网站URL： http://www.sohu.com/a/459826705_583123

更新时间：2021-04-11 17:18:44

网站关键词(63个字符):
经验教程、 文件、 工具、 Net、 位置、 https、 命令、 权限、 ecp、 com、 思路、 github、 ecp、 代码、 https、 命令、

网站描述词(0个字符):
该站未曾设置description

关于www.sohu.com说明：
www.sohu.com由网友主动性提交被自动秒收录整理收录的，本站仅提供www.sohu.com的基础信息并免费向大众网友展示，www.sohu.com的是IP地址：14.18.240.22 地址：广东广州 电信，www.sohu.com的百度权重为9、百度手机权重为、百度收录为 100,000,000 条、360收录为 100,000,000 条、搜狗收录为407383484条、谷歌收录为 - 条、百度来访流量大约在893,559 ~ 1,427,235之间、百度手机端来访流量大约在46,018 ~ 65,213之间、www.sohu.com的备案号是京ICP证030367号-1、备案人叫北京搜狐互联网信息服务有限公司、被百度收录的关键词有1,341,099 个、手机端关键词有43,015个、迄今为止已经创建22年9月10日。

SEO信息	百度来访IP：893,559 ~ 1,427,235 | 移动端来访IP：46,018 ~ 65,213 | 出站链接：18 | 站内链接：491
IP网速：	IP地址：14.18.240.22 地址：广东广州 电信 | 网速：19.254毫秒
ALEXA排名	世界排名： | 预估IP：45,180,000 | 预估PV：204,665,400
备案信息	京ICP证030367号-1 | 名称：北京搜狐互联网信息服务有限公司 | 已创建：22年9月10日

收录	百度	360	搜狗	谷歌
查询	100,000,000	100,000,000	407383484	-

电脑关键词	手机关键词	页面友好	首页位置	索引	近期收录
1,341,099	43,015	电脑端优秀	0	-	-

服务器信息 协议类型 HTTP/1.1 200 OK 页面类型 text/html;charset=UTF-8 服务器类型 nginx 程序支持 连接标识 消息发送 2020年2月16日 16时49分04秒 GZIP检测 已启用GZIP压缩 源文件大小 144.21KB 压缩后大小 45.60KB 压缩率 68.38% 最后修改时间

渗透技巧——从Exchange文件读写权限到命令执行_com搜狐首页新闻体育汽车房产旅游教育时尚科技财经娱乐更多母婴健康历史军事美食文化星座专题游戏搞笑动漫宠物嘶吼RoarTalk由内容质量、互动评论、分享传播等多维度分值决定，勋章级别越高()，代表其在平台内的综合表现越好。文章总阅读查看TA的文章>评论渗透技巧——从Exchange文件读写权限到命令执行2021-04-0915:51来源:嘶吼RoarTalk原标题：渗透技巧——从Exchange文件读写权限到命令执行0x00前言在实际的渗透测试过程中，我们会遇到各种不同的环境，例如获得了Exchange服务器的文件读写权限，但是无法执行命令。本文将要提供一种实现方法，分析利用思路，介绍脚本开发的细节，给出防御建议。0x01简介本文将要介绍以下内容：·解决思路·利用方法·程序实现·防御建议0x02解决思路1.常规解决思路(1)写入Webshell通常选择以下两个位置：·%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\owa\\auth·%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\ecp\\auth选择这两个位置的优点是可以直接访问Webshell。也可以选择其他位置，例如%ExchangeInstallPath%\\ClientAccess\\ecp\\，写入的文件名称有限制，命令规则可参考%ExchangeInstallPath%\\ClientAccess\\ecp\\web.config。注：访问%ExchangeInstallPath%\\ClientAccess\\下的webshell需要添加合法用户的登录Cookie。总的来说，通过写入Webshell的方式比较直接，但是Exchange服务器有可能禁用了命令执行权限或是拦截系统函数的调用，依旧无法获得命令执行权限。(2)写入PE文件写入exe文件，可选择以下两种启动文件夹：·系统启动文件夹的位置：%ProgramData%\\Microsoft\\Windows\\StartMenu\\Programs\\Startup·用户启动文件夹的位置：%USERPROFILE%\\Appdata\\Roaming\\Microsoft\\Windows\\StartMenu\\Programs\\Startup写入dll文件，可选择系统常见的dll劫持位置，例如c:\\Windows\\System32\\fxsst.dll，更多细节可参考：https://github.com/3gstudent/Pentest-and-Development-Tips/blob/master/README-en.md#method-16-windows-fax-dll-injection总的来说，通过写入PE文件的方式比较被动，需要等待系统加载，无法做到实时的命令执行。2.有效的解决思路修改Exchange配置，设置MachineKey，通过.Net反序列化实现命令执行可供学习的资料：·http://www.zcgonvh.com/post/weaponizing_CVE-2020-0688_and_about_dotnet_deserialize_vulnerability.html·https://blog.knownsec.com/2020/11/net-%e5%8f%8d%e5%ba%8f%e5%88%97%e5%8c%96%e4%b9%8b-viewstate-%e5%88%a9%e7%94%a8/简单来说，我们通过设置MachineKey，就能够实现与CVE-2020-0688同样的效果，也就是说，设置MachineKey为默认值后，可以直接使用CVE-2020-0688的利用工具实现命令执行。0x03利用方法1.修改%ExchangeInstallPath%\\ClientAccess\\ecp\\web.config将：修改为：如果没有这一属性，那么就在system.web下添加：接下来就可以直接使用CVE-2020-0688的利用工具，成熟的利用工具可选择：https://github.com/zcgonvh/CVE-2020-0688/，相比其它已开源的利用工具，这款工具能够实时获得命令执行结果，也支持加载shellcode的功能，其中的技术细节值得深入研究。注：CVE-2020-0688的利用工具大都借助ysoserial.net的TextFormattingRunProperties实现命令执行，无法实时获得命令执行结果。ysoserial.net-1.32的ActivitySurrogateSelectorFromFile能够通过Assembly.Load加载.Net程序集实现返回命令执行的结果，但是兼容性不够，无法做到支持所有版本的.Net环境。zcgonvh开源的CVE-2020-0688利用工具解决了ysoserial.net-1.32中ActivitySurrogateSelectorFromFile兼容性的问题，同时对通信数据做了AES加密。ysoserial.net-1.33修复了ActivitySurrogateSelectorFromFile兼容性的bug，bug由zcgonvh修复。我们知道，CVE-2020-0688的利用前提是需要掌握一个合法用户的凭据，而我们只获得了Exchange服务器的文件读写权限，还无法立即获得合法用户的凭据，这里可以使用接下来的两种方法绕过这个限制。(1)修改%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\owa\\web.config这里validationKey和decryptionKey可以任意指定，字符范围为十六进制，即0~F。也可以选用以下算法：·MD5·AES·HMACSHA256·HMACSHA384·HMACSHA512密钥长度需要符合算法要求，学习资料：https://devblogs.microsoft.com/aspnet/cryptographic-improvements-in-asp-net-4-5-pt-1/(2)修改%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\ecp\\web.config方法同上。对于这两个位置的.Net反序列化命令执行，不再需要合法用户的凭据，所以利用程序也需要做修改。下面介绍三种利用程序实现的细节。0x04实现细节1.计算VIEWSTATEGENERATOR的两种方法Exchange的.Net反序列化用的是ViewState，其中必备的参数为VIEWSTATEGENERATOR，例如Python实现的CVE-2020-0688利用工具中使用的默认VIEWSTATEGENERATOR为B97B4E27，表示的页面为ecp/default.aspx，对应的ysoserial.net的参数为--path=\"/ecp/default.aspx\"--apppath=\"/ecp/\"下面介绍两种计算VIEWSTATEGENERATOR的方法：C#实现的代码如下：usingSystem;classa}得出结果为B97B4E27。注：代码来自http://www.zcgonvh.com/post/weaponizing_CVE-2020-0688_and_about_dotnet_deserialize_vulnerability.html也可以通过网页自动计算，方法如下：在实际测试环境中，修改ecp/default.aspx的内容如下：通过浏览器访问该页面，返回结果中的__VIEWSTATEGENERATOR即为计算后的结果。2.不需要合法用户凭据的三种反序列化程序实现。(1)借助ysoserial.net的TextFormattingRunProperties实现命令执行的Python代码。CVE-2020-0688中对应ysoserial.net的参数格式如下：ysoserial.exe-pViewState-gTextFormattingRunProperties-c\"\"--validationalg=\"SHA1\"--validationkey=\"CB2721ABDAF8E9DC516D621D8B8BF13A2C9E8689A25303BF\"--generator=\"\"--viewstateuserkey=\"\"由于我们的利用不需要合法用户的凭据，新的ysoserial.net参数格式为：ysoserial.exe-pViewState-gTextFormattingRunProperties-c\"\"--validationalg=\"SHA1\"--validationkey=\"\"--generator=\"\"参数说明如下：·对应我们要执行的命令·对应我们设置的validationKey·对应要访问页面的VIEWSTATEGENERATOR借助ysoserial.net的TextFormattingRunProperties生成最终的VIEWSTATE数据后，拼接成以下格式：https://?__VIEWSTATEGENERATOR=context.Response.End();}}注：代码引用自https://devco.re/blog/2020/03/11/play-with-dotnet-viewstate-exploit-and-create-fileless-webshell/更多用法可参考https://github.com/pwntester/ysoserial.net/blob/master/ExploitClass/ExploitClass.csysoserial.net的参数格式如下：ysoserial.exe-pViewState-gActivitySurrogateSelectorFromFile-c\"ExploitClass.cs;System.Web.dll;System.dll;\"--validationalg=\"SHA1\"--validationkey=\"\"--generator=\"借助ysoserial.net的ActivitySurrogateSelectorFromFile生成最终的VIEWSTATE数据后，构造POST数据包，添加名为cmd的参数，参数值为要执行的命令。高版本的.NETFramework会禁止ActivitySurrogateSelector，可借助ysoserial.netActivitySurrogateDisableTypeCheck进行绕过，对应的参数格式如下：ysoserial.exe-pViewState-gActivitySurrogateDisableTypeCheck-c\"ignore\"--validationalg=\"SHA1\"--validationkey=\"\"--generator=\"\"完整的实现代码已上传至github，地址如下：·https://github.com/3gstudent/Homework-of-Python/blob/master/ExchangeDeserializeShell-NoAuth-ActivitySurrogateSelectorFromFile.py代码支持两个位置的反序列化执行，分别为默认存在的文件%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\owa\\auth\\errorFE.aspx和%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\ecp\\auth\\TimeoutLogout.aspx代码能够执行命令并获得命令执行的结果，通过POST方式以参数__Value发送数据，通信数据采用逐字符异或加密。(3)基于https://github.com/zcgonvh/CVE-2020-0688/实现无凭据利用的C#代码VIEWSTATE数据的生成过程同https://github.com/zcgonvh/CVE-2020-0688/保持一致，只需要将validationkey作为变量传入即可。%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\owa\\web.config和%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\ecp\\web.config均没有限制POST请求，所以在利用上不再需要写入空文件，可以直接生成最终的VIEWSTATE数据并通过POST的方式发送数据。完整的实现代码已上传至github，地址如下：·https://github.com/3gstudent/Homework-of-C-Sharp/blob/master/SharpExchangeDeserializeShell-NoAuth-Fromzcgonvh.cs代码支持两个位置的反序列化执行，分别为默认存在的文件%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\owa\\auth\\errorFE.aspx和%ExchangeInstallPath%\\FrontEnd\\HttpProxy\\ecp\\auth\\TimeoutLogout.aspx支持的功能同https://github.com/zcgonvh/CVE-2020-0688/保持一致。0x05防御检测在Exchange服务器被入侵后，不仅需要查杀有无可疑的Webshell，同样需要判断web.config中的machineKey是否被修改。0x06小结本文提供了一种从Exchange文件读写权限到命令执行的实现方法，分析利用思路，介绍三种利用脚本的开发细节，给出防御建议。返回搜狐，查看更多责任编辑：声明：该文观点仅代表作者本人，搜狐号系信息发布平台，搜狐仅提供信息存储空间服务。阅读()大家都在看推荐阅读免费获取今日搜狐热点6秒后进入搜狐首页今日推荐进入搜狐首页意见反馈

做上本站友情链接,在您站上点击一次,即可自动秒收录并自动排在本站第一位！
<a href="https://www.99ika.cn/" target="_blank">自动秒收录</a>