攻防演练中 DTcms 代码审计与密码解密实战

在一次授权攻防演练中，通过 MSSQL 注入获取管理员哈希值后尝试破解失败。随后利用堆叠注入插入账号成功 GetShell，并进一步对目标系统 DTcms 进行代码审计。通过分析 .NET 源码中的 DESEncrypt 类，还原了加解密逻辑，编写 C# 脚本成功解密出明文密码，验证了代码审计在安全测试中的重要性。

月亮邮递员发布于 2025/2/70 浏览

攻防演练中的代码审计实战

第一天：注入与哈希获取

在一次授权的攻防项目中，我们在渗透过程中发现目标存在 MSSQL 注入漏洞，通过注入获取了管理员的账号和密码哈希。

当时我们尝试对拿到的数据进行解密（天真地认为可以直接解密并 GetShell）。由于是攻防演练，报告提交越早分数越高，何况还是 GetShell。

erui/E7B8D79CB1F8267E98411A1081B75FBD
admin/154A70BBAD1377B256671E16CAF430ED
lchh/262BA2BFC886B171B5488CA6E9F25BB8

结果发现根本解不出。后来发现原来是加盐 MD5，想着先把盐值找到或许能有一线突破。最终找到的盐值和账号对应如下：

erui/E7B8D79CB1F8267E98411A1081B75FBD/24V0XZ
admin/154A70BBAD1377B256671E16CAF430ED/42V8XZ
lchh/262BA2BFC886B171B5488CA6E9F25BB8/J6ZT84

当时我们在这里卡了半天，甚至去网上搜索加盐 MD5 的破解方法，后面发现根本解不出来。

第二天：堆叠注入与 GetShell

那一晚我们一夜未眠，想了各种法子去解密，网上各种办法、脚本都试了一遍，发现完全不行。突然想到在上一次的攻防演练中，也是 MSSQL 注入，当时可以通过堆叠注入自己插入一条数据。于是开始整理思路：

思路一

通过堆叠注入插入一条数据，直接登录（但要自己找到一条加盐 MD5）。搭建这个 CMS，自己创建一个管理员账号，然后插入进去。

思路二

找到对应的 CMS 或网站源码，进行代码审计，试图找到加密流程或其他有用信息。

尝试思路

通过 MSSQL 注入的报错信息可以判断为 DTcms。在 GitHub 上搜罗了一番，找到了其源码。首先想到的搭建起来这个 CMS，由于对 .NET 环境不熟悉，加上搭建后各种报错，继续信息收集。发现源代码下面有个 SQL 文件，进去搜索找到一条加密的数据，并且前期信息收集到 DTcms 的默认密码是 admin888。于是开始行动全局搜索 salt。

INSERT [dbo].[dt_manager] ([id], [role_id], [role_type], [user_name], [password], [salt], [avatar], [real_name], [telephone], [email], [is_audit], [is_lock], [add_time]) VALUES (1, 1, 1, N'admin', N'87FA6AD6CBFDF3108E4DD6F47F5D04A4', N'24V0XZ', N'', N'超级管理员', N'13800138000', N'[email protected]', 0, 0, CAST(0x0000A73C00E1AC44 AS DateTime))
SET IDENTITY_INSERT [dt_manager] OFF

插入 Payload 如下：

https://url?id=; dt_manager(role_id,role_type,father_id,user_name,password,salt,is_lock) (,,,,,,);

相关免费在线工具

加密/解密文本

使用加密算法（如AES、TripleDES、Rabbit或RC4）加密和解密文本明文。在线工具，加密/解密文本在线工具，online

Base64 字符串编码/解码

将字符串编码和解码为其 Base64 格式表示形式即可。在线工具，Base64 字符串编码/解码在线工具，online

Base64 文件转换器

将字符串、文件或图像转换为其 Base64 表示形式。在线工具，Base64 文件转换器在线工具，online

Markdown转HTML

将 Markdown（GFM）转为 HTML 片段，浏览器内 marked 解析；与 HTML转Markdown 互为补充。在线工具，Markdown转HTML在线工具，online

HTML转Markdown

将 HTML 片段转为 GitHub Flavored Markdown，支持标题、列表、链接、代码块与表格等；浏览器内处理，可链接预填。在线工具，HTML转Markdown在线工具，online

JSON 压缩

通过删除不必要的空白来缩小和压缩JSON。在线工具，JSON 压缩在线工具，online

using System; using System.Security.Cryptography; using System.Text; namespace DTcms.Common { /// <summary> /// DES 加密/解密类。 /// </summary> public class DESEncrypt { #region ========加密======== /// <summary> /// 加密 /// </summary> /// <param name="Text"></param> /// <returns></returns> public static string Encrypt(string Text) { return Encrypt(Text, "DTcms"); } /// <summary> /// 加密数据 /// </summary> /// <param name="Text"></param> /// <param name="sKey"></param> /// <returns></returns> public static string Encrypt(string Text, string sKey) { DESCryptoServiceProvider des = new DESCryptoServiceProvider(); byte[] inputByteArray; inputByteArray = Encoding.Default.GetBytes(Text); des.Key = ASCIIEncoding.ASCII.GetBytes(System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(0, 8)); des.IV = ASCIIEncoding.ASCII.GetBytes(System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(0, 8)); System.IO.MemoryStream ms = new System.IO.MemoryStream(); CryptoStream cs = new CryptoStream(ms, des.CreateEncryptor(), CryptoStreamMode.Write); cs.Write(inputByteArray, 0, inputByteArray.Length); cs.FlushFinalBlock(); StringBuilder ret = new StringBuilder(); foreach (byte b in ms.ToArray()) { ret.AppendFormat("{0:X2}", b); } return ret.ToString(); } #endregion #region ========解密======== /// <summary> /// 解密 /// </summary> /// <param name="Text"></param> /// <returns></returns> public static string Decrypt(string Text) { return Decrypt(Text, "DTcms"); } /// <summary> /// 解密数据 /// </summary> /// <param name="Text"></param> /// <param name="sKey"></param> /// <returns></returns> public static string Decrypt(string Text, string sKey) { DESCryptoServiceProvider des = new DESCryptoServiceProvider(); int len; len = Text.Length / 2; byte[] inputByteArray = new byte[len]; int x, i; for (x = 0; x < len; x++) { i = Convert.ToInt32(Text.Substring(x * 2, 2), 16); inputByteArray[x] = (byte)i; } des.Key = ASCIIEncoding.ASCII.GetBytes(System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(0, 8)); des.IV = ASCIIEncoding.ASCII.GetBytes(System.Web.Security.FormsAuthentication.HashPasswordForStoringInConfigFile(sKey, "md5").Substring(0, 8)); System.IO.MemoryStream ms = new System.IO.MemoryStream(); CryptoStream cs = new CryptoStream(ms, des.CreateDecryptor(), CryptoStreamMode.Write); cs.Write(inputByteArray, 0, inputByteArray.Length); cs.FlushFinalBlock(); return Encoding.Default.GetString(ms.ToArray()); } #endregion } }

攻防演练中 DTcms 代码审计与密码解密实战

攻防演练中的代码审计实战

第一天：注入与哈希获取

第二天：堆叠注入与 GetShell

思路一

思路二

尝试思路

更多推荐文章

相关免费在线工具

第三天：代码审计与密码解密

.NET 基本知识

目前已有的数据

代码审计

源码分析

解密 Payload

总结

攻防演练中 DTcms 代码审计与密码解密实战

攻防演练中的代码审计实战

第一天：注入与哈希获取

第二天：堆叠注入与 GetShell

思路一

思路二

尝试思路

微信扫一扫，关注极客日志

更多推荐文章

相关免费在线工具

第三天：代码审计与密码解密

.NET 基本知识

目前已有的数据

代码审计

源码分析

解密 Payload

总结