记某次HVV：通过sql注入打入内网

## **前言：**

我在做hvv管理的时候遇到了这个问题。这里我以射击场作为演示，给大家提供一个sqlmap注入后查找网站绝对路径的思路。

## **文本：**

前提条件：sqlmap注入可以使用os-shell并且有DBA权限。

### **01** **os-shell查找网站的绝对路径** fsutil fsinfo drivers //先查看系统有哪些磁盘

这里可以找到一张图片，然后使用find命令找到它的路径（这里我选择查找网站的背景图片）。

目录/a /s /b C:\| findstr \'loginbg.jpg\' 111.txt //在C盘查找loginbg.jpg输入111.txt，返回空，说明网站根目录不在C盘

目录/a /s /b D:\| findstr \'loginbg.jpg\' 111.txt //在D盘查找loginbg.jpg类型111.txt。目录猜测是1和2成功找到。我选择写入D:\xxx\Content\image目录

### **02** **os-shell写入Ice Scorpion不杀马** 1、Base64对Ice Scorpion webshell进行加密，分成4段进行传输。

2、解密冰蝎马certutil -decode D:\xxx\Content\images\Test.txt D:\xxx\Content\images\text2.aspx //第一个路径是写入webshell的txt的绝对路径，第二个路径是生成冰蝎马的路径（必须在网站的绝对路径下）。我之前解密过一次，所以提示文件存在。

3.访问webshell，Bingscorpion成功写入网站

4.连接webshell

### **03** **内网** 之后，通过游戏获得在线CS，不杀马是一件简单的事情。

扫描内网段，发现了nacos。密码很弱。我直接读取数据库密码并连接数据库。

好家伙，内网还有海康威视文件上传、传马、在线CS。

转载自freebuf：[https://www.freebuf.com/articles/web/390081.html](https://www.freebuf.com/articles/web/390081.html) 作者：轩智安全实验室