绝路逢生出0day——SYSTEM权限内网漫游

逻辑漏洞+编辑器0day=getshell+内网漫游

又是一个深夜，记录前段时间测试的过程。唉，每次小有所学就要懈怠一会。全文高强度打码。

0x00 一个登录框

使用google hacking语法，翻了一翻，锁定了目标范围内一个看起来普普通通的登录页面。

aspx写的页面，应该是Windows服务器。顺手点了一下找回密码，需要提供注册使用的邮箱，没有提前搜集邮箱信息，放弃任意密码重置。

爆破密码，超过一定次数锁定账户，登陆频繁ban IP，放弃暴力破解。

尝试SQL注入，失败。

F12审查元素，发现了二维码登录的接口，但是无法访问。看来，只能从用户注册入手了。

0x01 任意账户注册

打开注册页面，走个流程，填好信息表。

麻利地回车，系统却提示需要确认邮件。

emmm，不耐烦地去邮箱看一下。

嗯，只需要点一下这里，或者那里，就可以完成账号激活操作。看了一下链接，有点意思。

这个URL的结构是这样的：http://x.xx.com/x.aspx?userName=aaa&Tomail=bbb&passWord=ccc

刚好包含了我注册的用户信息，那么，如果我直接构造一个URL，点击之后是不是就能跳过邮箱验证来激活账号了？

想到就试，随意注册一个账号、构造链接、访问、激活，一气呵成。

逻辑漏洞到手，任意账户注册。

0x02 失败的尝试

登陆一下，进来了，里面是长这个样子的= =。

是个投稿的页面，随便点点浏览一下，没有什么东西，功能不怎么多。

看来只有个人中心可以玩了，看看有没有XSS、CSRF，越权什么的。

没有头像，测了一下。输出编码，XSS放弃；通过加密过的cookie来鉴权，且没有敏感的参数，越权放弃；每一步操作都有大量的随机字符串和冗长的参数，挑了几个关键参数构造poc，CSRF失败；不存在SQL注入。

0x03 发现留言板

测试累了，歇了一会，不争气地打起了手游。又玩累了，继续测试。

会不会漏掉了什么功能，要不要fuzz一下。握着鼠标划了一会，发现上面竟然有下拉菜单，长这个样子(反色处理部分)。

有的玩了，有留言就有留言板，打开看看。没见过这个编辑器，没有什么公开漏洞，但是百度百科有记录，也是个有头有脸的编辑器了。

打开插入图片，弹出了一个图片管理器。

脸一黑，居然是白名单策略。试试绕过，失败；试试文件解析，也失败。难道这次测试就以一个低危逻辑漏洞收尾了吗….

0x04 突破白名单

不慌，还有个浏览页面的功能。只能浏览Upload目录，抓包看看能不能改参数来实现目录遍历。

嗯，这一大串一大串的大小写字母+数字等号，不是base64吗。一段一段地解码，有的解不开，疑似经过加密；有的解开了，是无用参数。解到图上这一段，就有点意思了。

里面出现了一些敏感参数：FileType、ViewPaths、FileBrowse等，但是还有第二层base64编码。

继续解开看看，非人哉，还有第三层base64编码。

但是仔细看看，这几个密文的开头都一样，根据base64的编码规则，说明明文的开头也一样，那么这几个到底是什么玩意呢。

于是小心翼翼地解开了第三层编码(Burp Suite里字好小，为了不选中逗号，鼠标要挪半天)。

哎嘿，解开了。这不就是传说中的前端传参吗？(假的，我也没听过这传说。)
激动地将jpg改成了aspx，小心翼翼地编码回去，放包。

这次白名单是不是比之前好看多了，光看不行，试一试。谨慎地上传了一个aspx空文件。

但是，，，不能访问，直接跳转到错误页。不应该，aspx的文件大小都能看到了，应该是传上去了，应该看到一个200的空白页面才对。难道这就完了吗….

0x05 千辛万苦 getshell

既然这windows服务器能跑aspx，那asp是不是也能跑？
小心翼翼地重新抓包，三层解码，这次我把aspx、asp都加到白名单里了，再小心翼翼地编码回去。

这次按照图片的命名规则，直接传了菜刀的小马。

复制链接，访问了一下，500内部错误。

不错，说明脚本上传了，而且被运行了。

打开菜刀，成功拿下。美中不足的就是中文目录乱码了，上了冰蝎马。

OK，完美。

0x06 成功提权 漫游内网

传马，msf上线，MS16-075顺利提权。

存在内网，没有域，扫描一波内网。

OK，不再深入。

0x07 总结

这次测试花了一个下午，拿到了一个第三方编辑器的任意文件上传0day，成功提权收获颇丰。

细心一点，再耐心一点。

Tags:

You may also like...

70 Responses

  1. xx00说道：
    2020年2月27日 上午10:09

    有没有试着F12改元素上传了？

    回复
  2. video说道：
    2022年5月29日 下午1:22

    It’s time for communities to rally.

    回复
  3. hub说道：
    2022年5月29日 下午8:30

    Makes sense to me.

    回复
  4. more info here说道：
    2022年5月31日 下午5:48

    Appreciate you sharing, great blog article. Great.

    回复
  5. wedding photography glasgow说道：
    2022年6月1日 上午4:41

    how long does it take sildenafil to work sildenafil cvs

    回复
  6. rela mp3说道：
    2022年6月2日 上午1:05

    I was able to find good advice from your content.

    回复
  7. more details说道：
    2022年6月3日 下午9:07

    Thanks for finally talking about > صفاقس:اجبار مقاول على إعادة تعبيد طريق خالف في عمله المواصفات موقع جريدة الرأي العام

    回复
  8. Super Slot Online说道：
    2022年6月4日 上午4:35

    stromectol ivermectin ivermectin pour on for sheep

    回复
  9. kitchener condos for sale说道：
    2022年6月4日 下午2:26

    Very good article. Cool.

    回复
  10. 4movierulz说道：
    2022年6月5日 下午4:42

    Very informative post.Really looking forward to read more. Will read on…

    回复
  11. mobile auto detailing overland park说道：
    2022年6月8日 下午3:45

    Thank you ever so for you article post.Much thanks again.

    回复
  12. link judi online bola说道：
    2022年6月9日 下午3:20

    I really like and appreciate your article post.Thanks Again. Fantastic.

    回复
  13. couples sex toys说道：
    2022年6月10日 下午10:21

    I really like and appreciate your post.Really thank you! Cool.

    回复
  14. techyseva说道：
    2022年6月11日 下午3:31

    Awesome blog post. Awesome.

    回复
  15. smoke bomb说道：
    2022年6月15日 下午5:55

    wow, awesome article.Really thank you! Really Cool.

    回复
  16. https://dev.funkwhale.audio/maybomnuocpentax说道：
    2022年6月23日 上午3:34

    A round of applause for your article. Much obliged.

    回复
  17. Bounce house rentals Coon Rapids MN说道：
    2022年6月23日 上午5:56

    ivermectin products does ivermectin kill fleas

    回复
  18. thrusting rabbit vibe说道：
    2022年6月28日 下午8:09

    Very neat article post.Thanks Again. Really Great.

    回复
  19. tuff tiles说道：
    2022年6月29日 下午3:13

    I really liked your post.Thanks Again.

    回复
  20. judi bola minimal deposit 10000说道：
    2022年6月29日 下午6:25

    Wow, great blog post. Want more.

    回复
  21. Shaun Paul McGrath说道：
    2022年7月2日 上午12:25

    Very fine blog.

    回复
  22. diploma of business rpl说道：
    2022年7月4日 下午3:47

    A big thank you for your blog article.Thanks Again. Really Cool.

    回复
  23. Industrial videos说道：
    2022年7月6日 上午6:02

    methods priorities us. bought information, to tadalafil 5

    回复
  24. Mp3Juices说道：
    2022年7月6日 上午11:56

    Very good info. Lucky me I ran across your site by accident (stumbleupon). I have book marked it for later.

    回复
  25. how to use rose vibrator说道：
    2022年7月7日 上午3:51

    Very neat blog.Really thank you! Great.

    回复
  26. anniversary gifts 11 years说道：
    2022年7月7日 上午7:13

    Propecia Pharmacie Propecia Gratuit Pilules

    回复
  27. dafabet india说道：
    2022年7月7日 上午11:10

    ivermectin 500ml ivermectin for humans – ivermectin 6

    回复
  28. usfl best bets说道：
    2022年7月8日 上午4:13

    Very good post.Much thanks again. Much obliged.

    回复
  29. mp3 juice说道：
    2022年7月12日 下午9:59

    I was able to find good advice from your content.

    回复
  30. mobile auto detailing kansas city说道：
    2022年7月13日 下午3:43

    Wow, great article post.Thanks Again. Will read on…

    回复
  31. onlymp3说道：
    2022年7月22日 下午11:26

    Write more stories, more chapters.

    回复
  32. click here for info说道：
    2022年7月23日 下午10:13

    Wow, great blog post.Really looking forward to read more. Keep writing.

    回复
  33. Slot deposit dana说道：
    2022年7月27日 上午3:03

    A big thank you for your article. Cool.

    回复
  34. JOHNNY FEEL说道：
    2022年7月27日 上午3:25

    Thank you ever so for you article. Awesome.

    回复
  35. CZ jewellery说道：
    2022年7月30日 下午10:51

    Thank you for your blog article.Really looking forward to read more. Really Cool.

    回复
  36. lesbian porn说道：
    2022年8月3日 上午4:54

    bookmarked!!, I love your website!

    回复
  37. Landlord Tax说道：
    2022年8月4日 上午5:03

    Muchos Gracias for your blog article.Much thanks again.

    回复
  38. City E Bikes说道：
    2022年8月6日 上午1:01

    Regards for helping out, superb info.

    回复
  39. Kelvin Kaemingk LoanDepot说道：
    2022年8月9日 下午8:04

    A round of applause for your blog article.Really looking forward to read more. Great.

    回复
  40. Ban Tho Treo Tuong Chung Cu说道：
    2022年8月12日 下午5:50

    online pharmacy australia canadapharmacyonline legit – canadian pharmacy near me

    回复
  41. film gear rental malaysia说道：
    2022年8月14日 上午6:06

    Link Alternatif QQ merupakan situs yang menyediakan banyak informasi mengenai link – link dari berbagai bandar slot online seperti agen MPO777

    回复
  42. browse说道：
    2022年8月17日 下午4:38

    I will right away snatch your rss feed as I can’t to find your email subscription hyperlink or e-newsletter service. Do you have any? Please let me realize so that I could subscribe. Thanks.

    回复
  43. mejortorrent说道：
    2022年8月26日 下午3:49

    Süryani Büyüsü nedir v nasıl yapılır Süryani Büyüsü neden Süryani BüyüsüLoading…

    回复
  44. Click Here To Learn More说道：
    2022年8月27日 下午2:46

    I love your blog. It looks every informative.

    回复
  45. carbiepoles说道：
    2022年8月28日 下午12:35

    I imagine so. Very good stuff, I agree totally.

    回复
  46. Click For More Image说道：
    2022年8月30日 上午6:36

    I was able to find good advice from your blog articles.

    回复
  47. Keith Nesline说道：
    2022年8月31日 下午12:40

    I used to be able to find good advice from your blog posts.

    回复
  48. novaworld说道：
    2022年9月1日 上午5:32

    credit score free max credit score how to get a free credit report fico credit score

    回复
  49. nuestra empresa说道：
    2022年9月2日 上午11:22

    Write more stories, more chapters.

    回复
  50. more details说道：
    2022年9月3日 上午9:38

    Great info. Lucky me I ran across your blog by chance (stumbleupon). I have saved as a favorite for later!

    回复
  51. vesportpro.es说道：
    2022年9月3日 下午9:09

    ivermectin for sale ivermectin generic – ivermectin 4

    回复
  52. Get More Information说道：
    2022年9月7日 下午10:49

    ez pharmacy canadian pharmacy certified canada pharmacy online

    回复
  53. more info说道：
    2022年9月9日 下午7:19

    I’ll right away grab your rss feed as I can’t to find your e-mailsubscription hyperlink or newsletter service. Do you’ve any?Kindly allow me realize in order that I may just subscribe.Thanks.

    回复
  54. Google Ads Agency说道：
    2022年9月10日 上午2:58

    bookmarked!!, I like your website!

    回复
  55. Raymond Forklifts说道：
    2022年9月10日 上午3:49

    I was able to find good advice from your blog articles.

    回复
  56. click here说道：
    2022年9月11日 下午1:35

    ivermectin lotion for lice ivermectin near me ivermectin uk boots

    回复
  57. esenler escort bayan说道：
    2022年9月12日 上午12:17

    you seo backlink

    回复
  58. esenler escort说道：
    2022年9月12日 上午7:12

    you seo backlink

    回复
  59. ban thung rac nhua说道：
    2022年9月14日 上午2:40

    stromectol and alcohol covid and ivermectin

    回复
  60. diyarbakır escort说道：
    2022年9月15日 下午11:13

    you seo backlink

    回复
  61. çorum escort说道：
    2022年9月15日 下午11:17

    you seo backlink

    回复
  62. erzincan escort说道：
    2022年9月15日 下午11:19

    you seo backlink

    回复
  63. elazığ escort说道：
    2022年9月15日 下午11:21

    you seo backlink

    回复
  64. düzce escort说道：
    2022年9月15日 下午11:22

    you seo backlink

    回复
  65. sbobet说道：
    2022年9月17日 下午10:09

    Does it look like we’re in for a big ride here?

    回复
  66. yozgat escort说道：
    2022年9月24日 上午5:02

    you seo backink

    回复
  67. yalova escort说道：
    2022年9月24日 上午5:04

    you seo backlink

    回复
  68. uşak escort说道：
    2022年9月24日 上午5:25

    you seo backlink

    回复
  1. 2cuckold
    2022年6月21日

    1assimilation

发表回复

您的电子邮箱地址不会被公开。