封神台靶场-第六章

最新推荐文章于 2025-10-09 15:54:26 发布
原创 最新推荐文章于 2025-10-09 15:54:26 发布 · 1.6k 阅读 · 4 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#渗透测试靶场

本章介绍如何在受限环境下通过上传特定文件并利用iis6.exe获取system权限，创建管理员账户，最终实现远程登录及查找FLAG的过程。

第六章-SYSTEM！POWER！

Tips:
1、提权！
2、FLAG在C盘根目录下！

1.在第五章的基础上用菜刀连接，根据提示查看flag，发现没有权限，这里想到提权，这是本章重点（
注：如果中途出现掉线，重新连接菜刀，或重新上传木马连接）
在这里插入图片描述
2.上传cmd.exe,iis6.exe文件（在upfile这里上传这俩个文件）
在这里插入图片描述3.打开cmd命令，想法：创建管理员组新用户成员，奈何权限低。
whoami查看当前用户：发现为web应用服务组成员，权限低
在这里插入图片描述
我们想到还有一个iis6，我们查看该用户发现为system权限：
命令：iis6.exe “whoami”
在这里插入图片描述
4.利用iis6desystem权限创建新用户，加入Administrators组：

iis6.exe "net user admin 666 /add"
iis6.exe "net localgroup Administrators admin /add"

在这里插入图片描述
在这里插入图片描述
如下表示已经成为管理员用户
在这里插入图片描述
5.这里想着进行远程登陆，远程登陆的端口号默认为3389我们尝试登陆结果可以登陆（注:如果发现端口错误，不是3359，说明端口号被改了，我们可以通过第六点查看远程登陆端口号）
打开win的控制终端win+r
在这里插入图片描述
输入账号密码登陆发现新的新的困难又来了：服务中断由于很多人登陆靶场连接，登陆用户登陆后没有注销导致，在这里友情提示登陆后及时注销。最后办法总比困难多遇到问题可以多查查解决如下
在这里插入图片描述
当出现这个问题的时候，解决方法要与您本地使用的操作系统有关系
如果您本地使用的是Windows XP、Windows 2008、Windows 7/8/8.1操作系统，那么在远程的时候在IP 后面添加参数 /admin 远程即可，（就是强制登陆）

mstsc /v:59.63.200.79:3389 /admin
在这里插入图片描述
登陆查找flag
在这里插入图片描述
在这里插入图片描述
6.查找远程登陆端口号
思路：先查看进程-----找到远程登陆进程-----查找进程的pid------再根据pid查看端口号


```bash

```bash
iis6.exe "tasklist -svc"
iis6.exe "netstat -ano"

查找远程登陆进程的pid（TermService pid 2260）
在这里插入图片描述
根据进程号2260查看端口为3389
在这里插入图片描述

封神台----尤里的复仇I-第六章：SYSTEM！POWER！
正在学习的路上...
07-19 1667
通过上一章，上传的shell，使用菜刀连接 右键点击 输入命令 whoami 权限不足，这里需要用到提权工具，工具在 就不用再上传了。 右键点击cmd.exe,打开虚拟终端，输入whoami，可以看到当前用户。 尝试创建用户命令： net user 110 110 /add 还是权限不足。 这是因为cmd需要用到外部接口wscript.shell。 但是wscript.shell仍然...
封神台靶场-第二章
Mr_helloword的博客
07-12 3311
第二章：遇到阻难！绕过WAF过滤 1.查找有无sql注入点利用and 1=1发现做了过滤 使用order by 查字段数发现order by 没有被过滤，最后当字段为10时显示正常字段为10 2.因为网页做了waf过略防护，这里我们考虑用cookie注入，可以进行绕过： 这里我们使用一个小工具进行注入（火狐插件） 这款工具可以自定义请求头响应头（Request header，Reponse header） 打开这款插件直接在value处填写注入参数即可然后按上面的键开始（value中的值需要注意的是空
mbp 封神台靶场 六（笔记）
qq_43558415的博客
02-09 1407
打开链接，根据题目提示，flag在c盘根目录下，接上一关的网页后台，打开c盘,发现确实存在flag.txt，但是提示没有权限。 于是知道本关需要我们去进行提权操作，打开D盘，发现cmd.exe和iis6.exe（如果没有可以上传），知道需要用Windows系统来进行操作，于是开启了虚拟机中的windows 7，但还是打不开这个程序，原来是jre环境没装，便去java官网上下了最新版的jre，win...
2025最新渗透测试靶场推荐
最新发布
小司机的奥拓
10-09 541
网址：https://www.cyberstrikelab.com/CyberStrikeLab 是一个专注于网络安全的在线仿真实战平台，由经验丰富的红队人员打造，以实战、系统、便利为特色，其靶机根据多年实战案例搭建，能帮助学习者提升网络安全实战技能。网址：https://app.hackthebox.com/Hack The Box 是一个国际知名的网络安全渗透测试实战靶场平台，提供在线的渗透测试环境与挑战，帮助网络安全学习者与从业者提升实战技能。网址：https://hackmyvm.eu/
封神台靶场
m0_71518346的博客
10-18 1068
尝试，将测试语句放到cookie里面，再发送给服务器，因为网页防护一般只拦截Get、post传参。使用ModHeader插件，SQL语句的空格用加号代替。用from猜测有没有admin表 union select 1,2,3,4,5,6,7,8,9,10 from admin 被拦截。username和password字段的值：admin、b9a2a2b5dffb918c。直接尝试注入判断字段数order by 10。默认管理员后台是根目录的/admin/发现页面回显了2、3、7、8、9。
封神台反射型XSS靶场
qq_40941912的博客
10-05 782
作业 反射型XSS靶场 （Rank: 5） 靶场上面是一个输入框，输入查看是否存在xss漏洞： 发现并没有任何反应 查看源码后发现，两个尖括号被替换成html里面用字符表示出来的尖括号： 尖括号被过滤了，然后尝试在输入框内闭合引号，添加onfocus事件： 点击输入框： 触发了onfocus事件，拿到flag{zkaq-xssgood-Q0OA} 提交flag，成功 ...
封神台 第六章：GET THE PASS！(进程中抓下管理员明文密码）
m0_65712192的博客
10-21 1528
封神台 第六章：GET THE PASS！(进程中抓下管理员明文密码）
封神台靶场-第五章
Mr_helloword的博客
07-11 2132
第五章- 进击！拿到Web最高权限 Tips: 通过修改Cookie登录后台（没用重打） 2、上传SHELL！3、Flag在web根目录（flag.php） 3.上传图片时建议上传小文件，我建议用QQ表情。 来到传送门提示修改cookie，这里我们想到了第四关的flag-cookie信息如下，修改cookie信息，成功进入后台。 cookie:ADMINSESSIONIDCSTRCSDQ=LBMLMBCCNPFINOANFGLPCFBC 在存储里将上面的cookie值进行修改： 根据提示信息这
封神台靶场，为了小芳，冲之——cookie注入
Wubuqing的博客
10-30 538
第二个靶场 打开网站 找一下注入点 一般在新闻这种里面点开看看 先判断是否存在注入 有waf 尝试了很多方法绕过都没成功，/and/,aandnd,AnD等一系列都没绕过去，乌鸡鲅鱼 删掉id=169 发现 然后判断cookie注入 在搜索框输入 Javascript:alert(document.cookie=”id=”+escape(‘169’)); 然后弹窗了（其中 “id=” 取决URL中的id= escape中的数值也是URL中id=的值）返回刚刚的页面，把ID删除后一样能正常显示。说明服务器能
封神台靶场 绕过防护getshell
devil8123665的博客
09-24 4557
封神台 https://hack.zkaq.cn/battle 靶场 http://59.63.200.79:8003/bees/ 一 爬取方法 1 针对本题目而言，是很简单的，只需要暴出站点的目录就能在根目录下找到flag.txt 御剑扫描：需要在御剑的字典中添加flag.txt等相关关键字 访问链接即可获得flag值。 2 或者使用其他的爬虫或者是扫描工具只要能获的站点目录，就能找到flag.txt 二 注入方法 1 通过kali dirb 暴出目录，找到http://59.6.
封神台DOM XSS靶场
qq_40941912的博客
10-05 1156
作业 DOM XSS靶场 （Rank: 10） 在页面上可填写的地方都输入 Native编码： \u003c\u0073\u0063\u0072\u0069\u0070\u0074\u003e\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0032\u0033\u0029\u003c\u002f\u0073\u0063\u0072\u0069\u0070\u0074\u003e 插入到url中，发现弹窗了： 此处的payload被当作代码执行了 把xss平台
封神台靶场练习
token_x的博客
08-05 665
封神台靶场练习，未完待补充
封神台靶场 | 布尔盲注 | Pass05-07
Fanny0602的博客
03-12 1801
封神台靶场 | 布尔盲注 题目地址： 掌控安全学院SQL注入靶场 文章目录       Pass05          盲注          盲注查询步骤       Pass06       Pass07 任务 通过显错注入获得flag。 对该页面进行GET传参，传参名为id Pass05 数据库查询语句： select * from news where id=1 盲注： 1.查询到的数据只会显示有数据/没有结果 2.可以用ASCII进行猜测 盲注查询步骤： 1.数据库名字长度 2.数据库库名 3.
封神台靶场---尤里的复仇Ⅰ小芳！---第二章遇到阻难！绕过WAF过滤！
qq_44336568的博客
06-28 3364
封神台----尤里的复仇I-第二章：遇到阻难！绕过WAF过滤！渗透学习、靶场练习
封神台靶场 | 显错注入 | Pass01-04
Fanny0602的博客
03-05 1077
封神台靶场 | 显错注入 题目地址： 掌控安全学院SQL注入靶场 显错注入 Pass01 Pass02 Pass03 Pass04 任务 通过显错注入获得flag。 对该页面进行GET传参，传参名为id Pass01 数据库查询语句： select *from user where id=1 Pass02 数据库查询语句： select *from user where id=‘1’ Pass03 数据库查询语句： select *from user where id=(‘1’) Pass04 数据库查询语
mbp 封神台靶场 一（笔记）
热门推荐
qq_43558415的博客
02-09 1万+
最近在看掌控安全的公开课，里面提到了封神台靶场，因为以前也做过网易云课堂的靶场，便轻车熟路地注册了账号登陆靶场，先看了第一关。第一关是通过SQL注入找到管理员密码，打开链接，点进去一看发现有猫腻。 一、寻找注入点 看到id=1,便可以用id=1’或id=1 and 1=2来进行测试，以id=1’为例，发现网页出现了错误。 二、判断字段数 在发现这可以进行SQL注入后便要判断它的字段数，用...
封神台在线靶场——第一章:为了女神小芳!
pigzlfa的博客
10-10 858
sql注入基础版。
封神台新靶场 - Kali系列
Hong__Cheng的博客
06-07 1024
我在参考 旧目难忘 大佬的文章时。我看到接下来的操作时，有点懵逼了，这么复杂的嘛？不是就是要管理员密码？所以我直接就进入到phpstudy中去找果然，如图的三个文件，文件名中有admin的，我猜测这其中就有我想要的密码，直接下载下来。最近一直在打靶场，这个《Kali渗透 - Sqlmap实操靶场》搞了好久都没搞出来，在网上搜索教程也不多，但今天突然灵光一现找到的flag，特意发出来与大家分享，我也是初学者，耍了点小聪明，不过也算是成功了。我用的Notepad++依次打开这些文件，其中一个是这样的。
封神台sql注入的靶场，为了小芳，开冲
Wubuqing的博客
10-27 337
先判断是否存在注入 1=1 返回正常 1=2 返回错误 所以存在SQL注入 使用order by 查询该数据表的字段数量 Order by 2 返回正常 order by 3返回错误 所以字段数量是2 判断回显的位置 Union select 1,2 在 2回显 然后查询数据库名 union select 1,database() 得到数据库名为 maoshe 查询路径 union select 1,@@datadir 还有查询数据库版本 Union select 1，version() 然后查询表名
封神台靶场第四关
03-27
### 封神台靶场第四关解决方案 封神台靶场是一个专门用于练习 Web 安全技能的平台，其中每一关都涉及不同的安全漏洞和技术挑战。对于第四关，目标通常围绕着通过修改 Cookie 来获取敏感数据或权限提升。 #### 背景分析 在这一关中，用户需要利用之前提到的 `Cookie` 修改技巧来绕过系统的身份验证机制并访问受保护的内容。具体来说，可以通过设置特定的 `Cookie` 值实现对后台管理页面的访问[^1]。以下是详细的解决方法： --- #### 技术细节与操作流程 ##### 1. **理解目标** 本关的核心在于识别系统如何依赖于客户端发送的 `Cookie` 进行认证，并尝试伪造合法的身份标识符以获得更高权限。这一步骤涉及到 HTTP 协议中的会话管理和安全性缺陷的知识点[^2]。 ##### 2. **工具准备** 为了完成此任务，可以借助浏览器开发者工具或者第三方插件（如 Burp Suite），这些工具有助于拦截和篡改请求头中的信息。 - 打开浏览器控制台 (`F12`) 并切换到“网络(Network)”标签页。 - 刷新当前网页以便捕获所有发出的数据包。 ##### 3. **定位关键参数** 观察登录后的响应消息，在返回的结果里找到名为 `ADMINSESSIONIDCSTRCSDQ` 的字段及其对应的值。这是服务器用来跟踪用户的唯一标志之一。 ```bash Set-Cookie: ADMINSESSIONIDCSTRCSDQ=LBMLMBCCNPFINOANFGLPCFBC; Path=/; HttpOnly ``` 上述代码片段展示了实际使用的 Session ID 形式；注意这里的属性可能还包括其他选项比如 Secure 或者 Expires/Max-Age 等定义生命周期的信息。 ##### 4. **实施攻击** 一旦明确了应该调整哪个部分，则可以直接编辑本地存储内的相应条目使之匹配预期格式即可顺利通行至下一步界面[^3]。 执行以下动作： - 在 Storage Inspector 中查找现有的 Cookies； - 删除旧版本记录重新创建一条新纪录其名称保持一致但赋予新的随机字符串作为 Value 部分。 > 注意事项：确保所输入内容符合编码规则以免引起解析错误影响后续判断逻辑准确性。 --- #### Python脚本辅助自动化过程 如果希望进一步简化重复劳动量较大的环节还可以编写简单的Python程序帮助快速生成所需的payloads: ```python import random import string def generate_random_string(length): letters_and_digits = string.ascii_letters + string.digits result_str = ''.join((random.choice(letters_and_digits) for i in range(length))) return result_str session_id_length = 20 # 自定义长度依据实际情况设定 new_session_value = f"{generate_random_string(session_id_length)}" print(f"New forged session value is : {new_session_value}") ``` 运行以上脚本将会得到一个新的伪随机数串可以用作替换原始Session Token的基础素材。 --- ### 总结说明 通过对封神台靶场第四关的学习实践不仅能够加深学员们关于Web应用程序常见安全隐患的认识程度而且还能锻炼动手解决问题的能力从而更好地适应未来工作中遇到的各种复杂场景需求.
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值