一次项目中的曲折渗透

本文来源无问社区，更多实战内容，渗透思路尽在无问社区http://wwlib.cn/index.php/artread/artid/11519.html

这次项目是一个公司的大客户，客户对于测试的结果也比较重视，所以有了本次测试经历。

因为已经是生产环境的系统，而且往期也做过渗透测试，所以第一份报告中挖掘到的漏洞基本都是一些 xss，或者一些弱口令，但是貌似都是用来给购买产品客户看的测试系统，所以结果还是不太理想。

那么现在第二份报告抱着不成功就走人的心态，try again。

这次在测试过程中发现了一个地址，默认是使用 http 访问的，但是使用 https 访问会出现如下页面，说明还是有 WEB 业务系统的。

报错页面提示的是用的 apache tomcat，所以通过访问 / manager/html 找到了管理登录地址，弱口令登了进去。

常规操作上传 war 部署拿 shell，这里用的哥斯拉生成的 jsp 版 webshell。

上去以后不出所料，已经是 administrator 权限了，但是上传后门时发现 exp 都被删掉了。使用哥斯拉上传免杀的 cs 后门发现上传失败，体积稍微大点就不行。

所以就委托团队的大佬写个了自动下载文件的脚本，体积一共 140 多 kb，成功上传。

这样就直接让目标主机去下载 vps 上的后门就行了。后面下载完直接上线。

查看下进程发现，果然，开着 360。

扫描一下网络

东西还不少，目测应该包含不少这次测试目标里的服务器。

用 mimikatz 读 hash 失败，没人能随便成功，哪怕对方是你的肉鸡。

当时我的内心在想，我是个假管理员？

这个时候准备试试添加用户，因为服务器上开着 3389，添加用户以后把端口映射出来就行了。不过还有 360，没办法直接加。

所以让同事用 frp 做了个代理，直接连到了服务器内网，因为如果这一台搞不定，那就先扩大战果，多拿几台权限也行。

然后发现扫描的速度太慢了，所以暂时放弃。继续想办法加用户。这时候万能的团队以及朋友圈就上线了，找到了几个饶 360 加用户的 exp，本地测试了一下。

真好。

然后涛哥就跟我说，你不要在你的电脑里面跑，可能是 win10 有限制，你直接放到服务器上面运行。说干就干，不得不说多动手还是很好的。于是乎就出现了下面的情况

所以还是提权一下吧，看来只能上 system 试试了，但是传统的 exp 在 360 面前只能点到为止。所以花了很久才把 exp 免杀做好。在此感谢冷哥提供的免杀。！！

提完了之后又传了一个 CS 后门，上线了一个 SYSTEM 权限的 shell

这个时候用万能的 mimikatz，发现已经可以读出密码了

然后添加用户也成功

查看权限

横向渗透因为客户期间已经通知不要扩大攻击，所以就暂时搁置。