|
我是如何渗透4所中学 我觉得每个（heikuo）都有要沦一沦自己附近学校的想法，当然我也不例外 目标 XX中学（http://www.xxoo.cn/） XXXX中学（http://www.xxoo.com/） XXXXX中学（http://www.xxoo.com/） XXXXX学校（http://xxoo.com/）（母校）
1) XXXX中学
【信息收集】 经过前期探测基本确定了网站的环境，
网站脚本语言:asp
搭建平台:IIS7.5
数据库:access
操作系统:windows2008 【Whois信息】 联系人：XXXX （经查询应该不是域名商，可用于社工） 邮箱 ：XXX@qq.com 【服务器信息】 Ip:113.10.186.XXX TCP: [21, 80, 135, 445] 21 => [ftp]; Ver => 220 GZIDC FTP Server ready...
【扫目录】 收获： http://www.xxoo.com/admin/login.asp 后台 （像某cms）
我日有前辈（diaosi）来过 可是这是iis7.5 他用的是iis6解析漏洞 然并卵 因为是星外有防护机制 diaosi.asp 是有这个文件夹 【上传突破】 星外的一种防护机制 这里我们尝试00截断 成功获取webshell 连接 文件夹是确实存在的（注：给某些还在往文件夹里寻找突破的人提个醒） 收集管理登陆账号密码（注：后面有戏） （完结） 2) xx市xx中学 【信息收集】 经过前期探测基本确定了网站的环境，
网站脚本语言:asp
搭建平台:IIS76
数据库:access
操作系统:windows2003 【Whois信息】 联系人：XXX（可用于社工） 邮箱 ：XXX@126.com 【服务器信息】 Ip:218.5.77.XXX Nmap信息： PORT STATE SERVICE 21/tcp open ftp 22/tcp open ssh 80/tcp open http 135/tcp filtered msrpc 139/tcp filtered netbios-ssn 445/tcp filtered microsoft-ds 593/tcp filtered http-rpc-epma 1025/tcp open NFS-or-IIS 3369/tcp open satvid-dataln 4444/tcp filtered krb524 6667/tcp filtered irc 8080/tcp open http-proxy 9102/tcp open jetdirect 31337/tcp filtered Elite
访问8080端口
某主机商控制面板
翻看whois查询是
【扫目录】 （注：这是之前留的图 网站太卡且容易超时 所以不复现）
http://www.xxoo.com/adminc/admin.asp 500错误
只出现了一条蓝色边 信息（程序开发：易虎网络科技）
上传点 这种上传点可以双文件突破
需要验证cookies
【双文件上传突破】
传上去了 可是没回显路径文件名啊。。
那么只有通过后台才能知道路径了
【注入】 Asp站多少存有注入 随手找一个页面 单引号报错 存有注入
操起超级SQL注入工具
工具会测试每一个参数
到测试出注入类型为：盲注 数据库库为：access 时开始超时了。。。 后改为手注
注入点支持union联合查询的
Order by 18 正常 19错误 存有18个字段
and exists (select * from admin) 存有admin表（网站太卡 因为是复现 所以直接说明）
http://www.xxoo.com/ArticleDetails.asp?Navigation1=%3FNavigation2%3D&Navigation2=&Navigation=&id=136%20and%201=2%20union%20select%201,2,3,4,5,6,7,8,9,10,11,12,13,14,15,16,17,18%20from%20admin 7 个显错位
http://www.xxoo.com/ArticleDetails.asp?Navigation1=%3FNavigation2%3D&Navigation2=&Navigation=&id=136%20and%201=2%20union%20select%201,2,3,4,5,username,password,8,9,10,11,12,13,14,15,16,17,18%20from%20admin
账号：admin Md5解密：adminlb1988
前台已经给出后台地址
点击登陆时最惊险的一幕出现了
系统找不到指定的文件 心中一万只草泥马
【猜测】 管理员删除了主页面 这能防一般的黑阔 需要更新文章时再连接ftp上传页面 然后就可以愉快的更新文章了。。。
【社工】 我们可以社工ftp账号密码 社工主机客服 小白不才 社工不出来 这里就不截图 ------------------------------------------------------------ 因为是星外你旁站也未必能提权（技术不精），所以我采取以下方法 ------------------------------------------------------------- 【爆破文件名】
据经验应该是这条路径
【分析】
20091226110005430 年：2009 月：12 日：26 时：11 分：00 秒：05 后面是随机数
为了增加成功率 批量上传一句话
为了扩大可能性 从500000-800000 20091226110005430
运气成分很大 20160615180821762 有时候会消0 随机数不会消0 2016061518821762
【脚本】 批处理脚本： @echo off for /l %%i in (600000,1,900000) do ( for /l %%j in (1,1,1) do echo %%i>>txt.txt ) pause
因为是复现 网站容易超时很多地方不能提供截图 （完结）
3) XX中学
【信息收集】 经过前期探测基本确定了网站的环境，
网站脚本语言:php
搭建平台:IIS8.0 数据库类型:mysql
操作系统:windows2008 【Whois信息】 联系人：xx市XX中学 （经查询应该不是域名商，可用于社工） 【服务器信息】 IP：219.234.8.XX TCP: [80]
【CMS探测】 Dedecms管理系统 版本是20150618
【漏洞利用】
百度了一下 找到了1个适合这个版本的漏洞
Dedecms远程写文件漏洞和利用方法
漏洞文件 ：
1:install/index.php.bak 403错误 iis8.0是不支持.bak文件显示的
得到物理路径：D:\wwwroot\m160314\wwwroot\install\index.php.bak
2:install/index.php 404错误
另一个漏洞需要注册会员 但网站关闭了注册会员功能
【社工】 后台地址未改
http://www.xxoo.cn/dede/login.php?gotopage=%2Fdede%2F
各种弱口令
最后密码是跟XXXX中学的后台密码是一样的 XXXX 我们这边的邮编号
【webshell】
1.文件式管理器
2.直接上传php
【艰苦过程】 一开始我只是试了弱口令 Whois信息的各种组合 尝试社工裤查询注册邮箱常用密码
旁站（妻妾成群）
发现权限太严了 所以又转回社工 后来就没有后来了。。。
坚持就是胜利
为什么密码会一样 原因很简单 因为都是同一管理员 （我是在后期才发现的）
（我在两所中学后台“必经之路”上打了xss 管理登陆发现ip是一样的）
（完结）
4) XXXXX学校
这个站我直接进入主题
【Bugscan扫描结果】
【CMS探测】 PageAdmin CMS
【C段查询】
XX.XXX.XX.205 (1) http://XXX205/学分制入口
整个C段就这两个
打开 XXXX.250
弱口令、万能密码无果
【精品课程】
【eWebEditor编辑器】
像这种网站是不能盲目扫描目录的 只能爬 爬好在扫
1) 样式管理 2) 添加新样式 3) 添加Cer
Webshell到手
（完结）
因为是复现 所以有些地方没截图 不过我觉得很详细了 过程很艰辛。。。
码没打好请在下面评论 你有什么思路可以发出来共同交流
===================================在校学生，降低标准给予通过。
| 