记录一次pWnOS1(1)，从零开始学数据结构和算法-CSDN博客

本文链接：https://blog.csdn.net/2401_83621384/article/details/138020827

先自我介绍一下，小编浙江大学毕业，去过华为、字节跳动等大厂，目前阿里P7

深知大多数程序员，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年最新网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以添加V获取：vip204888 （备注网络安全）

正文

在这里插入图片描述

第二步：web渗透

80端口

可以看出是一个填写表单的东东
在这里插入图片描述
挨个点击访问发现似乎只是拼接,大概就是在后端字符串拼接了一下。并没有有用的信息。同时观察到url的有很多参数，尝试文件包含和和sql注入。在参数中添加’参看有没有变化。
然后name试试sql注入语句’ or 1=1 #（图没截呜呜直接用大佬图了）
在这里插入图片描述

在这里插入图片描述
木有啥变化，回显变成/，单引号做了转移没啥变化了
然后再尝试文件包含我们将参数的值添加…/…/…/…/…/etc/passwd尝试读取passwd文件，很遗憾也没能成功
最后回到填写表单的url中，将url中的concat的参数值添加…/…/…/…/…/etc/passwd，尝试读取passwd文件成功了
在这里插入图片描述
可以读取到passwd文件，再尝试shadow，很遗憾的无法读取

并尝试读取/etc/shadow
发现无法访问

使用curl尝试访问（俺也不知道当时做的时候为啥要用curl可能做的时候怕遗忘啥东西）
curl ‘http://10.10.10.129/index1.php?help=true&connect=…/…/…/…/…/…/…/…/etc/passwd’
curl ‘http://10.10.10.129/index1.php?help=true&connect=…/…/…/…/…/…/…/…/etc/shadow’
在这里插入图片描述
目前80端口得到的信息只有目标靶机的四个用户名以及一些用户权限和shell
往下做去康康nmap脚本扫描出的三个目录

在/php目录中发现一个后台目录

尝试sql,弱口令，最后点击取消。
最后跳转到了一个登录失败的页面，暴露了phpMyAdmin的版本2.6.3-pl1，先记下指不定后面用的上
在这里插入图片描述
80端口的信息收集到此为止

现在去看看10000都有啥信息

10000端口

访问发现是个后台登陆
在这里插入图片描述
尝试弱口令、sql注入，都无法登录，提示登录失败。

回顾在上面nmap扫面结果中有webmin漏洞
在这里插入图片描述

第三步：webmin文件泄露的利用

searchsploit 搜索webmin相关的漏洞

searchsploit webmin

在这里插入图片描述
又到了经典环节咋选
此处借用Bossfrank和红队笔记大佬两大佬选择漏洞思路的思路
————————————————
转载：这部分为CSDN博主「Bossfrank」的原创文章的内容，
原文链接：https://blog.csdn.net/Bossfrank/article/details/131478886

结果搜出了很多，看似眼花缭乱不知所选，其实是有思路的。首先我们要选择的是webmin的漏洞，排除前三条。另外我们尽量不选择Metasploit的利用方式，据红队笔记大佬说，Metasploit好比一个黑盒，我们看不到执行的过程，不利于学习渗透。其次需要认证Authenticated的漏洞我们也不选，因为此时我们都不知道如何登录webmin。CSRF的漏洞优先级较低，也先不考虑。结合之前nmap漏洞脚本扫描的结果，我们应该侧重选择文件泄
露相关的漏洞Arbitary File Disclosure，1997和2017应该都可以，这俩只是编程语言的不一样。我们就选择perl编写的2017.pl吧，吧2017.pl下载下来。
————————————————
这块是自己写的一点小注释

####这么一堆给出的漏洞利用很多没啥用，英文不好的给了注释对着看就知道为啥没有用了####
####正常情况下暴力破解的方式优先级别都比较低####
####工具给出的结果看不懂要善用人工智能工具 列:文心一言、gpt等 ####
Brute Force / Command Execution : 扫描是一种暴力破解方法，用于尝试猜测密码或密钥    优先级低
Directory Traversal（目录遍历）

Webmin 0.9x / Usermin 0.9x/1.0 - Access Session ID Spoofing：这个漏洞允许攻击者伪造用户会话的ID，从而以其他用户的身份进行未授权访问。

Webmin 0.x - 'RPC' Privilege Escalation：Webmin 0.x 中的 'RPC' Privilege Escalation 是一个安全漏洞，允许攻击者提升其在系统上的权限。


Code Input Validation (代码输入验证）

Web Brute Force（Web暴力破解）


Multiple Vulnerabilities( 表示多个漏洞)


Remote Code Execution（远程代码执行）


HTML Email Command Execution（允许攻击者在HTML电子邮件中执行恶意代码）

一顿排除后，目光放到了2017.pl
下载下来

searchsploit -m 2017.pl

searchsploit webmin -m 2017.pl下载文件
查看如何使用 2017.pl ##.pl是Perl源代码文件的默认扩展名##
perl 2017.pl --help

利用格式：Usage: 2017.pl
在这里插入图片描述

目标靶机为http协议所以target为0
选择的target应该是http，即参数0, 根据Example，我们可以尝试读取/etc/passwd文件试试：
perl 2017.pl 10.10.10.130 10000 /etc/passwd 0
读取成功
在这里插入图片描述
再读取/shadow文件
perl 2017.pl 10.10.10.130 10000 /etc/shadow 0

john破解密码

复制这四个用户以及root用户复制到一个文件中，并命名为hash
在这里插入图片描述

使用john进行密码破解。
在vulhub靶机中涉及到密码破解的地方，作者为节约时间通常都使用rockyou字典。实战中密码破解时间与目标密码强度和字典强度有关

john hash --wordlist=/usr/share/wordlists/rockyou.txt

扫描结果出来了在这里插入图片描述
账户vmware 密码h4ckm3

然后就是ssh登录了(g这步又没截图借用大佬的图了)
ssh vmware@10.10.10.130 在这里插入图片描述
ssh登录的时候报错提示说没有匹配的host key
这个问题参考bossfrank大佬的这篇博客
红队打靶：LampSecurity:CTF4打靶思路详解（vulnhub）_lampsecurityctf4-CSDN博客