MOMENTUM靶机渗透笔记

信息收集阶段

1.1 IP信息收集

arp-scan -l获得当前靶机IP：192.168.137.181

1.2 端口信息收集

nmap -T4 -A 192.168.137.181 ：收集端口信息

开启的是22和80服务。按照惯例，还有一些关于站点的信息需要收集：

1.3 CMS识别

what -v http://192.168.137.181，依旧是没有CMS系统

1.4 目录信息收集

在这我用了俩工具一起扫，一个是dirb一个是dirsearch。（虽然最后的结果都大差不差，但是有的目录或者文件还是需要不同的字典来扫。。后续更新字典之后就不会这么麻烦了

dirb http://192.168.137.181 ./directory-list-2.3-medium.txt
python ./dirsearch -u http://192.168.137.181

漏洞利用阶段

首先访问Web页面，尝试获取有用信息

但是好像除了仨图片就没啥的了。访问刚才使用目录扫描出来的页面/dashboard.html

是一个文件上传页面，并且提示了上传的路径：

上传php一句话木马试试

提示上传不成功。F12查看是否有上传限制。

这里调用了uploadFile();函数

从network中抓取数据包得知，最终的过滤似乎是靠：ajax.php这个php文件实现的。但是由于php文件已经被解析执行了所以看不到文件内的内容。并且在做目录扫描的时候也没收集到相关的文件备份信息，拿不到源码就无法分析过滤的条件到底是个啥。

根据以往做CTF题的经验，了解到网站的运维人员通常会将备份文件以.bak的后缀去备份文件，使用命令查看是否真实存在这个文件。

curl http://192.168.137.181/ajax.php.bak