【实战】X厂的红队渗透考核

参加了一次红队考核。

一些基本要求:

三个端口,获得shell并提权，代码审计0day加分。

127.0.0.1:8000 银行系统

127.0.0.1:8001 tomexam系统

127.0.0.1:8002 jspxmcs

127.0.0.1:8000

这个根据网上的说话,说他有注入点，进行了尝试。

发现无法注入，应该是做了加固。先放一放。

127.0.0.1:8001

后台存在sql注入点。

注册任意账号进去。

新闻管理处有sql注入点。

没有写入权限--无法上传webshell

不支持堆叠注入--无法update数据库(后续会用到)

除了jpg其余都返回不能上传。(后续能绕过)。

百度了一下,发现所有文章都没有写这个上传点。

尝试了一下绕过，还是只能上传jpg图片。

127.0.0.1:8002 jspxcms

根据刚刚读取的密码,发现admin密码无法碰撞出来。

其余的账号都没有权限。

这里找到了jspxcms的源码。找到了一些网上没有出现过的上传点。

发现能上传，但是和本地搭建的环境不太一样。

尝试后也是失败。

能想到的方式和网上的方式都尝试了。发现都无法上传shell。

沉下心想一下：

回头捋一下,这几个系统。想获得shell---文件上传、rce、sql注入。

这里sql注入--失败(应该有我没发现的)。

rce--也失败了(应该有我没发现的)

文件上传--感觉是白名单。

继续尝试127.0.0.1:8001

文件上传也就tomexam系统有。看一下源码吧。

在网上找到了源码。

第一次看感觉就是白名单。

第二次看,这是一个假的白名单。是假的竟然。可以绕过。

PS:网上没有写出来,人家还要考核,这里具体就不泄露了。感兴趣可以自己看一下。

知道是假的了。那么直接尝试上传文件,获取webshell

server 2012 土豆家族内存提权。

继续

127.0.0.1:8002

8001端口getshell了。

然后尝试8001-jspxcms的服务。

这里漏洞都尝试了,只有后台没有尝试。但是密码无法碰撞出来

SQL不支持堆叠注入--无法修改密码。

还记得8001的shell吗。

利用上文的shell。直接连接sql。重置密码。

制造war包。

127.0.0.1:8000 只有这个没有shell了。

说一下这个系统。

登录后台,发现并没有什么功能。

只有一个任意文件下载的漏洞。

自带的文件下载是下图这个路径。

之后才想到的这个思路。

那么思路就来了。

任意文件下载--->下载数据库用户名密码--->连接--->写入webshell--->你说路径在哪里，你看看上面默认下载的文件是不是就是路径呢。