一个充气娃娃引发的内网漫游,www.1905.com主站shell 11月底就已经拿到了.我就听剑心哥哥的提交了吧.
1.Nginx解析漏洞引发的getshell.
blog.1905.com
home.1905.com 均存在 NGINX解析漏洞.
http://home.1905.com/robots.txt/.php
直接注册个会员就打算去上传.结果发现无法上传成功.但是却发现很多用户在一两个小时前都更新过日志和相册发布.可能是新账户要审核还是什么其他的原因吧. 得先弄个账户.
随便找了个用户的UID看下用户名 GO TO 社工库.
2.射工库
利用此用户上传成功getshell...
http://home.1905.com/attachment/201512/18/4580762_1450417652l9ad.jpg/.php
3.内网漫游
whoami看了下LINUX版本 2.6.18,试了各种EXP提不起来.顿时裤子就湿了.想着从其他地方下手吧.先看下同服有哪些站点再说。
/usr/local/nginx/conf/nginx.conf
发现www主站有整站备份在这个目录里面.
进去一翻 发现一堆有价值的信息.
省略N行. 有了这么多有价值的信息就好办了..先链他数据库看看是什么情况吧.
提取出一个管理员账号密码wujie. 备份了下MD5(SLAT).给他强制替换了下密码.
却在登录的时候发现http://www.1905.com/admin.php被NGINX规则给deny了..咋办.
想了半天想起来 PHPCMS_LOG表里面 会记录后台管理员的一些操作日志.里面会记录时间 URL.难道后台ADMIN.PHP是需要VPN访问 或者另有原因?
马上去看下CMS_LOG表 果然 发现每次管理员登录的IP都是固定的.包括编辑.
我注意到了一个细节.
forward=http%3A%2F%2Fwww1.1905.com%2Fadmin.php%3Fmod%3Dphpcms%26file%3Dhtml%26action%3Dcategory&pagesize=50&dosubmit=1&count=1
forward参数是记录提交来源的,现在可以肯定的是 www1.1905.com和www.1905.com一个是后端写入,一个前端读取.显然用的是同一个数据库.www1.1905.com/admin.php直接找不到服务器,应该是做了IP规则屏蔽的.
C:\Users\Administrator>ping www1.1905.com
正在 Ping www1.1905.com [60.28.236.48] 具有 32 字节的数据:
C:\Users\Administrator>ping www.1905.com
正在 Ping m1905.xdwscache.ourglb0.com [61.138.219.87] 具有 32 字节的数据:
知道后台在哪就好办了.但是现在问题又来了.CMS_LOG记录的用户登录IP 全部是同一个来自111.202.9.82 要把这VPN服务器搞下来的话 还是略难啊 至少得花更多的时间.还是从内网直接来吧.用PHP反代访问了下www1.1905.com这个域名 奇迹发生了
试了admin.php 居然可以访问.果断用修改的管理用户wujie的密码登录.成功了。
到了后台发现反向代理对SCRIPT脚本的支持并不好.各种点击无效.思考了半天,终于找到解决办法.去百度下载了一个PHPCMS V9在本机安装,然后本机复制URL地址+参数到反代上面去访问1905后台,成功拿到一个shell. http://www1.1905.com/lpboke.php 然后利用反代中转连接webshell。
在www1.1905.com根目录下发现一个缓存更新文件. 看了下代码 是CRON同步CDN节点的一个文件.估计主站就是通过这个文件更新缓存数据的吧.
/data/html/cms/uploadfile/fuck.txt,用反代打开文件直接同步了一下. 10秒钟后访问主站
http://www.1905.com/uploadfile/fuck.txt已经是秒了.正要写shell过去的时候发现失败了.CAT看了下WWW1的NGINX规则,发现主站1905所有子域名的CONF文件都在.主站各种目录下都是DENY..只有一些小目录可以执行PHP,翻了下菜刀里面其他数据库.发现同样方法干掉1905几个后台.
剑心妹妹说 哇 你好帅...