CTF实践 靶机渗透

1.实验目的和要求

实验目的：通过对目标靶机的渗透过程，了解CTF竞赛模式，理解CTF涵盖的知识范围，如MISC、PPC、WEB等，通过实践，加强团队协作能力，掌握初步CTF实战能力及信息收集能力。熟悉网络扫描、探测HTTP web服务、目录枚举、提权、图像信息提取、密码破解等相关工具的使用。

系统环境：Kali Linux 2、WebDeveloper靶机来源：Vulnerable By Design ~ VulnHub

实验工具：不限

2.实验步骤

实验步骤和内容：

目的：获取靶机Web Developer 文件/root/flag.txt中flag。

基本思路：本网段IP地址存活扫描(netdiscover)；网络扫描(Nmap)；浏览HTTP 服务；网站目录枚举(Dirb)；发现数据包文件 “cap”；分析 “cap” 文件，找到网站管理后台账号密码；插件利用（有漏洞）；利用漏洞获得服务器账号密码；SSH 远程登录服务器；tcpdump另类应用。

实施细节如下：

1.发现目标，找到WebDeveloper的IP地址。

        扫描本网段IP，确认目标IP地址：192.168.88.132

 

2.利用NMAP扫描目标主机，发现目标主机端口开放、服务情况，截图并说明目标提供的服务有哪些？

 

        80端口是为HTTP（HyperText Transport Protocol，超文本传输协议）开放的，这是上网冲浪使用最多的协议，主要用于在WWW（World Wide Web，万维网）服务上传输信息的协议。

        22端口就是ssh应用端口，加密的远程登录，文件传输

3.若目标主机提供了HTTP服务，尝试利用浏览器访问目标网站。截图。是否有可用信息？

        发现目标网站是使用wordpress搭建的，可以利用wordpress的有关漏洞

 

4.利用whatweb探测目标网站使用的CMS模板。截图。分析使用的CMS是什么？

 

 

5.搜索wpscan，简要说明其功能。

        WPScan是一个扫描 WordPress 漏洞的黑盒子扫描器，它可以为所有 Web 开发人员扫描 WordPress 漏洞并在他们开发前找到并解决问题。我们还使用了 Nikto ，它是一款非常棒的Web 服务器评估工具，我们认为这个工具应该成为所有针对 WordPress网站进行的渗透测试的一部分。

        WPScan是Kali Linux默认自带的一款漏洞扫描工具，它采用Ruby编写，能够扫描WordPress网站中的多种安全漏洞，其中包括WordPress本身的漏洞、插件漏洞和主题漏洞。最新版本WPScan的数据库中包含超过18000种插件漏洞和2600种主题漏洞，并且支持最新版本的WordPress。值得注意的是，它不仅能够扫描类似robots.txt这样的敏感文件，而且还能够检测当前已启用的插件和其他功能。该扫描器可以实现获取站点用户名，获取安装的所有插件、主题，以及存在漏洞的插件、主题，并提供漏洞信息。同时还可以实现对未加防护的Wordpress站点暴力破解用户名密码。

6.使用 Dirb 爆破网站目录。（Dirb 是一个专门用于爆破目录的工具，在 Kali 中默认已经安装，类似工具还有国外的patator，dirsearch，DirBuster， 国内的御剑）截图。找到一个似乎和网络流量有关的目录（路径）。

7.浏览器访问该目录（路径），发现一个cap文件。截图。

        访问上一步找到的目录，含有“ipdata”的目录

 

8.利用Wireshark分析该数据包，分析TCP数据流。找到什么有用的信息？截图。

        下载上一步的“analyze.cap”，用wireshark打开，过滤数据包，得到账号、密码

 

9.利用上一步得到的信息进入网站后台。截图。（网站管理员账号与操作系统账号是不同概念）

        进入http://192.168.88.132/wp-admin/，输入刚才得到的账号密码，登录成功

10.利用该CMS存在的（插件Plugin）漏洞。

11.利用MeterSploit插件+reflex gallery插件漏洞实现。安装reflex gallery插件。利用该插件可能存在的漏洞。建立会话后，查看wp-config.php获得账号及口令。

        ①上传插件并激活插件

在网站后台左侧菜单栏，选择Plugins,添加插件

 

        “Plugin activated”表示插件已激活

       

         ②使用MetasSploit

 启动metasploiot     msfconsole

搜索可用漏洞         search reflexgallery

利用漏洞                 use exploit/unix/webapp/wp_reflexgallery_file_upload

设置远程用户         set rhosts

运行                          exploit 

 

      可以在metasploit打开了一个session，表明成功建立对话

        列出网站目录

 

查看配置，发现系统账户

12.SSH登录服务器

尝试利用上一步获得的访问数据库的用户名和密码连接远程服务器。截图。

  成功登入

        尝试查看/root/flag.txt

        均无法查看。

13. 使用tcpdump执行任意命令（当tcpdump捕获到数据包后会执行指定的命令。）

         查看当前身份可执行的命令，发现可以root权限执行tcpdump命令

创建攻击文件

touch /tmp/exploit1

写入shellcode

echo 'cat /root/flag.txt' > /tmp/exploit

赋予可执行权限

chmod +x /tmp/exploit

利用tcpdump执行任意命令

sudo tcpdump -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/exploit -Z root

        执行，获得flag

tcpdump命令详解：

-i eth0 从指定网卡捕获数据包

-w /dev/null 将捕获到的数据包输出到空设备（不输出数据包结果）

-z [command] 运行指定的命令

-Z [user] 指定用户执行命令

-G [rotate_seconds] 每rotate_seconds秒一次的频率执行-w指定的转储

-W [num] 指定抓包数量

实验小结

首先扫描本网段存活IP，确认目标IP地址。这里我使用nmap本网段IP地址，确认目标的IP为192.168.88.132；后续进一步发现目标主机端口开放、服务情况，利用nmap扫描目标主机，目标主机开放了22端口和80端口，提供了HTTP和SSH服务；目标主机提供了HTTP服务，尝试利用浏览器访问目标网站。浏览时发现，目标网站是使用wordpress搭建的，可以利用wordpress的有关漏洞，如插件漏洞。

使用 Dirb 爆破网站目录。找到一个似乎和网络流量有关的目录(路径)，http://192.168,.88.132/ipdata/,浏览，发现“analyze.cap”数据包，下载下来；利用Wireshark分析该数据包，TCP数据流。分析时，找到了网站管理后台账号密码。

利用上一步得到的信息进入网站后台。进入http://192.168.88.132/wp-admin/登录界面，输入刚才得到的账号密码，登录成功。利用该CMS存在的插件漏洞。以网站管理员上传有漏洞的插件(reflex gallery)，并激活插件。

利用该插件漏洞提权，需要使用MetasSploit对该插件的漏洞进行利用。和目标建立会话后， 进入/var/www/html/目录看到了一个wp-config.php文件，查看wp-config.php，获得了账号和口令。

尝试SSH远程登录服务器。尝试利用上一步获得的访问数据库的用户名和密码连接远程服务器。可以成功登入。尝试查看/root/flag.txt，无法查看。此时查询当前有什么可以执行的命令，发现可以以ROOT权限执行tcpdump命令。

使用tcpdump执行任意命令(当tcpdump捕获到数据包后会执行指定的命令)。创建攻击文件touch /tmp/exploit1 ;写入shellcodeecho 'cat /root/flag.txt' > /tmp/exploit ;赋予可执行权限chmod +x /tmp/exploit ;利用tcpdump执行任意命令sudo tcpdump -i eth0 -w /dev/null -W 1 -G 1 -z /tmp/exploit -Z root ;运行后得到flag。