第99篇：记一次红队攻防中.Net代码审计与防守方的对抗过程

Part1 前言

大家好，我是ABC_123。最近在复习整理之前自己审过的一些代码，找到了几年前红队评估项目中审计的一个.Net代码的案例，我平时很少看.NET的代码，于是就拿出代码重新学习总结了一下，整个审计过程比较简单。

**建议大家把公众号“希潭实验室”设为星标，否则可能就看不到啦！**因为公众号现在只对常读和星标的公众号才能展示大图推送。操作方法：点击右上角的【...】，然后点击【设为星标】即可。

Part2 研究过程

大致过程如下：目标网站的资产存在一个XXX系统，通过信息收集找到了该系统的供应商。对供应商官网的子域名进行了收集，其中一个子域名搭建的这套系统的测试站点。经过目录扫描，测试站点存在一个网站的备份文件可以直接下载，于是得到了该系统的源代码。

反编译工具的使用

可选择的.NET反编译工具主要有四个：dnSpy（于2020年左右停止更新）、ILSpy、dotPeek（JetBrains发布）、dnSpyx（非官方更新版）。选择一个自己用的顺手的反编译工具对*.Web.dll文件进行反编译，并导出所有反编译后的代码。我也将反编译结果对比了一下，以下是dnSpyx的反编译结果：

以下是ILSpy的反编译结果：

以下是dotpeek的反编译结果：

审计上传漏洞

将反编译的代码导入Rider64（IntelliJ IDEA公司出品的），使用IDE进行代码审计、搜索关键字更方便一些。全局搜索”上传”关键字，挨个查看有可能实现了上传功能的.Net类。

最终发现了如下代码，有可能存在上传漏洞，**[HttpPost]**提示该请求只支持POST请求形式：

构造上传数据包如下，最终通过**; filename;;;;** 的方式结合**.cer**扩展名绕过了WAF。

禁止脚本执行问题解决

等到第二天起来的时候，访问webshell发现提示“HTTP 错误403.1 - Forbidden”，该目录不允许运行可执行文件，也就意味着webshell在当前目录无法执行。经过判断，猜测蓝队防守方做了加固，在webshell所在文件夹下放置了web.config文件，更改了默认配置，使脚本在当前目录下不能执行。

接下来想了解决办法，我们可以找一处任意文件删除漏洞，将web.config文件删掉，从而使web.config文件失去作用，使Webshell可以继续执行。搜索delete关键字挨个查看，找到了一处任意文件删除漏洞，关键代码是System.IO.File.Delete(path)，[HttpPost]提示该请求只支持POST形式：