VulnHub-w1r3s靶机

最新推荐文章于 2025-01-09 09:38:53 发布

原创最新推荐文章于 2025-01-09 09:38:53 发布 · 789 阅读

8 ·

本内容遵循CC 4.0 BY-SA版权协议

标签

#网络 #linux #服务器 #运维

VulnHub 专栏收录该内容

9 篇文章

订阅专栏

主机发现

这里列出了两个扫描本地网络的方式

靶机ip：192.168.31.132

arp-scan -l：列出本地网络所有开放IP

nmap -sn :ping扫描，不扫描端口，扫描IP地址192.168.31.0~192.168.31.255范围内的全部开放ip

扫描ip发现开放端口

PORT STATE SERVICE
21/tcp open ftp
22/tcp open ssh
80/tcp open http
3306/tcp open mysql

sudo nmap 192.168.31.132

ftp信息收集

映入眼帘的就是ftp的服务开放端口了，这里面是比较大的几率是有信息的，所有可以先进入ftp里面看看有没有可用信息。一般来说，ftp端口都可以用匿名登录，所以尝试一下吧。

匿名用户名：

anonymous

ftp登录(密码是空的，所以回车就行)

ftp anonymous@192.168.31.132

看到有三个目录，分别查看一下

第一个目录有三个文件，其他两个都有一个，都先下载到本地吧

mget 0*.txt

批量下载以0开头，以.txt结尾的文件

其余的用get直接下载就行

这个文件的内容是新的tfp服务器，看上去像是一个提示，新的东西一般总会有写不完善的地方，值得我们利用。

MD5与base64加密

第二个文件信息有两串加密过的字符串，第一个不知道是用什么加密的，可以用工具识别一下，第二个一眼base64加密，因为主观上的辨别，等号是base64的基本特征，次要特征就是一串大小写的字母。

hash-indentifer：是一种用于识别哈希算法类型的工具，大约支持210种不同的哈希算法，基本支持日常使用。

hash-identifier '01ec2d8fc11c493b25029fb1f47f39ce'

识别到加密算法是md5的

虽然我们大致看出来这个是base64的，但是还是有必要试一下，看看能否识别出来，结果是不行，下面这两个文件一个里面大概写着名字与职位，另外一个文件内容看上去是倒着的。

md5的解码可以在搜索在线解码的网站，如果一个不行，多尝试几个。

下面这两行用工具反转一下就得到内容了

web信息收集

拿到的信息似乎并没有什么用处，那我们去80端口web页面看看，如果这些地方找不到突破点，那web服务一定是最有可能的突破点，所以我们去看看

大概介绍的是A pache服务的配置信息，通常这类的介绍信息，不会有什么多少可利用的信息，如果有，那可能也需要细挖，很费劲，所以我们可以尝试爆破一下，看看是否有其他目录或文件

gobuster目录爆破

 sudo gobuster dir -u http://192.168.31.132/ -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt

以sudo权限执行gobuster爆破工具

dir指定目录爆破

-u 指定爆破地址

-w 指定字典地址（日常渗透测试中，基本上这个字典就够用了）

爆破出了三个目录，第一个目录打不开，第二个没东西，第三个打开是个cuppa cms的页面，暴漏了一些配置信息，看到还有个next的按钮，点进去看看。

发现这里可以创建数据库和账户，试试（额外发现就是页面上数据库名拼写错误，拼写错误具有独特的个性，或许会有针对性的方案）

提示失败，看来不行，换个思路，页面提示他是cuppa cms 那就搜素一下看看有没有对应的漏洞

有一个文件包含的漏洞,下载到本地

查看一下，确定了这个是个远程文件包含漏洞，第一个包含shell文件,第二个包含本地的/etc/passwd

我们登录一下，但是需要修改一下路径，target修改为靶机的ip,第二个路径还需要把cuppa修改为administrator因为可能在这个目录下存在这个漏洞，打开看到一个这样的页面，但是好像也没有发现什么有用的信息，用curl 请求一下试试,存在一些前端代码，往下翻，找到了etc/passwd文件内容，但是发现密码被x代替了，因为系统设置就是这样的，可以去shadow里看看

curl http://192.168.31.132/administrator/alerts/alertConfigField.php?urlConfig=../../../../../../../../../etc/passwd

curl --data-urlencode urlConfig=../../../../../../../../../etc/shadow http://192.168.31.132/administrator/alerts/alertConfigField.php

看到三行是被加密的，特征很明显。一个root 用户，一个www-data 用户，一个w1r3s用户，把这三行单独放在一个文件里，解密试试。

解密出了两个用户的密码：第二个很明显，直接登录

提权

sudo -l 发现可执行权限bin/bash，看了一下，这些目录里面应该不会存在flag,直接去根目录root下面查看flag.txt