绝路逢生出0day-system权限内网漫游

admin 2023年11月2日13:35:18评论14 views1字数 2488阅读8分17秒阅读模式

点击上方[蓝字],关注我们

建议大家把公众号“Z2O安全攻防”设为星标,否则可能就看不到啦!因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法:点击右上角的【...】,然后点击【设为星标】即可。

绝路逢生出0day-system权限内网漫游

免责声明

本文仅用于技术讨论与学习,利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,文章作者及本公众号不为此承担任何责任。

文章正文


逻辑漏洞+编辑器0day=getshell+内网漫游

又是一个深夜,记录前段时间测试的过程。唉,每次小有所学就要懈怠一会。全文高强度打码。


0x00 一个登录框

使用google hacking语法,翻了一翻,锁定了目标范围内一个看起来普普通通的登录页面。

绝路逢生出0day-system权限内网漫游

aspx写的页面,应该是Windows服务器。顺手点了一下找回密码,需要提供注册使用的邮箱,没有提前搜集邮箱信息,放弃任意密码重置。

爆破密码,超过一定次数锁定账户,登陆频繁ban IP,放弃暴力破解。

尝试SQL注入,失败。

F12审查元素,发现了二维码登录的接口,但是无法访问。看来,只能从用户注册入手了。

0x01 任意账户注册

打开注册页面,走个流程,填好信息表。

绝路逢生出0day-system权限内网漫游

麻利地回车,系统却提示需要确认邮件。

绝路逢生出0day-system权限内网漫游

emmm,不耐烦地去邮箱看一下。

绝路逢生出0day-system权限内网漫游

嗯,只需要点一下这里,或者那里,就可以完成账号激活操作。看了一下链接,有点意思。

这个URL的结构是这样的:http://x.xx.com/x.aspx?userName=aaa&Tomail=bbb&passWord=ccc

刚好包含了我注册的用户信息,那么,如果我直接构造一个URL,点击之后是不是就能跳过邮箱验证来激活账号了?

想到就试,随意注册一个账号、构造链接、访问、激活,一气呵成。

绝路逢生出0day-system权限内网漫游

逻辑漏洞到手,任意账户注册。

0x02 失败的尝试

登陆一下,进来了,里面是长这个样子的= =。

绝路逢生出0day-system权限内网漫游

是个投稿的页面,随便点点浏览一下,没有什么东西,功能不怎么多。

看来只有个人中心可以玩了,看看有没有XSS、CSRF,越权什么的。

没有头像,测了一下。输出编码,XSS放弃;通过加密过的cookie来鉴权,且没有敏感的参数,越权放弃;每一步操作都有大量的随机字符串和冗长的参数,挑了几个关键参数构造poc,CSRF失败;不存在SQL注入。

0x03 发现留言板

测试累了,歇了一会,不争气地打起了手游。又玩累了,继续测试。

会不会漏掉了什么功能,要不要fuzz一下。握着鼠标划了一会,发现上面竟然有下拉菜单,长这个样子(反色处理部分)。

绝路逢生出0day-system权限内网漫游

有的玩了,有留言就有留言板,打开看看。没见过这个编辑器,没有什么公开漏洞,但是百度百科有记录,也是个有头有脸的编辑器了。

绝路逢生出0day-system权限内网漫游

打开插入图片,弹出了一个图片管理器。

绝路逢生出0day-system权限内网漫游

脸一黑,居然是白名单策略。试试绕过,失败;试试文件解析,也失败。难道这次测试就以一个低危逻辑漏洞收尾了吗….

0x04 突破白名单

不慌,还有个浏览页面的功能。只能浏览Upload目录,抓包看看能不能改参数来实现目录遍历。

绝路逢生出0day-system权限内网漫游

嗯,这一大串一大串的大小写字母+数字等号,不是base64吗。一段一段地解码,有的解不开,疑似经过加密;有的解开了,是无用参数。解到图上这一段,就有点意思了。

里面出现了一些敏感参数:FileType、ViewPaths、FileBrowse等,但是还有第二层base64编码。

绝路逢生出0day-system权限内网漫游

继续解开看看,非人哉,还有第三层base64编码。

绝路逢生出0day-system权限内网漫游

但是仔细看看,这几个密文的开头都一样,根据base64的编码规则,说明明文的开头也一样,那么这几个到底是什么玩意呢。

于是小心翼翼地解开了第三层编码(Burp Suite里字好小,为了不选中逗号,鼠标要挪半天)。

绝路逢生出0day-system权限内网漫游

哎嘿,解开了。这不就是传说中的前端传参吗?(假的,我也没听过这传说。)
激动地将jpg改成了aspx,小心翼翼地编码回去,放包。

绝路逢生出0day-system权限内网漫游

这次白名单是不是比之前好看多了,光看不行,试一试。谨慎地上传了一个aspx空文件。

绝路逢生出0day-system权限内网漫游

但是,,,不能访问,直接跳转到错误页。不应该,aspx的文件大小都能看到了,应该是传上去了,应该看到一个200的空白页面才对。难道这就完了吗….

0x05 千辛万苦 getshell

既然这windows服务器能跑aspx,那asp是不是也能跑?
小心翼翼地重新抓包,三层解码,这次我把aspx、asp都加到白名单里了,再小心翼翼地编码回去。

这次按照图片的命名规则,直接传了菜刀的小马。

绝路逢生出0day-system权限内网漫游

复制链接,访问了一下,500内部错误。

不错,说明脚本上传了,而且被运行了。

绝路逢生出0day-system权限内网漫游

打开菜刀,成功拿下。美中不足的就是中文目录乱码了,上了冰蝎马。

绝路逢生出0day-system权限内网漫游

OK,完美。

0x06 成功提权 漫游内网

传马,msf上线,MS16-075顺利提权。

绝路逢生出0day-system权限内网漫游

存在内网,没有域,扫描一波内网。

绝路逢生出0day-system权限内网漫游

OK,不再深入。

0x07 总结

这次测试花了一个下午,拿到了一个第三方编辑器的任意文件上传0day,成功提权收获颇丰。

细心一点,再耐心一点。

文章来源:https://blog.blankshell.com/2020/02/26/绝路逢生出0day-system权限内网漫游

技术交流

知识星球

致力于红蓝对抗,实战攻防,星球不定时更新内外网攻防渗透技巧,以及最新学习研究成果等。常态化更新最新安全动态。专题更新奇技淫巧小Tips及实战案例。

涉及方向包括Web渗透、免杀绕过、内网攻防、代码审计、应急响应、云安全。星球中已发布 510+ 安全资源,不定时分享未公开或者小范围公开的漏洞,针对网络安全成员的普遍水平,并为星友提供了教程、工具、POC&EXP以及各种学习笔记等等。(点我了解详情)

(前三十位,先到先得)

绝路逢生出0day-system权限内网漫游

交流群

关注公众号回复“加群”,添加Z2OBot好友,自动拉你加入Z2O安全攻防交流群(微信群)分享更多好东西。(QQ群可直接扫码添加)

绝路逢生出0day-system权限内网漫游

绝路逢生出0day-system权限内网漫游

关注我们

关注福利:

回复“app" 获取  app渗透和app抓包教程

回复“渗透字典" 获取 针对一些字典重新划分处理,收集了几个密码管理字典生成器用来扩展更多字典的仓库。

回复“书籍" 获取 网络安全相关经典书籍电子版pdf

回复“资料" 获取 网络安全、渗透测试相关资料文档


点个【 在看 】,你最好看



原文始发于微信公众号(Z2O安全攻防):绝路逢生出0day-system权限内网漫游

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年11月2日13:35:18
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   绝路逢生出0day-system权限内网漫游https://cn-sec.com/archives/2167217.html

发表评论

匿名网友 填写信息