本文首发于“合天智汇”公众号 作者：pei
1.前言
最近听说用某棋牌产品建的站存在SQL注入，刚好别人发来一个
渗透惯用套路一把梭
信息收集 -> 漏洞探测/利用 -> 提权/权限维持 -> 清理痕迹
2.信息收集
浏览器访问主页初步发现
系统：Windows server 中间件 IIS7.5 语言：ASPX
端口扫描
nmap -sV -T4 -p- 11x.xx.xxx.xx
开放的端口真不少 其中web服务的有几个：80(当前主页)、81、82、88、47001 81：是这个棋牌站的后台 82：也是个后台，不知道是什么系统的后台，有验证码 88/47001：访问失败
1433：数据库 mssql
还开了 139、445 但是被过滤了，不知道是不是有防火墙，后面再看
敏感目录扫描
先用 Dirsearch 过一遍，前面搜集到网站语言是 aspx，加上 -e 指定语言
python dirsearch.py -u http://11x.xx.xxx.xx -e aspx
再用 7kbscan 过一遍，毕竟这里面收集的都是国人常用的字典
/m/ 是用户注册页面，可能有用，先记着
/test.html是调起微信的入口，没啥用，可能是在手机端引导受害者聊天的吧
查IP
北京某个运营商的服务器，菠菜在国内服务器建站挺大胆的
信息整理
估计就是个人建的小站，不去展开收集更过的东西了，免得打偏浪费时间
3.漏洞探测
重点先放在前面找到的 81 端口，也就是网站的后台管理页面
没有验证码，用户名 / 密码随便写个 admin / admin，抓包
用户名加了个引号发送请求直接返回报错了，不出意外应该会有报错注入或者盲注啥的
兵分两路
一路把这个数据包保存到本地 qipai.txt，用 sqlmap 去扫，前面已经知道是 mssql 数据库，加上 --dbms 参数指定数据库类型节约时间
python sqlmap.py -r qipai.txt --dbms "Microsoft SQL Server" --dbs
另一路，把数据包发送到 intruder 模块去爆破密码，尝试了在浏览器随便输入用户名，提示 "用户名不存在"，输入 admin 的时候提示 "用户名或密码错误"，说明 admin 账户是存在的，只爆破密码就行
爆出密码 888999，弱口令，永远滴神！