Exploit-Exercise之Nebula实践(二）

最新推荐文章于 2024-07-15 22:51:56 发布

Elwood Ying

最新推荐文章于 2024-07-15 22:51:56 发布

阅读量405

点赞数

本文链接：https://blog.csdn.net/yalecaltech/article/details/86439493

版权

获取06关卡的flag。

06
在这里插入图片描述
题目提示flag06的密码来自传统的unix系统
这就意味这密文存储在/etc/psswd。我们直接读取

过滤一下

导出为cre.txt

接下来我们就需要破解该密文
我们在kali中破解
首先在kali上sftp连接nebula，将cre.txt下载到本机
在这里插入图片描述

在桌面就生成了cre.txt

在终端中首先切换到桌面，然后使用john破解

得到密码为hello
返回nebula，使用flag06/hello登录

登录成功

。

获取关卡07，08的flag

07
代码如下：
在这里插入图片描述
登录后进入/home/flag07目录
查看文件

nano查看index.cgi也可以看到上图的代码，而从thttpd.conf中我们可以知道端口为7007
代码的主要功能就是：第12行调用外部Ping命令去发送3个数据包ping指定的ip，ip是通过第8行的代码获得，最后将ping的结果返回
那么思路就有了，使用index.cgi（perl脚本）在端口7007上为我们的Web服务器注入getflag命令，但是不能在/flag07路径下，因为我们使用的是wget,而wget会在路径中写入文件，但是该路径我们没有权限
所以使用下图的命令
在这里插入图片描述
查看文件，可以知道成功通关

8.

题目提示我们登录flag08账户后即可通关，不过flag08的密码需要我们自己找到
使用level08作为帐号、密码登录后进入相应目录

存在一个pcap数据包，那么很明显，我们需要从中找到flag08的密码
使用tcpdump分析
在这里插入图片描述
可以看出pcap数据包是存在密码的
使用tcpflow分析

结果如下

有些信息显示不全，我们将其导入到1.txt中

Nano /tmp/1.txt读取内容

在下面可以看到password

拼接一下，就是backdoor…OORm8.ate…
但是后面提示
在这里插入图片描述
登录失败，那可能是密码错了，可能是因为输入错误
可能用户在m8,mate之间的细节输错了，并且有一些删除操作，我们就试一下backd00Rmate

登录成功，通关

获取关卡09的flag

在这里插入图片描述
提示我们php代码存在漏洞
代码全篇都用了正则匹配，用于匹配[email xxxx@xx]第5行将“.”替换为“dot”，第6行将“@”替换为“AT”。第13行要求我们传入的参数是文件名。
我们可以先试一下
使用nano在tmp目录下创建一个文件
在这里插入图片描述

执行后得到
在这里插入图片描述
存在漏洞的地方在于15行，在第一个参数后面加上了/e，启用/e模式，意味着第二个参数会被作为代码执行.对于上例来说，第一个参数是email，第二个参数是yale@test.com
那么如果第二个参数是getflag呢？当然php中要想执行系统命令可以通过system(),即system(getflag)
我们实验一下
使用同样的方法创建一个文件
在这里插入图片描述
执行后，从结果中可以看出执行了getflag命令，成功通关。