escort说道：
    2022年9月15日 下午11:17

    you seo backlink

    回复
  62. erzincan escort说道：
    2022年9月15日 下午11:19

    you seo backlink

    回复
  63. elazığ escort说道：
    2022年9月15日 下午11:21

    you seo backlink

    回复
  64. düzce escort说道：
    2022年9月15日 下午11:22

    you seo backlink

    回复
  65. sbobet说道：
    2022年9月17日 下午10:09

    Does it look like we’re in for a big ride here?

    回复
  66. yozgat escort说道：
    2022年9月24日 上午5:02

    you seo backink

    回复
  67. yalova escort说道：
    2022年9月24日 上午5:04

    you seo backlink

    回复
  68. uşak escort说道：
    2022年9月24日 上午5:25

    you seo backlink

    回复
  69. Tracy Lindsay说道：
    2022年10月4日 下午3:00

    bitcoin how it worksbitcoin for live 72ecd8d

    回复
  70. radio de noticias online说道：
    2022年10月5日 下午6:58

    ivermectin for humans ivermectin purchase – ivermectin uk coronavirus

    回复
  71. หวย24ชม说道：
    2022年10月5日 下午10:16

    Nice blog. Could someone with little experience do it, and add updates without messing it up? Good information on here, very informative.

    回复
  72. reformas integrales valencia说道：
    2022年10月19日 下午12:56

    Have you given any kind of thought at all with converting your current web-site into French? I know a couple of of translaters here that will would certainly help you do it for no cost if you want to get in touch with me personally.

    回复
  73. albuquerque hair transplant说道：
    2022年10月20日 上午5:50

    Fantastic post.Thanks Again. Keep writing.Loading…

    回复
  74. 안전놀이터说道：
    2022年10月20日 下午11:30

    bonjour I love Your Blog can not say I come here often but im liking what i c so far….

    回复
  75. More Bonuses说道：
    2022年10月26日 上午9:56

    Seriously a lot of excellent tips!how to write an effective argumentative essay essays writing service blog writing services

    回复
  76. More Bonuses说道：
    2022年10月28日 上午1:42

    מיה מקבלת את המתנה הטובה ביותר לכריסמס – זיון אנאלי סוער! מתחילה במציצה ומסיימת בגמירה רטובהשירותי ליווי במרכז

    回复
  77. 토토정보说道：
    2022年10月31日 上午7:30

    Before England’s Industrial Revolution,

    回复
  78. hoc pha che do uong说道：
    2022年11月3日 上午9:13

    Thanks for sharing your thoughts about garden yard flags.Regards

    回复
  79. Edith Woodward说道：
    2022年11月6日 上午2:15

    Muchos Gracias for your blog article.Really looking forward to read more. Keep writing.

    回复
  80. electric shaver说道：
    2022年11月8日 下午12:01

    I don’t normally comment on blogs.. But nice post! I just bookmarked your site

    回复
  81. electric kettle说道：
    2022年11月9日 下午1:32

    nicee content keep writing

    回复
  82. check说道：
    2022年11月9日 下午5:41

    spain jersey home ??????30????????????????5??????????????? ????????

    回复
  83. check out说道：
    2022年11月9日 下午9:05

    Howdy! Do you use Twitter? I’d like to follow you if that would beokay. I’m absolutely enjoying your blogand look forward to new updates.

    回复
  84. you can check说道：
    2022年11月10日 上午6:50

    Thank you ever so for you article post.Really thank you!

    回复
  85. Top NFT Collections说道：
    2022年11月16日 上午1:38

    Makes sense to me.

    回复
  86. scrap car removal surrey说道：
    2022年11月17日 下午1:55

    How do I subscribe to your blog? Thanks for your help.

    回复
  87. Hannah Carroll说道：
    2022年11月21日 下午1:59

    turbo credit score how to credit score free credit score ck

    回复
  88. bounce house rentals说道：
    2022年11月23日 上午12:24

    bonus mpo100 tidak di berikan kepada member yang aktif bermain

    回复
  89. photo CD cover说道：
    2022年11月24日 下午6:45

    modalert review provigil medication modalert review

    回复
  90. electricidad alta tension说道：
    2022年12月6日 下午1:38

    Write more stories, more chapters.

    回复
  91. ayurvedic medicine说道：
    2022年12月8日 上午1:32

    ed pills otc – men’s ed pills ed solutions

    回复
  92. youtube to mp4说道：
    2022年12月8日 下午2:45

    It was a good article, thank you

    回复
  93. life sized sex doll说道：
    2022年12月9日 下午10:58

    We’re developing a conference, and it looks like you would be a great speaker.

    回复
  94. cach mo tai khoan ngan hang online说道：
    2022年12月13日 下午10:35

    ivermectin safety ivermectin fungal infection

    回复
  95. Black Friday说道：
    2022年12月15日 上午9:35

    What a great article.. i subscribed btw!

    回复
  96. RV Generator Service Near Me说道：
    2022年12月17日 下午11:57

    I could not refrain from commenting. Well written!

    回复
  97. acércate a este sitio web说道：
    2022年12月20日 下午9:32

    I couldn’t refrain from commenting. Perfectly written.

    回复
  98. plastic mold说道：
    2023年1月2日 下午8:33

    Appreciate you sharing, great blog article.Much thanks again. Really Great.

    回复
  99. Tommie Mcweeney说道：
    2023年1月5日 上午4:58

    Perfect for showing to your pals!

    回复
  100. 20ad5p0a0aynnnc0说道：
    2023年1月6日 上午1:40

    wow, awesome blog article.

    回复
  101. 에볼루션사이트说道：
    2023年1月6日 上午8:53

    A big thank you for your blog post.Really thank you! Keep writing.

    回复
  102. 에볼루션사이트说道：
    2023年1月7日 下午6:26

    A big thank you for your article post.Much thanks again. Really Great.

    回复
  103. fakaza说道：
    2023年1月18日 上午6:13

    I couldn’t refrain from commenting. Very well written.

    回复
  104. Jill Davidson说道：
    2023年1月19日 上午11:23

    Thanks for finally writing about > Custom Design Playground Completed for GabriellaPark

    回复
  105. Surgery说道：
    2023年1月24日 下午6:25

    It was extremely kind of you. What can I do to be able to repay you?

    回复
  106. mp3 juice说道：
    2023年1月27日 下午8:47

    Very good information. Lucky me I found your blog by accident (stumbleupon). I’ve book-marked it for later.

    回复
  107. blog here说道：
    2023年2月3日 下午11:25

    Saved as a favorite, I really like your web site!

    回复
  108. Ryan Joyce说道：
    2023年2月5日 下午2:31

    provigil for sale provigil medication – modafinil provigil

    回复
  109. Bethany Hodgson说道：
    2023年2月6日 上午7:58

    research paper writers reliable essay writing service research paper writer free

    回复
  1. 2cuckold
    2022年6月21日

    1assimilation

  2. 3jacobus
    2023年1月26日

    1stimulate

  3. 2blackjack
    2023年1月27日

    1redound

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注