渗透测试实战：BC推广平台入侵分析

目标概述

本次渗透测试针对一个博彩（BC）推广平台，主站无直接入口，攻击者选择其推广平台作为突破口。

信息收集阶段

1. 目录扫描

• 使用在线接口快速扫描：https://scan.top15.cn/web/infoleak
• 扫描结果分析：
  • config.inc.php：大小为0B，可能是数据库配置文件但无内容
  • upload目录：返回403状态码
  • /index.php/login/：仅2KB，非真实后台

2. 端口扫描

• 仅发现一个Web服务端口，无其他开放服务

漏洞发现与利用

SQL注入漏洞

1. 漏洞位置：网站查询功能存在SQL注入
2. Payload构造：

   account=1') and (extractvalue(1,concat(0x7e,(select database()),0x7e)))--('
   

3. 踩坑经验：
   • 初始payload使用--+注释失败
   • 发现系统会追加')，需相应调整闭合方式

SQLMap高级用法

1. 特殊参数配置：

   python2 sqlmap.py -r 1.txt --prefix "')" --suffix "--('" --level 3 --tamper=space2plus --skip-urlencode
   

2. 参数说明：

   • --prefix和--suffix：处理特殊闭合情况
   • --skip-urlencode：防止空格被URL编码导致payload失效

3. 获取信息：

   • 数据库名称
   • 高权限账户凭证（priv非NULL）

权限提升尝试

1. 直接获取Shell

• 尝试--os-shell失败
• 尝试--hex编码写入失败
• 尝试--sql-shell堆叠查询写入失败

2. 文件写入尝试

select 1 into outfile 'D:/wwwroot/wnshd.com_22fqiz/web/1.txt'

• 写入失败，防护系统拦截

3. 备用方案

• 收集后台账号密码
• 寻找后台入口

突破路径

1. 目录发现

• 通过报错信息发现隐藏目录：wolsoowpppps
• 目录结构：
  • /web/wolsoowpppps：403
  • /wolsoowpppps/admin：无内容
  • /wolsoowpppps/login：无内容

2. 最终突破

• 通过fuzzing发现/web/temp.php：存在Webshell
• 爆破Webshell密码成功
• 上传中国蚁剑连接成功

系统环境分析

1. 防护系统

• 火绒杀毒软件
• 护卫神主机安全系统
• 安全狗防护

2. 限制条件

• 仅D盘有查看修改权限
• exe文件无法执行
• 常见提权方法失效：
  • MS系列漏洞利用失败
  • 土豆家族工具无法上传
  • IIS提权失败
  • CS的dll和Mshta执行卡死

攻击者推测的入侵路径

1. SQL注入起手
2. 发现XSS漏洞（客服系统已下线导致无法利用）
3. 找到后台入口
4. 利用ThinkPHP 3.2.3缓存getshell漏洞
5. 上传Webshell

技术要点总结

1. SQL注入技巧：

   • 注意payload闭合方式
   • 报错注入中extractvalue函数的使用
   • SQLMap特殊场景参数配置

2. 目录发现：

   • 重视报错信息中的路径提示
   • 结合fuzzing技术发现隐藏目录

3. 绕过防护：

   • 护卫神主要防护ASP，可尝试冰蝎马
   • 多种文件写入方式尝试

4. 提权限制：

   • 了解不同防护系统的特点
   • 在有限权限下寻找突破口

防御建议

1. 针对SQL注入：

   • 使用参数化查询
   • 最小权限原则配置数据库账户

2. 目录安全：

   • 限制目录列表
   • 隐藏敏感路径

3. 文件上传：

   • 严格校验上传文件类型
   • 设置不可执行权限

4. 系统防护：

   • 多层面防护系统组合
   • 定期更新防护规则

5. 错误处理：

   • 自定义错误页面
   • 避免泄露系统路径信息

后续研究方向

1. ThinkPHP 3.2.3缓存getshell漏洞利用
2. 护卫神防护系统绕过技术
3. 受限环境下的提权方法
4. Webshell的隐藏与检测技术