IMF靶机复现

IMF靶机复现

发现靶机IP：192.168.8.198
搜寻开放端口，发现除了80端口外，没发现其他端口。
使用dirb 撞靶机的子域名

dirb http://192.168.8.198

并没有找到有用的域名
F12手动查找Flag 在contact.php中找到注释的Flag1


搜寻== 发现后三行乱码 疑似Flag，组合base64解码得到

对flag2的内容进行再解码，得到 ：

可能是用户名密码或者是子域名，猜测得到网址192.168.8.198/imfadministrator

尝试输入用户名密码，发现能对username进行猜测

在页面的结束部分发现有三个邮箱账号，分别进行尝试，发现rmichaels用户名可用，尝试进行爆破。爆破失败，挠挠脑阔。尝试burp重放攻击。

对密码pass重命名pass[]空数组绕过密码。得到flag3，base64解码得到continueTOcms，旁边还附上一个链接，打开

查看整个网页源代码，没有发现可用的线索，经网友提醒：这个问号可能有问题http://192.168.8.198/imfadministrator/cms.php?pagename=home。php又是pagename =xx，应该是存在sql漏洞，打开sqlmap

sqlmap -u "http://192.168.8.198/imfadministrator/cms.php?pagename=home" --cookie "PHPSESSID=8ssruvp7biffnp8j03q3vd84e1" -dbs

一轮的埋头翻找，在admin库中找到一下关键域名

sqlmap -u "http://192.168.8.198/imfadministrator/cms.php?pagename=home" --cookie "PHPSESSID=8ssruvp7biffnp8j03q3vd84e1" -D admin --dump

/images/whiteboard.jpg
得到一张图片

扫描二维码得到Flag4
flag4{dXBsb2Fkcjk0Mi5waHA=}解码得到uploadr942.php
接上域名 得到

似乎指向上传漏洞，尝试上传，发现只能上传jpg、gif等图片格式。
使用weevely创建木马（一句话也可以）
weevely generate 密码 文件名.php

对该文件加一层gif的皮

修改后缀为gif。
在burp中可以使用重放找到靶机为上传文件重命名的id 607b81931e95

在burp中找不到上传路径，只能猜测路径，通常以uploads为主
。可以 撞到上传路径。

weevely http://192.168.8.198/imfadministrator/uploads/607b81931e95.gif jesse

找到flag5

进行编译还有agent代理的Flag6，道行浅只能暂时到这一步，具体的Flag6的挖掘可以看看这位大佬的文章：–>传送门