搜索

[18539] 2021-03-14_记一次靶场内网渗透（四）

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-03-14_记一次靶场内网渗透（四） 记 一 次 靶 场 内 网 渗 透 （ 四 ） 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 3 - 1 4 前 言 前 言 在 上 一 节   [ 记 一 次 V u l n s t a c k 靶 场 内 网 渗 透 （ 三 ） ] 中 ， 我 们 简 单 的 对 v u l n s t a c k   2 的 靶 场 环 境 做 了 一 次 测 试 ， 通 过 外 网 初 探 、 信 息 收 集 、 攻 入 内 网 最 终 拿 下 域 控 。 在 本 节 中 ， 我 测 试 的 靶 场 是 v u l n s t a c k   3 这 个 靶 场 。 靶 场 地 址 ： h t t p : / / v u l n s t a c k . q i y u a n x u e t a n g . n e t / v u l n / d e t a i l / 5 / 本 次 靶 场 渗 透 主 要 是 J o o m l a   C M S 漏 洞 的 综 合 渗 透 练 习 ， 通 过 信 息 收 集 、 漏 洞 利 用 、 权 限 提 升 、 以 及 域 渗 透 最 终 拿 下 域 控 并 获 得 域 控 中 的 一 份 重 要 文 件 。 本 次 靶 场 难 度 适 中 ， 总 最 开 始 的 信 息 收 集 到 漏 洞 利 用 ， 最 终 到 拿 下 域 控 之 间 总 共 花 了 我 大 约 一 天 的 时 间 。 。 。 实 验 环 境 搭 建 实 验 环 境 搭 建 靶 机 启 动 前 需 要 在 v m w a r e 上 新 添 加 一 个 V M n e t 2 网 卡 ， 并 设 置 如 下 网 段 为 1 9 2 . 1 6 8 . 9 3 . 0 / 2 4 ：
i m a g e - 2 0 2 1 0 2 0 3 1 3 4 8 4 9 4 4 8 测 试 环 境 测 试 环 境 测 试 环 境 网 络 拓 扑 图 如 下 ：
i m a g e - 2 0 2 1 0 2 0 3 1 5 3 3 0 4 4 3 2 外 网 渗 透 外 网 渗 透 外 网 信 息 收 集 外 网 信 息 收 集 我 们 首 先 对 已 知 的 I P （ 1 9 2 . 1 6 8 . 1 . 1 1 0 ） 进 行 端 口 扫 描 ： n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 . 1 1 0
i m a g e - 2 0 2 1 0 2 0 3 1 5 3 6 3 4 0 6 4 如 上 图 所 示 ， 发 现 C e n t O S 上 面 开 放 了 2 2 、 8 0 和 3 3 0 6 端 口 ， 分 别 运 行 着 O p e n S S H 、 n g i n x 和 m s y q l 访 问 8 0 端 口 ， 发 现 是 一 个 J o o m l a   C M S 搭 建 的 站 点 ： i m a g e - 2 0 2 1 0 2 0 3 1 5 3 7 1 7 7 0 4 J o o m l a 是 一 套 全 球 知 名 的 内 容 管 理 系 统 ， 是 使 用 P H P 语 言 加 上 M y S Q L 数 据 库 所 开 发 的 软 件 系 统 ， 目 前 最 新 版 本 是 3 . 9 . 2 4 。 K a l i   L i n u x 中 有 一 个 漏 洞 扫 描 器 叫 做 J o o m S c a n ， 专 门 用 于 查 找 J o o m l a 中 的 漏 洞 。 输 入 以 下 命 令 使 用 J o o m S c a n 对 目 标 网 站 进 行 扫 描 ：
i m a g e - 2 0 2 1 0 2 0 3 1 5 3 9 4 8 3 7 3 没 有 扫 出 什 么 洞 来 ， 并 且 发 现 J o o m l a 的 版 本 为 3 . 9 . 1 2 ， 版 本 挺 新 的 。 扫 描 目 录 ： j o o m s c a n   - u   h t t p : / / 1 9 2 . 1 6 8 . 1 . 1 1 0
i m a g e - 2 0 2 1 0 2 0 3 1 5 4 7 3 4 1 5 5 发 现 一 个 备 份 文 件     泄 露 ， 将 其 下 载 下 来 查 看 ， 发 现 数 据 库 配 置 信 息 ， 有 用 户 名 和 密 码 ： t e s t u s e r / c v c v g j A S D ! @ ： i m a g e - 2 0 2 1 0 2 0 3 1 5 5 5 2 0 5 8 2 接 着 ， 我 们 访 问 J o o m l a 后 台 登 录 页 面 / a d m i n i s t r a t o r ： i m a g e - 2 0 2 1 0 2 0 3 1 5 4 4 2 4 0 1 7 c o n f i g u r a t i o n . p h p ~
尝 试 弱 口 令 登 录 失 败 ， 也 懒 得 爆 破 了 ， 想 必 没 有 那 么 简 单 。 初 步 攻 击 初 步 攻 击 既 然 给 了 我 们 数 据 库 的 用 户 名 和 密 码 ， 应 该 是 让 我 们 从 M y S Q L 这 里 入 手 ， 我 们 使 用 N a v i c a t 远 程 登 陆 目 标 机 的 M y S Q L ： i m a g e - 2 0 2 1 0 2 0 3 1 6 4 6 5 7 6 6 0 成 功 连 接 之 后 ， 翻 了 好 一 段 时 间 ， 终 于 在 a m 2 z u _ u s e r s 表 中 发 现 了 管 理 员 账 户 和 被 加 密 的 密 码 ： i m a g e - 2 0 2 1 0 2 0 3 1 6 4 8 1 3 7 9 0 这 样 的 密 码 爆 破 是 不 可 能 了 。 之 前 在 电 子 数 据 取 证 比 赛 中 学 到 了 一 个 思 路 ， 就 是 新 注 册 一 个 用 户 ， 然 后 用 我 们 新 建 的 用 户 的 密 码 去 覆 盖 管 理 员 用 户 的 密 码 ， 这 样 我 们 就 可 以 用 自 己 新 建 的 用 户 密 码 去 登 录 管 理 员 账 号 。
既 然 目 标 的 数 据 库 都 拿 下 了 ， 那 我 们 便 可 以 尝 试 重 置 管 理 员 的 密 码 或 者 直 接 添 加 一 个 新 的 超 级 管 理 员 账 户 ， 在 J o o m l a 官 网 找 到 了 这 份 文 档 ： 《 如 何 恢 复 或 重 置 管 理 员 密 码 ？ 》 在 M y S Q L 中 输 入 以 下 命 令 便 可 成 功 接 添 加 一 个 用 户 名 为 a d m i n 2 ， 密 码 为 s e c r e t 的 超 级 管 理 员 ： 使 用 a d m i n 2 账 户 成 功 登 录 后 台 ： i m a g e - 2 0 2 1 0 2 0 3 1 7 1 5 3 2 5 4 8 在 后 台 发 现 在 前 台 模 板 功 能 里 面 可 以 直 接 编 辑 p h p 文 件 ， 我 们 一 可 以 直 接 写 入 w e b s h e l l 并 连 接 ： i m a g e - 2 0 2 1 0 2 0 3 1 7 1 6 1 7 2 6 1 I N S E R T   I N T O   ` a m 2 z u _ u s e r s `   ( ` n a m e ` ,   ` u s e r n a m e ` ,   ` p a s s w o r d ` ,   ` p a r a m s ` ,   ` r e g i s t e r D a t e ` ,   ` l a s t v i s i t D a t e ` ,   ` l a s t R e s e t T i m e ` I N S E R T   I N T O   ` a m 2 z u _ u s e r _ u s e r g r o u p _ m a p `   ( ` u s e r _ i d ` , ` g r o u p _ i d ` )   V A L U E S   ( L A S T _ I N S E R T _ I D ( ) , ' 8 ' ) ;
进 入 后 ， 选 择   “ B e e z 3   D e t a i l s   a n d   F i l e s ”   ， 在 i n d e x . p h p 页 面 中 写 入 一 句 话 木 马 ： i m a g e - 2 0 2 1 0 2 0 3 1 7 1 9 4 5 1 0 0 然 后 用 蚁 剑 连 接 / t e m p l a t e s / b e e z 3 / i n d e x . p h p ， 如 下 图 ， 连 接 成 功 ： i m a g e - 2 0 2 1 0 2 0 3 1 7 2 5 4 4 1 1 1 却 发 现 不 能 执 行 命 令 ：
i m a g e - 2 0 2 1 0 2 0 3 1 7 2 7 1 8 4 4 0 应 该 是 设 置 了 d i s a b l e _ f u n c t i o n s ， C T F 中 经 常 出 这 样 的 题 。 我 又 在 模 板 中 写 了 一 个 p h p i n f o ， 访 问 查 看 确 实 设 置 了 d i s a b l e _ f u n c t i o n s ： i m a g e - 2 0 2 1 0 2 0 3 1 7 3 0 4 1 9 3 5 绕 过 d i s a b l e _ f u n c t i o n s 的 方 法 有 很 多 ， 较 为 常 见 的 我 们 可 以 用 L D _ P R E L O A D 绕 过 ， 需 要 下 载 一 个 利 用 脚 本 e x p l o i t . p h p ： h t t p s : / / g i t h u b . c o m / M r A n o n y m o u s - 1 / d i s a b l e _ f u n c t i o n s 在 模 板 编 辑 中 新 建 一 个 文 件 并 将 利 用 脚 本 e x p l o i t . p h p 的 内 容 复 制 进 去 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理