Vulnhub_Ganana靶机渗透测试

Ganana靶机

信息收集

1. nmap扫描靶机有22 80 443 6777端口，其中22端口是关闭的

2. 使用全扫描发现6777端口就是ftp服务

3. 进行目录扫描得到很多内容，包括wordpress和PhpMyAdmin，wordpress的后台地址隐藏在了secret目录下

web渗透

1. dirsearch扫描得到的其他目录没有可利用和隐藏的信息了

2. 使用dirb再次扫描得到了tasks目录

3. 访问后发现管理员给jarret创建类临时的账号密码存放在pcapng文件下，该文件是一个流量包

4. 此处可以使用gobuster工具扫描pcapng后缀文件，但尝试用户名就为文件名成功下载了该流量包

wirshark检索流量包

1. 使用wirshark打开流量包，只查看http协议，一般http协议里面传输的内容才是需要的，因为提示了流量包中隐藏了账号密码，所以全局搜索pass字符串，成功检索到一个可疑的数据信息，有着用户名和密码

2. 再根据流量包的pwd为根据，搜索pwd字符串，得到了好几个都带有密码的数据包，其中用户都是一样的

3. 根据流量包产生的url地址猜测，这是登录wordpress后台的账密，经过测试得到了成功登录wordpress后台的密码的数据包

ftp渗透

1. 尝试使用账密登录后台发现，该用户不是管理员账户，所以没办法进行getshell操作

2. 登录PhpMyAdmin失败，但是成功登录到了ftp服务

3. 执行命令提示ebtering extended passive mode，这个问题之前遇到过，只需要输入passive off即可解决命令回显问题

4. 将可疑的.backups下载下来，进行base64解密发现，是一个用户的哈希密码，很像是shadow文件中的格式

5. 先使用john将其密码破解出来，留到获得靶机shell后切换用户

6. 发现该用户可以实现目录穿越，可以切换到任意目录，这里想到了可以查看网站配置文件，查看里面的数据库登录账密，PhpMyAdmin肯定有保存wordpress后台的账户和密码。22端口关闭，只有使用管理员登陆到wordpress后台进行getshell了

7. 发现/var目录下并没有www目录，了解后直到，网站目录还有另外一种默认情况，会放在opt目录下

8. 经过对目录的查看，发现wordpress目录存放在apps目录下，前去htdocs目录下将配置文件下载下来

PhpMyAdmin利用

1. 在配置文件中查看到数据库的登录账户和密码

2. 使用账密成功登陆到了PhpMyAdmin后台，查看数据库中表，发现了wp_users，查看表数据发现了另外一个用户信息

3. 发现密码是经过hash加密的，可以使用john破解，但也可以直接修改密码，将已知的密码hash加密后替换改密码即可，当然jarretlee用户的密码是已经知道的

wordpress后台getshell

1. 使用新得到的账密再次登录wp的后台，发现是管理员权限

2. 又是熟悉的wordpress后台getshell，来到404.php界面，加入反弹shell命令，进行更新上传

3. 访问一个不存在的目录，成功得到了shell

权限提升

1. 查看passwd文件后确定了存在jeevan用户，直接切换该用户

2. 发现该用户所属docker组，之前靶机有遇到docker组提权的操作，看来这次靶机的提权操作还是相对简单了不少

3. 搜索相应的提权语句，进行执行，成功得到root的shell

4. 来到root目录下查看flag

靶机总结

1. 该靶机开始前和开始后真属实是一波三折，头都大了

2. vmware打开文件失败，特地下了virtualbox，但有调网络，修改网卡忙碌了一阵，确定网桥可以使得两个不同软件的虚拟机相互ping通

3. 靶机的渗透更是一波三折，确实够难够复杂，目录扫描得到了很多的目录，其实发现每一个都没多少用处，只有secret比较关键

4. 端口扫描得到的6777ftp服务是可以进行匿名登录的，但是登录后发现只有一条欢迎语，可以说是噩梦开始的地方了

5. 破局的关键是使用dirb扫描得到tasks目录，里面提示到了用户名(文件名)和藏着账户密码的pcapng的流量包

6. 因为有打ctf杂项的经验，对于wirshark查找数据包的隐藏信息还是比较在行的，第一步直接全局搜索关键词，得到了包含帐户密码的字段内容，再对齐进行精确搜索得到了几个密码数据包

7. 不是管理员权限的wordpress后台用户是不能进行getshell的

8. 网站文件不仅是只会存放在/var/www目录下，也有默认存放在/var/opt目录下的

9. 数据库中极大可能性保存了网站后台的登录账号和密码，没有思绪，可以尝试获得网站的配置文件，使用里面的数据库连接账号密码登陆到数据库中查找信息

10. wordpress后台getshell和用户所有docker组提权

11. 本次靶机的三个关键点：找到.pcapng流量包文件；使用ftp服务找到网站的配置文件；PhpMyAdmin和wordpress的联系