对JSP网站的一次曲折渗透测试与提权

       本次项目是公司的大客户，客户和公司领导也重视渗透测试结果，有本次安全测试经验。因为已经是生产环境的系统，而且以前也进行过渗透测试，所以最初的报告中发现的漏洞基本上是xss或者弱密码，但是为了购买产品的顾客而使用的测试系统，结果不太理想。现在，第二份报告抱着不成功就离开的心情，tryagain。

我的一句话木马会不会发文件？这次在测试过程中发现了地址，默认情况下使用http访问，但是使用https访问会出现以下页面，说明有WEB业务系统。更换其他页面会出现错误页面提示的是apachetomcat，因此通过访问/manager/html找到管理登录地址，弱密码登录。通常的操作上传war配置shell，这里使用的哥斯拉生成的jsp版webshell。上去之后意外的是administrator的权限，但上传后门时发现exp被删除了。使用哥斯拉上传免杀cs后门发现上传不成功，体积稍大就不行。虽然生成了许多不同种类的后门，但无论如何压缩，体积仍然很大。因此，委托团队的大男子写了自动下载文件的脚本，共计140多kb，上传成功。这样，让目标主机直接下载vps上的后门。下载后直接在线。

扫描网络，东西还很多，目测应该包括很多这次测试目标的服务器。用mimikatz读hash不成功，谁也无法随便成功。即使对方是你的肉鸡。当时我的心在想，我是假管理员吗？此时，我们将尝试添加用户，因为服务器打开了3389，添加用户后将端口映射出来。但是还有360，无法直接追加。因此，让同事用frp代理，直接连接到服务器内部网络。如果这个台不顺利的话，可以先扩大战果，取得一些权限。然后发现扫描速度太慢，暂时放弃。继续想办法增加用户。此时，万能的团队和朋友圈在线，长期找到一些可以原谅360用户的exp，在当地进行了测试。

然后涛哥告诉我，不要在你的电脑里跑。Windows10可能有限制。请直接放在服务器上运行。说干就干，不得不说多动手。因此，发生了以下情况，所以提高权利吧。好像只能去system试试，传统的exp只能在360之前订购。所以，长时间免除exp。在此感谢冷哥提供的免杀。