目标
信息如下
环境: iis7.5 PHP/5.3.28
看到 iis7.5+php 第一时间就想到了 Fast-CGI 解析漏洞
解析漏洞
页面是一个登入页面,一个二级域名
这里随便找一个图片链接地址然后在链接后面加上/.php 成功解析
<pre style="margin-top: 1em;margin-bottom: 1em;padding: 16px;outline: 0px;overflow-wrap: normal;font-variant-numeric: normal;font-variant-east-asian: normal;font-variant-alternates: normal;font-kerning: auto;font-optical-sizing: auto;font-feature-settings: normal;font-variation-settings: normal;font-variant-position: normal;font-stretch: normal;font-size: 12.75px;line-height: 1.6;font-family: Consolas, "Liberation Mono", Menlo, Courier, monospace;letter-spacing: 0.544px;-webkit-tap-highlight-color: rgba(0, 0, 0, 0);text-wrap: wrap;overflow: auto;background-color: rgb(247, 247, 247);border-radius: 3px;text-align: start;">http://xxxx.xxxxx.com/images/l.jpg/.php
现在已经确认有解析漏洞,只需要找到上传的地方就可以了
翻 js 文件的时候在里面发现了 ,也得到了路径
现在来构造一个上传的 html
<form name="form" enctype="multipart/form-data" method="post" action="http://xxxxx.com/include/plugin/kindeditor/php/upload_json.php?dir=file">
<input type="file" name="imgFile" />
<input type="submit" value="Submit" />
准备好一句话木马将后缀名改为.docx,然后选择上传,成功上传得到地址!
执行命令
现在拿出我们的蚁剑,添加连接,只有 www 目录的访问权无法跨目录
接下来试试看执行命令,无法执行命令,得到系统 2008
看了一下 被 了
然后我去看了一下他主站是一个 asp 的站,跟这个域名同一台,然后上传了一个 asp 一句话,成功执行了命令
! 一个 iis 权限,现在也可以看整个 D 盘不再是 www 目录
也支持 aspx 试了一下跟 asp 一样权限也只能看 d 盘
翻了翻文件夹找到了个
看了下端口 14147 也开放,看了 .xml 文件我们可以看到它的连接地址：127.0.0.1 及端口：14147kindeditor上传图片，密码这里为空。
reDuh 转发 14147
reDuh 工具可以把内网服务器的端口通过 隧道转发到本机，形成一个连通回路。用于目标服务器在内网或做了端口策略的情况下连接目标服务器内部开放端口。
本机——-客户端———（http 隧道）———–服务端——————内网服务器
服务端是个 （针对不同服务器有 aspx,php,jsp 三个版本），客户端是 java 写的，本机执行最好装上 JDK。
把服务端的 上传到目标服务器,然后访问,我这里是用的 aspx 的
命令行下用客户端连接服务端
java -jar reDuhClient.jar http://xxx.com/r.aspx
使用 nc 本地连接 1010 端口
连接成功会有欢迎提示，之后输入命令
[createTunnel]1234:127.0.0.1:14147
前面的 1234 是本机连接用的端口，中间的 ip 地址是目标服务器的（可以是 所在服务器也可以是和它同内网的服务器）kindeditor上传图片，后面的 14147 是欲连接目标服务器的端口。
成功将 14147 转发出来了!
连接
打开 ,连接本地的 1234，密码为空
成功登入
添加个用户
权限都点满
然后使用 连接,可以读取 C 盘文件了
这里替换了粘贴键为 cmd 然后开启 3389 去，然后使用即可
限时特惠:本站持续每日更新海量各大内部创业课程，一年会员仅需要98元，全站资源免费下载
点击查看详情
站长微信:Jiucxh
