Vulnhub靶机：HARRYPOTTER_ NAGINI

最新推荐文章于 2024-09-11 07:31:31 发布
最新推荐文章于 2024-09-11 07:31:31 发布
阅读量814 收藏
点赞数 2
分类专栏： 靶机 文章标签： Vulnhub
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44288604/article/details/126089854
版权

目录

介绍

系列：HarryPotter（此系列共3台）
发布日期：2021年04月29日
难度: 中→高（打点较难）
目标: 取得 root 权限 + 3 Flag
攻击方法:

  • 主机发现
  • 端口扫描
  • WEB信息收集
  • HTTP3协议
  • 域名绑定
  • SSRF漏洞（Gopher + Mysql）
  • Joomla漏洞
  • SSH公钥登录
  • 浏览器密码还原

靶机地址：https://www.vulnhub.com/entry/harrypotter-fawkes,686/

信息收集

主机发现

netdiscover主机发现

sudo netdiscover -i eth0 -r 192.168.56.0/24

在这里插入图片描述

主机信息探测

在这里插入图片描述

网站探测

开局就是一张图，没什么有价值的信息
在这里插入图片描述

目录扫描

这里提供2个加强版文件扫描：

  1. 从字典上来说，前者有字典87664行，后者有字典220560行
  2. 从速度上来说，gobuster远胜于dirsearch。因为gobuster扫完了220560行的字典时，dirsearch才扫描87664行字典的一半。
常规目录扫描
dirsearch -u http://192.168.56.115/

加强版文件扫描
dirsearch -u http://192.168.56.115/ -f -e html,php,txt -w /usr/share/SecLists-2022.2/Discovery/Web-Content/directory-list-2.3-small.txt
gobuster dir -r -u http://192.168.56.110/site/ -x txt,html,php -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt -t 100

从下图中可以看出，普通扫描发现了“joomla”站点，加强版文件扫描发现了一个文件“note.txt”，阅读后得知靶机还存在一个域名，绑定host即可查看（浏览器必须支持HTTP3），这里就有了一个很尴尬的问题，我怎么去访问http3呢？网上的教程尝试之后失败了，不清楚原因。我这里查看靶机攻略后得知，http3访问了此域名后会看到一个提示信息，靶机上存在一个敏感页面internalResourceFeTcher.php
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

joomscan 扫描

既然是joomla站点，先来joomscan 扫描看看

  1. 直接扫描：joomscan -u "http://192.168.56.115"，只发现了joomla后台
  2. 指定路扫描：joomscan -u "http://192.168.56.115/joomla"

发现了一个备份的配置文件
在这里插入图片描述

下载备份文件，发现在靶机存在一个名为“joomla”的mysql数据库。
在这里插入图片描述

发现SSRF漏洞

打开敏感页面internalResourceFeTcher.php后，有个框框，直接填写个内容。观察到浏览器url栏中，赫然写着url=123，而网页上写着“欢迎来到内部网络资源获取页面 ”，能通过web方式访问到内网资源的，就是SSRF啊。
在这里插入图片描述

检查一下，确认存在SSRF漏洞
在这里插入图片描述

关于SSRF漏扫的补充

我花了点时间研究了下能检测SSRF的工具，结果是很失望。

  1. burpsuite插件ssrf-king

这是一个被动检测SSRF的插件，在我已经明确验证SSRF的前提下，插件没有发现SSRF漏洞
在这里插入图片描述

  1. burpsuite插件Burp Bounty Pro

手工指定“Burp Bounty Pro”插件以GET方法扫描指定页面有无SSRF，发现了SSRF漏洞
在这里插入图片描述

  1. burpsuite插件J2EE

J2EEScan是一款可以用来被动扫描基于java开发的web程序，这里很意外，让BurpSuite直接扫描此页面，J2EEScan竟然发现了疑似SSRF漏洞，SSRF-King继续保持了沉默
在这里插入图片描述

  1. SSRFmapp

这是一个在github上有着1.9K小星星的项目，一个用来实现自动SSRF模糊利用工具。
项目地址：https://github.com/swisskyrepo/SSRFmap
实际体验感觉不大好，下图中，我按照项目地址介绍的方法进行端口扫描，看似能扫出一个端口，然而只能扫出这一个端口，看一眼抓到的数据包你就会明白为什么啥都没扫出来。
在这里插入图片描述

在这里插入图片描述

此外，发现这个工具与下文介绍的“Gopherus”有重合，都能生成Gopher有效载荷，但是ssrfmap没有后者操作简单，而且还容易出现警告、错误信息。
在这里插入图片描述

综上，放弃ssrfmap工具。

利用SSRF漏洞

漏洞利用：这里着重介绍Gopher协议

Gopher在HTTP协议前是非常有名的信息查找系统，但是随着web技术的发展，很少服务会用到Gopher了，但是！在SSRF漏洞中，它大方光彩，让SSRF漏洞利用更加广泛，理论上只要后端应用是基于TCP协议的，前端存在SSRF漏洞，并且我们可以使用Gopher访问后端的端口，那么我们就可以使用Gopher访问几乎所有基于TCP的应用（对ftp，memchahe，mysql，telnet，redis，等服务进行攻击），可以构造发送GET，POST请求包。

说白了就是：通过SSRF漏洞，让服务器发送自己精心构造的GET或者POST请求包
格式：

gopher://<host>:<post>/<gopher-path>_后面接TCP数据流

利用要点（未验证）：

  1. PHP版本大于等于5.3
  2. PHP.ini开启了php_curl
  3. gopher没有默认端口，需要指定:gopher://127.0.0.1:80
  4. 在传送GET或POST数据时需要经过二次URl编码
  5. url编码时回车换行需要使用%0d%0a替换%0a
  6. POST中的&也需要url编码。

利用方式：

  1. 利用SSRF进行内网渗透
  2. gopher协议反弹shell
  3. 超级经典的redis写入webshell

1. 验证Gopher协议

访问80端口没反应，仔细看的话，会注意到浏览器一直在加载，测试效果不明显，但是换成22端口立马出现结果了。这都证明了可以利用Gopher协议
在这里插入图片描述

在这里插入图片描述

2. 确认数据库

上面通过joomscan扫描发现了敏感文件，得知靶场有mysql数据库，确认一下，发现网站又开始加载了，说明数据库端口没问题。如果输入正确的连接数据库的命令，理论上我们是可以看到连接结果的。手工构造命令是不可能的，直接上工具。
在这里插入图片描述

3. 利用工具

  1. 安装与介绍

工具的使用相当简单，只需要输入一个参数即可。
在这里插入图片描述

  1. 查询表中所有列

在这里插入图片描述

经过数十次的尝试，终于查询出结果了。【需要多次尝试】
在这里插入图片描述

通过搜索，定位出符合期待的一个表
在这里插入图片描述

  1. 查询表中所有数据

在这里插入图片描述

依然是经过多次尝试后成功查询出数据，根据对比，能找到 site_admin 用户的密码，但是破解很难，不如更新用户密码来得简单。
在这里插入图片描述

  1. 更新用户密码
设置密码123
echo -n "123" | md5sum

执行更新密码
use joomla; update joomla_users SET password='202cb962ac59075b964b07152d234b70' WHERE username='site_admin';

在这里插入图片描述

经过多次输入过，页面出现了如下反应，然后就可以登录网站了。
在这里插入图片描述

反弹shell

寻找上传点

找到“error.php”页面，粘贴反弹shell的内容
在这里插入图片描述

在这里插入图片描述

拿到shell-Flag1

网上随便搜一下 error.php 的页面位置，在http://cn-sec.com/archives/286076.html 中看到了/templates/beez3/error.php，于是拼接得到路径：http://192.168.56.115/joomla/templates/beez3/error.php
在这里插入图片描述

在这里插入图片描述

敏感文件-SSH登录

发现了敏感文件：/home/snape/.creds.txt，base64解码后发现是Love@lilly,然后就SSH登录了。
在这里插入图片描述

敏感文件-SSH偷梁换柱

经过一番简单搜索，发现 hermoine 用户的家目录里面存在一个具有suid权限的文件：su_cp，那么思路就来了，在kali下生成SSH公钥密码对，然后把公钥拷贝到 hermoine 用户的 ssh 目录下，那么我就可以在kali上用私钥以 hermoine 的身份SSH连接到靶机了
在这里插入图片描述

  1. 在kali下生成SSH公钥密码对，并投递到靶机上

在这里插入图片描述

  1. 把公钥丢到 hermoine 用户的 ssh 目录下
chmod 640 id_rsa.pub
mv id_rsa.pub authorized_keys
/home/hermoine/bin/su_cp -p /home/snape/authorized_keys /home/hermoine/.ssh/

注意：

  • 需要设置ssh公钥权限为640（关于权限参见：）
  • 需要修改文件名：mv id_rsa.pub authorized_keys，否则ssh连接时需要密码

相关阅读：https://blog.csdn.net/qq_26400953/article/details/105145103
https://mp.weixin.qq.com/s/azDzb1AA8iwk4JLjMecwag

在这里插入图片描述

  1. ssh免密连接

在这里插入图片描述

flag2

在这里插入图片描述

提权-firefox密码泄露

在 hermoine 用户家里发现了隐藏目录mozilla，一般来说，这个目录里面包含有火狐浏览器的扩展、用户信息，以及保存到账号密码。我计划把这些内容全部复制到kali上，然后在kali上面安装工具，来提取浏览器中保存的账号信息。

  1. 下载信息
scp -rp hermoine@192.168.56.115:/home/hermoine/.mozilla /root/test

在这里插入图片描述

  1. 下载提取信息的工具

Firefox Decrypt是一个从Mozilla（Firefox，Waterfox™™，Thunderbird®，SeaMonkey）配置文件中提取密码的工具。项目地址：https://github.com/unode/firefox_decrypt
在这里插入图片描述

总结

在这里插入图片描述

lainwith
关注
专栏目录
VnlnHub Nagini
weixin_45682839的博客
10-13 605
设计知识：端口服务探测、敏感目录收集、HTTP3的运用、SSRF（服务器请求伪造）、Joomla后台getshell、主机信息搜集、浏览器密码提取等。
Vulnhub靶机：BOREDHACKERBLOG: SOCIAL NETWORK
tang502的博客
09-24 1248
如果/proc/1/cgroup文件里面可以看到docker，以及docker的hash值。从页面exec()调用命令看出他是python，所以只要建立监听，用python反弹shell。反弹shell工具：https://forum.ywhack.com/shell.php。如果根目录下存在dockerenv，那么有极大的概率，我们是在docker环境中。查看ip，如果ip与网站ip不同，那么有极大的概率，我们是在docker环境中。发现为64的系统，可连接工具Venom，进行docks配置。
【VulnHub靶场】——HARRYPOTTER第二部: NAGINI
Demo不是emo的博客
10-04 4083
这是哈利波特vm系列靶场的第二个靶场，总共有三个靶场，其中隐藏了8个魂器，上一期的第一个靶场中隐藏了2个魂器，今天这个靶场中隐藏了三个，意思就是今天的靶场有三个flag，话不多说我们来见识见识
Burp Bounty：提升Burp Suite扫描效率的利器
最新发布
gitblog_00181的博客
09-11 794
Burp Bounty：提升Burp Suite扫描效率的利器 BurpBounty Burp Bounty (Scan Check Builder in BApp Store) is a extension of Burp Suite that allows you, in a quick and simple way...
看完这篇 教你玩转渗透测试靶机Vulnhub——HarryPotter:Nagini
Aluxian_的博客
08-01 679
vulnhub是个提供各种漏洞平台的综合靶场，可供下载多种虚拟机进行下载，本地VM打开即可，像做游戏一样去完成渗透测试、提权、漏洞利用、代码审计等等有趣的实战。PS:这个是HarryPotter(哈利波特)系列一共有三个靶机，这是第二个Nagini老样子需要获得root权限找到flag（这里是魂器）即可。这个靶机难度高，就是有点费时间麻烦 其他都还好1.信息收集获取ip地址 和端口信息web等2.SSRF漏洞的利用Gopherus工具的使用MD5sum生成md5加密值3.joomscan。
vulnhub靶场-Nagini
qq_42947816的博客
11-01 1976
Nagini 是 HarryPotter VM 系列的第二个 VM，您需要在其中找到隐藏在机器内的 3 个魂器（哈利波特系列的 3 个 VM 中总共隐藏了 8 个魂器）并最终击败 Voldemort
Nagini靶机打靶过程及思路
qq_52610024的博客
05-12 826
curl--proto‘=https’--tlsv1.2-sSfhttp//sh.rustup.rc|sh选择1后继续回车。showtables;将生成的payload输入得到表数据，发现users表，3.修改hosts文件，绑定域名，后ping通发现可以访问，但是返回的结果是相同的，使用cloudflare。ssh登录成功，得到第一个flag，得到第二个flag需要提权到horcrux账号。发现note.txt下存在提示信息，使用http3访问服务器，存在一个域名。...
Vulnhub靶机系列：De-ICE: S1.120
01-09
靶机默认ip是192.168.1.120,最好设一个对应网段的网卡给它，我的这篇文章有简单指导Vulnhub靶机系列：pWnOS: 2.0另外iso文件如何导入就不赘述了，安装完最好重启一下。完成上述步骤后可以netdiscover一下确定。 利用...
Vulnhub靶机：AI-Web-1.0
羊柳树的博客
01-20 4296
1.信息收集 使用命令netdiscover寻找靶机IP，发现靶机IP为192.168.1.137。 使用nmap对把目标机进行端口扫描，发现只开启了80端口。 访问80端口，发现页面只有一句话，没什么可利用的信息。 使用 dirsearch -u http://192.168.1.137/对网站目录进行扫描。 2.漏洞探测与利用 尝试访问/server-status/目录，提示无权访问。访问robots.txt文件，出现两个目录。 依次访问这两个目录，提示无权访问。 那么尝试访问/se3reT
Vulnhub靶机:DC-3渗透详细过程
IerkeU的博客
02-21 2548
前情提要 靶场地址：https://www.vulnhub.com/entry/dc-32,312/ DC-3是一个适合初学者的靶场，需要具备以下前置知识： 基础的Linux命令及操作 基础的渗透测试工具使用（Kali / Parrot下的工具） 翻译一下官方给出的一些信息： 这个靶场与之前的不同，只有一个入口点和一个flag，并且没有任何线索。 靶场只需要简单的下载，解压，打开并将其导入到VMware即可（我将其网络配置为NAT模式，保证机器与kali在同一个网段下） nmap -sP 192.168.
Vulnhub靶机:DC-4渗透详细过程
IerkeU的博客
02-28 1997
基本步骤 前言提要： 靶场地址：DC: 4 ~ VulnHub DC-4是一个初中级的靶场，需要具备以下前置知识： 基础的Linux命令及操作 基础的渗透测试工具使用（Kali / Parrot下的工具） 这次练习的靶机是vulnhub平台下的DC系列靶机第四台，该靶机的难度系数为简单，拿下该靶机的关键就是需要收集信息，最终目的是获取root权限，拿到flag。 步骤： 信息收集 nmap 192.168.132.0/24 目标靶机ip：192.168.132.150 全面扫描 n
burp-bounty-profiles:Burp Bounty个人资料编辑，随时为您贡献力量！
05-28
打bur赏金概况 这是扩展程序的个人资料集合，请随时使用和贡献！ 指示 将加载到Burp Suite中后，转到Burp Bounty Options选项卡，并设置克隆此存储库的计算机的路径。 您可以支持这项工作给我买杯咖啡：
Vulnhub-靶机-VulnOSv2
qq_43264813的博客
03-01 555
Vulnhub—靶机—Kioptrix: Level 1 (#1) 本篇文章仅用于技术交流学习和研究的目的，严禁使用文章中的技术用于非法目的和破坏，否则造成一切后果与发表本文章的作者无关 文章目录Vulnhub—靶机—Kioptrix: Level 1 (#1)一、信息收集二、漏洞利用三、Flag 一、信息收集 【步骤一】使用nmap确定目标靶机地址： 【命令】nmap -sP 192.168.43.0/24 【步骤二】对目标靶机进行全端口扫描： 【命令】nmap -n -sC -sV -p- 192.1
HarryPotter-Nagini 三部曲之第二部 靶场记录
m0_52729465的博客
08-07 218
1、进行常规扫描，开放22,80端口2、访问页面只有一张图片，通过gobuster进行目录爆破后发现有joomla的页面和一个note.txt，使用joomscan扫描发现了一个.bak文件，里面有数据库名、用户名以及空密码3、note.txt文件中提示我们使用http3查看文件，该文件指向一个路径，打开后是一个存在ssrf的页面。
Vulnhub靶机：HACKER KID_ 1.0.1
LainWith的博客
07-17 926
系列Hackerkid（此系列共1台）发布日期2021年08月02日**难度等级**低→中**打靶目标**取得root权限**提示信息**OSCP样式的靶机（专注于信息收集，不要爆破，每一步都有适当提示）https主机发现端口扫描WEB信息收集DNS区域传输XXE注入攻击PHP封装器SSTI模板注入Capabilitie提权httpshttpshttpshttpshttpshttpshttpshttpshttpshttps。...
HarryPotter第二部—Nagini
weixin_47311099的博客
01-14 1486
Nagini 是 HarryPotter VM 系列的第二个 VM，您需要在其中找到隐藏在机器内的 3 个魂器（哈利波特系列的 3 个 VM 中总共隐藏了 8 个魂器）并最终击败 Voldemort。 ​ ​ 信息收集 nmap扫描 nmap -sC -sV 192.168.210.229 网站信息收集 一张图片啥也没有 网站目录爆破 gobuster dir -u [http://192.168.210.229](http://192.168.210.229) -x html,txt,php,bak
打靶记录14——Nagini
Fab1an的博客
09-02 866
靶机新颖有趣。
vlunhub之Nagini（详细过程）
鲨鱼辣椒的博客
06-02 2536
horcrux_{MzogU2x5dGhFcmlOJ3MgTG9jS0VldCBkRXN0cm9ZZUQgYlkgUm9O}
VulnHub项目：Nagini
Ays.Ie的博客
06-24 345
哈利波特主题：VulnHub项目：Nagini
vulnhub靶机系列：
09-09
你好！关于Vulnhub靶机系列，我可以提供一些信息。Vulnhub是一个开放的漏洞测试平台，提供了一系列用于学习和实践渗透测试的虚拟机。这些虚拟机包含了各种不同的漏洞，供安全爱好者和专业人员练习渗透测试技巧。 Vulnhub上有许多靶机系列，每个系列都包含了多个不同难度级别的虚拟机。通过解决这些靶机，你可以学习到渗透测试中常见的攻击技术和漏洞利用方法。 一些著名的Vulnhub靶机系列包括： 1. Kioptrix：这是一个非常受欢迎的系列，包含了多个不同难度级别的靶机。从初级到高级的挑战，覆盖了各种网络安全知识。 2. Metasploitable：这个系列模拟了一个容易受到攻击的系统，用于学习Metasploit框架和漏洞利用。 3. SickOS：这个系列提供了一些有趣的靶机，涵盖了各种不同类型的漏洞。 4. HackTheBox：虽然HackTheBox不是Vulnhub上的系列，但它也是一个非常受欢迎的漏洞测试平台，提供了一系列具有挑战性的靶机。 这些靶机系列都可以帮助你锻炼渗透测试技能，并提供了一个实践环境来深入了解网络安全和漏洞利用的原理。希望这些信息能帮到你！如果你还有其他问题，请随时提问。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值