温馨提示
本文章仅供学习交流使用，文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
0x01:信息搜集
信息如下，看到iis7.5+php第一时间就想到了解析漏洞
环境:windows iis7.5 PHP/5.3.28
0x02:IIS7解析漏洞
页面是一个登入页面,一个二级域名
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/0-1606802495.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
找到图片链接地址然后在链接后面加上/.php成功解析
http://xxxx.xxxxx.com/images/login.jpg/.php
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/6-1606802497.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
现在已经确认有解析漏洞,只需要找到上传的地方就可以了
0x03:从js泄露到Kindeditor Getshell
仔细翻js文件的时候在里面发现了kindeditor,也得到了路径
kindeditor本身不存在什么可以突破上传限制的漏洞，但是可以配合解析漏洞一起操作
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/0-1606802498.png "[渗透实战]第三方组件出奇迹(日常福利)")
http://xxxx.xxxxx.com/include/plugin/kindeditor/php/upload_json.php
现在来构造一个上传的html表单
<html>
<head></head>
<body>
<form name="form" enctype="multipart/form-data" method="post" action="http://xxxxx.com/include/plugin/kindeditor/php/upload_json.php?dir=file">
<input type="file" name="imgFile" />
<input type="submit" value="Submit" />
</form>
</body>
</html>
准备好一句话木马将后缀名改为.docx,然后选择上传,成功上传得到地址!
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/2-1606802500.png "[渗透实战]第三方组件出奇迹(日常福利)")
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/2-1606802501.png "[渗透实战]第三方组件出奇迹(日常福利)")
http://xxxx.xxxxx.com/upload/Experience/file/2020/02/3_200206185133.docx
0x05:命令执行
现在拿出我们的蚁剑,添加连接
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/5-1606802502.png "[渗透实战]第三方组件出奇迹(日常福利)")
成功连接,只有www目录的访问权无法跨目录
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/1-1606802504.png "[渗透实战]第三方组件出奇迹(日常福利)")
接下来试试看执行命令,无法执行命令,得到系统2008
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/3-1606802506.png "[渗透实战]第三方组件出奇迹(日常福利)")
看了一下phpinfo被disable_functions了
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/0-1606802507.png "[渗透实战]第三方组件出奇迹(日常福利)")
目标主机是Windows系统，大部分bypass disable_function的方法都歇菜了
之前看过Com组件实现Windows下bypass disable_function的案例
奈何权限根本操作不到php的配置文件，直接告辞
但是我突然想到主站是个asp的站他肯定支持asp,二话不说上传了asp一句话
成功执行了命令! 一个iis权限,现在也可以看整个D盘不再是www目录
同时也支持aspx，但试了一下跟asp一样权限也只能看d盘
0x06 一生之敌
想执行一下tasklist却发现执行不了，systeminfo也没办法执行
直接上exp,执行时候也被杀了,我在目录里面翻到了360
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/2-1606802509.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
通过exp提权是行不通了,因为之前的免杀exp都死光光了,
权限太低也没办法执行systeminfo也不知道补丁情况,现在看看有没有第三方软件能够利用了
0x07:Filezilla_Server
翻了翻文件夹找到了个FileZilla_server
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/8-1606802510.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
看了下端口14147也开放
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/7-1606802512.png "[渗透实战]第三方组件出奇迹(日常福利)")
看了FileZilla Server Interface.xml文件我们可以看到
它的连接地址：127.0.0.1 端口：14147，密码这里为空。
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/0-1606802513.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
但是14147端口在内网,无法直接访问,lcx nc等上传均被无情秒杀。
ReDuh
reDuh工具可以把内网服务器的端口通过http/https隧道转发到本机，形成一个连通回路。用于目标服务器在内网或做了端口策略的情况下连接目标服务器内部开放端口。
本机——-客户端———（http隧道）———–服务端——————内网服务器
服务端是个webshell（针对不同服务器有aspx,php,jsp三个版本），客户端是java写的，本机执行最好装上JDK。
Reduh转发14147
把服务端的webshell上传到目标服务器,然后访问,我这里是用的aspx的
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/8-1606802514.png "[渗透实战]第三方组件出奇迹(日常福利)")
命令行下用客户端连接服务端
java -jar reDuhClient.jar http://xxx.com/upload/Experience/file/2020/02/r.aspx![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/4-1606802516.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
使用nc本地连接1010端口
nc -vv 127.0.0.1 1010![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/8-1606802517.png "[渗透实战]第三方组件出奇迹(日常福利)")
连接成功会有欢迎提示，之后输入命令
[createTunnel]1234:127.0.0.1:14147
前面的1234是本机连接用的端口，中间的ip地址是目标服务器的（可以是webshell所在服务器也可以是和它同内网的服务器），后面的14147是欲连接目标服务器的端口。
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/8-1606802519.png "[渗透实战]第三方组件出奇迹(日常福利)")
成功将14147转发出来了!
0x08:连接filezilla
打开FileZilla,连接本地的1234，密码为空
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/5-1606802520.png "[渗透实战]第三方组件出奇迹(日常福利)")
成功登入
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/5-1606802521.png "[渗透实战]第三方组件出奇迹(日常福利)")
添加个用户
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/2-1606802522.png "[渗透实战]第三方组件出奇迹(日常福利)")
权限都点满
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/7-1606802524.png "[渗透实战]第三方组件出奇迹(日常福利)")
然后使用winscp连接,可以读取C盘文件了
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/7-1606802525.png "[渗透实战]第三方组件出奇迹(日常福利)")
这里替换了粘贴键为cmd（把system32目录下的sethc.exe替换为cmd.exe）
直接登录服务器5下shift摁出来，cmd弹弹弹
System shell GET√
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/9-1606802526.png "[渗透实战]第三方组件出奇迹(日常福利)")
福利：
今天给大家带来的福利是Python基础手册，经过阅读后，发现内容贴近新手，各类基础知识一应俱全，非常适合大家进行学习~
公众号后台回复python_basic获取下载链接~
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/4-1606802528.png "[渗透实战]第三方组件出奇迹(日常福利)")
关注我们
一线渗透测试、红队技术文章有你好看！
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/6-1606802530.jpg "[渗透实战]第三方组件出奇迹(日常福利)")
往期推荐
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/1-1606802531.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
吊打SRC的加密传输实现SQLi挖掘
![[渗透实战]第三方组件出奇迹(日常福利)](http://cn-sec.com/wp-content/uploads/2020/12/6-1606802533.jpeg "[渗透实战]第三方组件出奇迹(日常福利)")
Bypass某绒的一次渗透测试（文末福利）
本文始发于微信公众号（哈拉少安全小队）：[渗透实战]第三方组件出奇迹(日常福利)
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论