【渗透日记】一处任意文件下载到Web后台、服务器权限接管

使用的软件：

BurpSuite
ILSpy

前言

此处是一个由任意文件下载导致的代码泄露，由于是一个.Net的Web，我们可以通过任意文件下载获取到bin路径下的动态链接库文件，对其进行反编译拿到代码从而进行审计。

文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！

1、任意文件下载

在某处附件下载位置发现任意文件下载，这个不过多赘述，附带后面找到的代码。

值得一提的是该处不知道是什么问题，程序员将不决定下载目标文件的filename进行了过滤处理，而将真正决定下载目标文件的filepath忽略过滤，值得反思。

实际上在前期的信息收集过程中已知悉，目标主机是IIS + Asp.Net + Mssql的一个结构，我们可以获得web.config后观察连接字符串，扫描目标是防火墙是否对外开放1433端口（mssql默认端口），如果开放的话可以直接连接对其进行提权。具体的mssql提权方式此前文章已有提及。

这里扫描结果关闭的话我们可以换一个思路。通常来说asp.net会将程序集打包为dll文件，放入根目录下的bin文件夹中，然后通过继承（Inherits）来调用函数。

那么我们就可以通过刚刚的任意文件下载获取程dll文件来审计，但是虽然知道在bin目录下，但是具体是哪个文件呢？Aspx需要使用程序集中的代码，需要使用Inherits，可以随便下载一个aspx观察其继承的类来找dll文件名。例如此处随便获取的一个aspx，其Inherits继承自**.**.webs.viewers，那么可以得知其dll名为***。