我是如何进入"外挂"软件的服务器

并不是真的外挂软件，是套了个壳的浏览器。

背景

我们公司开发了一个某档案系统，名字就不说了，下面简称档案系统，随后出现了一款助手软件，由易语言开发，内置一个浏览器用于通过webview加载我们档案系统，通过内置webview执行JS代码，往档案系统的页面中添加按钮和很多额外功能，就像浏览器油猴脚本插件。

其实这也没什么，但是助手添加了一个批量导出的功能，通过连续不断的调用查询接口，将所有数据全部查询出来导出Excel，本来系统查询压力就很大，这样系统压力就更大了，而且助手这款软件用的人还不少，用户就来抱怨说系统卡。关键在于，有一个列表查询接口，返回身份证号是脱敏的，查看详情接口的身份证号是不脱敏的。这个助手软件会先查询列表接口，然后依次调用查询详情接口将脱敏的身份证号反脱敏，做成批量导出功能，然而这个功能是上面明确不允许的，基层又存在需求。

这是个老系统，由jsp开发，网络请求使用ajax，尽管接口做了加密，也做了JS混淆，但毕竟不是SPA，只要查找一些关键字就非常容易破解。

分析助手

数据抓包

不会逆向就先抓包看看网络请求。

使用了Proxifier和Fiddler进行抓包，但是Fiddler只能抓取到HTTP请求，日志中能看到对方请求了档案系统的接口以及一个ip查询的接口，从请求上看，助手软件发送的请求确实是加密过的。

但是当登录之后，软件居然提示该电脑已被停用，使用其他电脑登录则没有问题。

但是Fiddler并没有抓到任何相关的接口，因此判断使用了其他协议。

那就用wireshark来抓包看看，发现一个令人震惊的事实，助手软件居然是直连SQL Server数据库的。

看数据包能看到甚至上传了档案系统的用户名和密码，甚至还有用户的桌面文件。

想抓用户名和密码，但是解密不出来，试了好久放弃了。

突破口

用notepad++打开了助手软件，只是随便试试没报太大希望，却获得了意外的收获。

notepad++读取到了程序中的部分字符串显示了出来，能看到一些SQL语句在里面，在里面找到了SQLServer的连接地址以及账号密码。

SQL Server数据库

通过notepad++中找到的连接地址和账号密码，很轻松就登录进去了。

查看数据库，全都是中文名，数据库中保存了系统的账号密码还有登录用户的桌面文件。

其中有张黑名单表，把当前电脑的MAC地址记录删除就不会提示电脑被禁用了。

突破口-上传文件

其实这里才是重点。

助手软件本身拥有更新功能，那么自然也会有查询更新的接口和下载地址，也就是说有自己的服务器。

通过notepad++打开查看exe文件，找到一个php的上传文件接口， http://***.vip/scwj/doAction.php。

直接打开是打不开的，于是试着打开了 http://***.vip/scwj/， 打开了，是一个上传的前端页面，虽然写着限制mdb类型，但是实际任何文件都可以上传。

于是几年前很流行的一句话木马（不知道现在流不流行）可以试着发挥下作用了。

上传上去还很贴心的返回了路径。

上传成功，用菜刀顺利连接。

不过只能查看、上传和下载文件，部分目录没权限，最重要的是不能执行命令。

宝塔面板

登录宝塔面板

通过菜刀查看文件，发现有宝塔的目录，有权限可以访问。

默认的安全入口文件、数据库、默认密码，都有。

把default.db下载下来看数据库，用户名也有了。

用账号和默认的密码成功登录了宝塔，看最新的日志还是2021年1月，估计很久没用宝塔了。

接下来就是想办法拿到远程的密码了。

登录远程桌面

尽管宝塔没有直接类似于Linux宝塔上终端的功能，但可以借助定时任务去执行命令，添加定时任务后可以编辑和执行。

net user 账号名 密码 /add
net localgroup administrators 账户名 /add

成功添加了一个admin的管理员账号，使用远程桌面连接也没问题。

图是后来补的，所以桌面有文件夹。

提取Administrator密码

虽说创建了一个管理员账号，可以直接修改Administrator的密码，不过为了不打草惊蛇，想办法获取密码才是上策。

参照了这篇文章，https://cloud.tencent.com/developer/article/1885720

没直接出明文密码，只得到了NTLM密文。

上cmd5一查，居然能查出来，中奖了。

淘宝解决，再用Administrator账号连接，成功连接了。