搜索

[18602] 2021-07-28_实战｜记一次靶场实战绕过Nginx反向代理

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2021-07-28_实战｜记一次靶场实战绕过Nginx反向代理 实 战   ｜   记 一 次 靶 场 实 战 绕 过 N g i n x 反 向 代 理 原 创   z a n t h o x y l u m   H A C K 学 习 呀   2 0 2 1 - 0 7 - 2 8 收 录 于 话 题 # n g i n x   , 1 # 渗 透 测 试   , 1 2 # 内 网 渗 透   , 2 0 前 言 前 言 本 环 境 为 黑 盒 测 试 ， 在 不 提 供 虚 拟 机 帐 号 密 码 的 情 况 下 进 行 黑 盒 测 试 拿 到 域 控 里 面 的 f l a g 。 环 境 搭 建 环 境 搭 建 内 网 网 段 ： 1 9 2 . 1 6 8 . 9 3 . 0 / 2 4 外 网 网 段 ： 1 9 2 . 1 6 8 . 1 . 0 / 2 4 攻 击 机 ： k a l i ： 1 9 2 . 1 6 8 . 1 . 1 0 靶 场 ： C e n t O S ( 内 ) ： 1 9 2 . 1 6 8 . 9 3 . 1 0 0 C e n t O S ( 外 ) ： 1 9 2 . 1 6 8 . 1 . 1 1 0 U b u n t u ： 1 9 2 . 1 6 8 . 9 3 . 1 2 0 域 内 主 机 ： W i n s e r v e r 2 0 1 2 ： 1 9 2 . 1 6 8 . 9 3 . 1 0 W i n s e r v e r 2 0 0 8 ： 1 9 2 . 1 6 8 . 9 3 . 2 0 W i n d o w s 7 ： 1 9 2 . 1 6 8 . 9 3 . 3 0 其 中 C e n t O S 可 以 外 网 、 内 网 通 信 ， 域 内 主 机 只 能 内 网 之 间 进 行 通 信 k a l i 跟 C e n t O S 能 够 p i n g 通 拓 扑 图 如 下 ：
内 网 信 息 搜 集 内 网 信 息 搜 集 n m a p 探 测 端 口 探 测 端 口 n m a p 先 探 测 一 下 出 网 机 即 C e n t O S 的 端 口 情 况 。 可 以 看 到 开 了 2 2 、 8 0 、 3 3 0 6 端 口 ， 初 步 判 断 开 了 w e b ， s s h ， 数 据 库 应 该 为 M y S Q L 这 里 首 先 访 问 下 8 0 端 口 ， 发 现 为 j o o m l a 框 架 ， j o o m l a 框 架 在 3 . 4 . 6 及 以 下 版 本 是 有 一 个 远 程 r c e 漏 洞 的 ， 这 里 先 使 用 e x p 直 接 去 打 一 下 n m a p   - T 4   - s C   - s V   1 9 2 . 1 6 8 . 1 . 1 1 0
这 里 看 到 e x p 打 过 去 不 能 够 利 用 那 么 应 该 是 j o o m l a 的 版 本 比 较 高 这 里 使 用 端 口 扫 描 软 件 扫 一 下 后 台 的 文 件 发 现 一 个 管 理 员 的 界 面 是 j o o m l a 的 后 台 登 录 界 面 ， 这 里 尝 试 使 用 b p 弱 口 令 爆 破 了 一 下 ， 无 果 ， 只 好 放 弃
这 里 使 用 d i r s e a r c h 进 一 步 进 行 扫 描 ， 发 现 了 一 个 c o n f i g u r a t i o n . p h p
看 一 下 这 个 p h p 的 内 容 发 现 有 一 个 u s e r 跟 p a s s w o r d ， 联 想 到 开 了 3 3 0 6 这 个 端 口 ， 猜 测 这 可 能 是 管 理 员 备 份 的 数 据 库 密 码 忘 记 删 除 了
连 接 连 接 m y s q l 这 里 使 用 n a v i c a t 尝 试 连 接 一 下 靶 机 的 数 据 库 可 以 看 到 连 接 成 功 了
然 后 就 是 翻 数 据 找 管 理 员 的 帐 号 了 ， 找 管 理 员 帐 号 肯 定 是 找 带 有 u s e r 字 段 跟 p a s s w o r d 字 段 的 ， 这 里 我 找 了 一 段 时 间 ， 最 后 发 现 这 个 表 跟 管 理 员 帐 号 最 相 似 ， 但 是 这 里 出 现 了 一 个 问 题 ， 我 发 现 这 个 地 方 的 密 码 不 是 明 文 u m n b t _ u s e r s p a s s w o r d
这 里 试 着 把 密 文 拿 去 解 密 发 现 解 密 失 败 在 搜 索 的 时 候 发 现 j o o m l a 官 网 虽 然 没 有 直 接 公 布 密 码 的 加 密 方 式 ， 但 是 它 为 了 防 止 用 户 忘 记 密 码 增 加 了 一 个 添 加 超 级 管 理 员 用 户 的 方 式 ， 就 是 通 过 登 录 数 据 库 执 行 s q l 语 句 达 到 新 建 超 级 管 理 员 的 效 果
这 里 我 们 可 以 发 现 s q l 语 句 中 的 中 的 第 三 项 为 密 文 ， 这 里 我 们 为 了 方 便 就 是 用 他 给 我 们 的 这 一 串 密 文 ， 这 里 对 应 的 密 码 为 ， 当 然 也 可 以 用 其 他 对 应 的 密 文 如 下 所 示 在 n a v i c a t 中 执 行 s q l 语 句 ， 注 意 这 里 要 分 开 执 行 两 个 否 则 会 报 错 ， 这 里 相 当 于 我 们 添 加 了 一 个 这 个 新 的 超 级 管 理 员 用 户 V A L U E S s e c r e t I N S E R T   I N T O a d m i n 2   s e c r e t
登 录 登 录 j o o m l a 后 台 后 台 使 用 登 录 j o o m l a 后 台 登 录 成 功 ， 进 入 后 台 后 的 操 作 一 般 都 是 找 可 以 上 传 文 件 的 地 方 上 传 图 片 马 或 者 找 一 个 能 够 写 入 s q l 语 句 的 地 方 a d m i n 2   s e c r e t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理