介绍
Sniper是一个中等难度的靶机,知识点涉及本地文件包含利用、远程文件包含利用、凭证制作、恶意chm文件利用等。
侦查
端口探测
首先使用 nmap 进行端口扫描
nmap -Pn -p- -sV -sC -A 10.10.10.151 -oA nmap_Sniper
80端口
访问后发现是一家名为 Sniper Co. 的公司,主要业务是快递
点击Our servers会跳转至/blog/index.php,点击User Portal会跳转至/user/login.php登陆界面
目录扫描
使用 gobuster 进行目录扫描
gobuster dir -u http://10.10.10.151 -w /usr/share/wordlists/dirbuster/directory-list-2.3-small.txt -x php
blog
在博客中存在语言下拉框,分别是
http://10.10.10.151/blog/?lang=blog-en.php
http://10.10.10.151/blog/?lang=blog-es.php
http://10.10.10.151/blog/?lang=blog-fr.php
三种语言界面都在同一个目录中,可以判断它是通过 php 代码include $_GET[‘lang’]对其进行包含,如果过滤不严谨的话则可能存在文件包含漏洞
user\
在登陆界面下面有一个注册界面,尝试注册账户
使用新注册的账户 admin/admin 登陆其中
上线[iusr]
验证文件包含
本地文件包含
首先尝试读取上次目录的index.php
显示无法读取,但是使用绝对路径\windows\win.ini则能够读取成功
远程文件包含
使用 smbserver 在本地开启 smb 服务,并在该目录下放置一个文本文件mac.txt,内容为mac is good,
python3 smbserver.py -smb2support mac ~/hackthebox/Machines/Sniper/
尝试请求远程文件地址:\10.10.14.7\mac\mac.txt