1.本题是渗透测试入门的一道基础题,虽然美其名曰“真的很简单”,但对于新手还是有一定挑战性的,实践并掌握本题中的所有知识点,对渗透测试的基本理解有很大帮助。
此题的目标是对一个基于织梦 CMS 的网站进行渗透测试,找到网站登录后台,继而入侵服务器找到存放 flag 的文件。从实验手册上,可看出其中还会涉及到简单的提权过程。
题目链接:https://www.ichunqiu.com/battalion?t=2&r=54399
解题链接:https://www.ichunqiu.com/vm/51123/1
本次实验要求获取目标网站的FLAG信息。
2.网站管理员的密码是多少?
第 1 题相对简单,在实验环境内根据提示打开下载链接 http://file.ichunqiu.com/49ba59ab,接着下载爆破工具 dedecms.exe:
打开工具,输入目标 URL,一键爆破得到管理员的账号 ichunqiu 与密码哈希值 adab29e084ff095ce3eb:
对md5加密的密码进行解密
成功得到明文
3.网站后台目录名是什么?
第 2 题上来先尝试织梦 CMS 的默认后台路径 /dede/index.php 或 /dede/login.php,得到 404 的结果也是意料之中,即现在的问题是要找出修改后的后台目录名。
打开实验工具箱,发现【目录扫描】文件夹,以【御剑后台扫描工具】为例,对目标 URL 扫描后得到如下结果:
并未发现后台地址
注意,为了保证扫描效率,一般后台扫描工具都是采用字典扫描,而不是暴力穷举,因此不同扫描器得到的结果不完全相同,尽可能使用多种扫描器,偏僻怪异的名字可能扫描不出来。
笔者采用了多种扫描器,并对其可能的结果进行验证,都一无所获,即可判断此后台目录名具有较强的个性或随机性。
所以要转换思路,看看织梦 CMS 是否存在后台地址信息泄露的漏洞。果不其然,发现从报错文件 /data/mysql_error_trace.inc 或 /data/mysqli_error_trace.inc 中,可得到泄露的后台路径。
最后在 /data/mysqli_error_trace.inc 中获得后台目录名为 lichunqiul:
对其进行验证,终于看到了后台登录页面:
4.管理员桌面中 flag 文件信息是?
用账号 ichunqiu
与密码 only_system
登录后台后,根据实验手册,要想办法利用中国菜刀连接服务器,获得 webshell,进而查看 flag 文件中的信息。
获取 webshell
首先我们需要在服务器插入一句话木马,然后才能用菜刀连接,获得 webshell。
直接修改模板 PHP 源码
依次点击 模板 -> 标签源码管理,以编辑第一个模板 adminname.lib.php 为例:
在模板中写入一句话
使用中国菜刀连接
成功拿到shell
先切换至管理员桌面
可以看到存在一个flag文件,使用type命令尝试看下
发现提示没有权限
用 cacls 命令查看 flag 文件的访问控制列表(ACL),后用 whoami 命令查看用户名,发现 authority\system
用户对于 flag 文件的权限是 N,即无权限
使用whoami发现我们的权限是system,这是最高权限啊,用 cacls 命令更改了访问权限后,authority\system 用户对于 flag 文件的权限变成了 F
成功拿到flag