记一次曲折的渗透测试

字数统计: 1.1k字   |   阅读时长≈ 3分

记一次曲折的渗透测试> 本次渗透测试为授权测试，信息皆做脱敏处理启拿到网站，其中一个资产为该单位办公系统，看到界面比较老，感觉有戏，所用系统为九思oa，先去搜一下已公开的poc看看…

记一次曲折的渗透测试

本次渗透测试为授权测试，信息皆做脱敏处理

0x00 启

拿到网站，其中一个资产为该单位办公系统，看到界面比较老，感觉有戏，

所用系统为九思oa，先去搜一下已公开的poc看看能不能去打

image-20220601201838486.png

image-20220601201826085.png

搜到了两个，尝试无果，就把所有资产都丢进awvs里扫一下，抱着试一试的心态去看看能不能扫出东西来

image-20220601202119547.png

发现此处存在sql注入，可执行sleep语句，就去抓个包，尝试用sqlmap一把梭

python sqlmap.py -r 1.txt --dbs

发现跑不出来，想找原因，就去手工测试了一下

image-20220601202838143.png

在输入admin的时候提示是该用户没有维护邮箱，但是应该存在该用户

image-20220601202936200.png
加'发现报错提示没有该用户信息

image-20220601203220876.png
加了#号之后和单独输入admin一样，那就证明其存在sql注入，通过fuzzy，发现其过滤了空格。

尝试用sqlmap的temper脚本去绕过

python sqlmap.py -r 1.txt --tamper\=space2comment -dbs

果然成功了

image-20220601204755423.png

0x01 承

想要通过sql注入注出账号密码

image-20220601205449309.png

jsdb的md5解密后为12345678

root的md5解密后为jiusi

image-20220601205558917.png

用御剑扫描其端口发现其数据库端口并未开放，只能作罢，去寻找其他思路

image-20220601205632359.png
尝试去写一个webshell进去，发现也失败了，权限不够，而且不知道绝对路径

那就尝试去注出网站的账号密码，登入试试看看能不能getshell。

此时问题又来了，我们不知道账号密码在那个表里，而且由于是盲注，速度比较慢，一个oa里有几百张表，一个表里有几十个字段，也来不及一个一个试，此时又陷入了僵局。

0x02 转

我们继续去扫描该单位站点，发现该单位还有一测试的九思oa站点，且端口开放为3306，猜想之前注出的数据库密码jiusi为该数据库的密码，直接用Navicat去连接，

发现其表的结构如下

image-20220604204710499.png

有几百张表(幸亏没跑盲注)，通过该表的结构，去构造相应的sql语句(利用sqlmap的sql-shell来执行)，成功把管理员以及其他用户的账号密码注了出来，数据库的密码并非用明文储存，

image-20220604205152908.png

注出一串39位的字符，并非md5，通过对前端代码进行分析，发现其先进行了md5加密，然后交给后端处理，一定是后端又进行了加密，在网上搜到了该oa的部分源码

1.png

发现其逻辑如下，先截取10到15位的字符，后面去添加随机生成的字符，再截取0-5位的字符，再去生成一个随机字符添加到后面，以此类推。通过对算法逆向得出如下结果，需要舍弃固定位数，再对字符串进行重拼，即可得到相应的md5值，然后尝试去md5解密，可惜的是没把管理员的md5给破解出来，破解出来了一些普通用户的密码，然后登入。

image-20220604205334611.png

0x03 合

进入oa，看看有没有上传点，尝试上传，发现其过滤了.jsp文件后缀，且为白名单上传，尝试了几个姿势，无法绕过。

通过指纹识别发现其利用了eweditor组件，搜索该组件是否存在漏洞，
尝试用默认密码登入，发现可以进去，把图片类型给加一个jsp，尝试上传

image.png

image-20220604205741782.png

上传成功

image-20220604210209773.png

image-20220604210430090.png

成功rce，接下来就上线CS去内网漫游


赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。