看我如何从外网直接拿下内网靶标

2020-11-29 本文已影响0人 CanMeng

1.拿到目标制定策略进行信息收集

某地攻防演练拿到演习目标后，进行了一波常规信息收集，打了一个靶标。

发现靶标分数有点高还是打靶标来得快，于是对所有靶标进行分析。但是大部分靶标都给的是内网地址，

观察了一下收集的所有目标ip发现基本上存在于xx.xx.98.x-xx.xx.106.x这个范围

3.任意文件上传结合目录浏览轻松拿下靶标

.NET审计还得看远海，源码发给远海过了一会远海就审出一个RCE，具体过程如下

通过代码审计发现一处文件上传

主要在xxx/UploadPic.aspx下

代码大致如下:

很多人看到第97行出现了png jpg等字符就会认为是白名单效验，其实不然。大部分文件上传操作还是会存在一些小小的瑕疵的。

例如

stringtext=base.Server.MapPath("~/UpPic/xxxPic/");

定义了文件的存储目录

if(base.Request["id"]!=null&&base.Request["id"].ToString()=="1")

当接收参数id的值等于1时。进入if条件语句：

string[]array=files[0].ContentType.Split(newchar[]{'/'});stringarg=array[1].Equals("jpeg",StringComparison.CurrentCultureIgnoreCase)?"":array[1];stringtext2=HttpUtility.UrlEncode(HttpContext.Current.Request["name"],Encoding.GetEncoding("GB2312"));string[]array2=newstring[]{"jpg","png","gif","bmp"};

其中，第5行进行了Content-Type 的效验，如果上传的Content-Type以/分割后的第一个值不为jpeg。那么arg的值为false。

第6行接收一个参数name。值赋值给text2

第7行定义了一个数组。为允许上传的文件类型。

主要问题在于下方：

for(inti=0;i<array2.Length;i++){intnum=text2.ToString().Substring(text2.Length-3,3).IndexOf(array2[i]);if(num>-1){text2=array2[i];}}

将array2的内容进行循环判断。如果text2后三位的值中存在array的某个值。

那么 num 为0 ，进入if语句。 text2被重写为后辍。

这里有个问题就是只有存在的时候才进行重写。不存在就不重写。也就是说我传入的name为text.aspx。那么也不会进行任何改变。

最终文件存储操作是在143行。