Five86-3靶机

扫描ip

扫描端口

 

只有80端口

我们去访问网站

又是熟悉的网站

网页探测

是drupal7

Msf试一试

全部试了一下，全部没用

Searchsploit 去看看

搜了下漏洞，试了几个sql注入和rce发现用不了

一个一个尝试

最后是发现这个任意文件读取漏洞

 

弄下来看看怎么使用

 

直接复制路径去看看

可以看到passwd得内容

我们去看drupal得配置文件

../../../../../../../../../../../var/www/html/sites/default/settings.php

 

找一个密码

而我们在passwd中看到4个用户

使用用户名和密码尝试登录站点，都失败了，密码可能不是站点的

我们看到有个sshd用户，但是是nologin，我们之前有个敲门开启端口，大胆猜测

我们先查看进程，用cpu任务调度的文件来查看进程

../../../../../../../../../../../proc/sched_debug

 

发现knockd，证实猜想

查看knockd进程配置文件

 

敲击这三个端口 

 

敲门服务的nmap命令

for x in 5004 4284 6872;do nmap -Pn --max-retries 0 -p $x 172.16.16.149;done

 

22号端口就开启了

我们一个一个尝试

结果是sam用户的

 

端口开放时间有限，如果22号端口关闭了，需要重新敲击端口

提权

 

可以看到这个文件是所有人

有编辑权限，写入反弹shell，在kali监听

 

 

然后运行一下

 

 

成功